GDPR: in 10 punti le nuove regole UE sulla Privacy.

Dal 25 maggio 2018 entra in vigore la normativa GDPR (General Data Protection Regulation), ovvero il regolamento Ue 2016/679 sull’utilizzo dei dati di persone e aziende da parte di terzi. Nasce con l’intento di tutelare i cittadini europei, uniformando ed indirizzando le organizzazioni pubbliche e private verso un mercato unico digitale dove garantire privacy, gestione e sicurezza dei trattamenti dei dati. Ecco in 10 punti che cosa comporterà:

 

1. Si tratta di un regolamento e non di una direttiva europea, quindi si è voluto dare peso alla nuova legge, garantendo un’attuazione immediata ed integrale in tutti i 26 stati membri dell’UE.

 

2. Approvato dal Parlamento Europeo il 14 aprile 2016, sostituisce la direttiva 95/46/EC con l’intento di armonizzare le normative nazionali sul trattamento dei dati personali.

 

3. Riguarda enti, imprese, professionisti che operano all’interno dell’UE, a prescindere da dove abbiamo sede, che offrano bene o servizi e che monitorino il comportamento degli interessati, a prescindere dal metodo di pagamento.

 

4. Come per la sicurezza sul lavoro o per l’HACCP, la normativa pone il principio di responsabilità all’organizzazione detentrice dei dati. In base al principio Privacy by Default and by Design, ogni realtà può definire la propria procedura di protezione, riprogettando la propria architettura informatica e digitale.

 

5. Per adempiere alla norma, si richiede di impostare una procedura di tracciamento dell’utilizzo e della diffusione dei dati raccolti, sia verso l’interno (dipendenti, collaboratori) che verso l’esterno (fornitori, clienti, contatti), per prevenire il rischio di mancata protezione dei dati.

 

6. La normativa per individuare le responsabilità del trattamento, distingue tra:
   1. interessato (data subject): persona fisica a cui si riferiscono i dati;
   2. titolare (data controller): soggetto giuridico che ha in possesso i dati di terzi;
   3. responsabile (data processor): colui che gestisce i dati per conto del titolare.

 

7. Per tutti gli enti pubblici e per tutte le organizzazioni le cui attività principali richiedono il monitoraggio regolare e sistematico di dati dal pubblico su vasta scala, è obbligatoria l’introduzione della figura del Responsabile della Protezione dei Dati (RPD) detto in inglese Data Protection Officer (DPO), che può essere anche nominata all’esterno.

 

8. Il Responsabile della Protezione dei Dati avrà il compito di:
   1. comunicare la violazione di dati personali (Data Breaches)
   2. garantire il diritto all’accesso all’interessato dei propri dati personali
   3. garantire il diritto all’oblio
   4. garantire la portabilità dei dati
   5. garantire la privacy

 

9. Dall’entrata in vigore del regolamento, il titolare del trattamento dei dati personali, dovrà ottenere dall’interessato un consenso esplicito e non ambiguo, chiarendo lo scopo della richiesta e prevedendo l’autorizzazione di genitori o chi ne fa le veci in caso di minorenni.

 

10. In caso di violazioni, sono previste sanzioni dal Garante della Privacy quali:
    1. fino al 2% del fatturato per i semplici dati non in ordine;
    2. fino al 4% del fatturato per infrazioni e mancate protezioni;
    3. fino a 20 milioni di € per le infrazioni più gravi;

 

COME METTERSI IN REGOLA?

L’adeguamento del trattamento dei dati personali, può essere affrontato in 3 fasi:

 

1. Analisi della propria situazione attuale:

– informarsi attraverso la propria rete di professionisti (legali, commercialisti, consulenti del lavoro, consulenti aziendali, agenzie web, fornitori gestionali);

– censire tutti gli archivi di dati personali in possesso dell’azienda;

– elaborare un’analisi dei rischi dove riportare le azioni correttive;

 

2. Attuare l’adeguamento normativo

– Nominare il Responsabile della Protezione dei Dati (se per voi obbligatorio)

– Definire una procedura di protezione dei dati sia a livello informatico che digitale

– Adeguare la raccolta, l’elaborazione e l’archiviazione dei dati personali

– Aggiornare le dichiarazioni di consenso

– Formare gli addetti ai lavori

 

3. Monitorare il trattamento dei dati

– Controllare con regolarità il rispetto della normativa

– Aggiornare gli archivi in base alle volontà degli interessati

– Attivare le procedure di avviso in caso di violazione, entro 72 ore dall’avvenimento.