La nuova privacy arriva dall’Europa ed a breve sarà adottata anche in Italia. Quali sono i punti fondamentali? Cerchiamo di capirli insieme.

Era il 24 Maggio 2016 quando venne emanato il regolamento europeo 2016/679 da tutti conosciuto come  GDPR ovvero il nuovo regolamento europeo sulla privacy che entrerà in vigore in tutti gli Stati membri a partire dal 25 Maggio 2018. Ma  cerchiamo di capire quali sono le novità introdotte e come adeguarsi.

I punti fondamentali introdotti dal nuovo GDPR sono:

1. Più garanzie per i cittadini
2. Informazioni più chiare e complete sul trattamento dei dati
3. Consenso sul trattamento: strumento di garanzia
4. Limitazioni al trattamento automatizzato
5. Tutele e libertà: il diritto all’oblio.
6. Portabilità: liberi di trasferire i dati nel un mercato libero.
7. Garanzie sul trasferimento dei dati extra U.E.
8. Obbligo di comunicare le violazioni
9. Sanzioni più pesanti
10. Unica norma in tutti gli Stati dell’Unione Europea
11. Basato sulla Valutazione del Rischio
12. Semplificazioni per chi offre maggiori garanzie

Più garanzie per i cittadini: informazioni chiare, consensi informati, limitazioni, tutele e garanzie.

Nel nuovo Regolamento vengono introdotte regole più chiare in materia di informativa con uno strumento di trasparenza, chiaro e completo;

• sul consenso: preventivo, inequivocabile, mai tacito e sempre revocabile;
• su nuove tutele e diritti:  si definiscono limiti al trattamento automatizzato, garanzie al trasferimento dei dati all’esterno della Comunità Europea con norme più stringenti, si introducono la libertà di trasferimento e portabilità dei dati all’interno del Mercato Unico e il diritto all’oblio ed infine a tutela dei cittadini viene posto l’obbligo di comunicare le eventuali violazioni dei dati personali (data breach) all’Autorità nazionale di protezione dei dati ed agli interessati dalla violazione entro 72h.

A chi si applica il nuovo Regolamento?

La norma è unica ed applicabile a tutti gli Stati membri e non richiede il recepimento delle nazioni aderenti. Tutte le aziende dell’Unione dovranno rispettare la normativa e potranno incorrere in sanzioni fino al 4% del fatturato. Per garantire l’uniformità della norma in tutti gli Stati dell’Unione e semplificarne l’attuazione viene istituito uno sportello unico.

I punti fondamentali

Responsabilizzazione dei titolari del trattamento con una gestione che tenga costo del Rischio che un determinato trattamento di dati personali può comportare per i diritti e le libertà degli interessati. Il concetto chiave è il privacy by design: garantire la protezione dei dati fin dalla fase di ideazione e progettazione di un trattamento o di un sistema, e adottare comportamenti che consentano di prevenire possibili problematiche.

Introduzione del D.P.O. (Data Protection Officer) incaricato di assicurare una gestione corretta dei dati personali nelle imprese e negli enti. Anche se scompare l’obbligo di notificare particolari trattamenti, oppure di sottoporre a verifica preliminare dell’Autorità i trattamenti considerati «a rischio». Il tutto è basato sulla valutazione del Rischio. Il titolare potrà far certificare i propri trattamenti, in misura parziale o totale, anche ai fini di trasferimenti di dati in Paesi terzi. La certificazione potrà essere rilasciata da un soggetto abilitato oppure dall’Autorità di protezione dei dati.

Cosa attendersi e come adeguarsi

Cosa sarà necessario fare per le imprese italiane per adeguarsi? In realtà non è ancora così chiaro; infatti sono in ritardo le linee guida del WP29 che dovrebbero indicare come rispondere agli adempimenti, tuttavia alcuni punti sono in parte già chiari:

• sarà necessario controllare se è indispensabile la valutazione d’impatto, ma in ogni caso andrà analizzato a fondo ogni processo aziendale per vedere dove e come sono gestiti gli accessi ai dati personali al fine di valutare ogni rischio ed ogni possibile conseguenza applicando i concetti di privacy by default e privacy by design.
• sarà necessario aggiornare le informative ed i moduli di consenso,
• dovrà essere nominato un D.P.O. accompagnato da un team di expertise in materia legale, gestionale e tecnica,
• si dovrà valutare l’implementazione di politiche di cyber security: tutelare i dati infatti significa poterli preservare da attacchi esterni ed interni,

Il GDPR avrà un impatto su enti e imprese, non solo dal punto di vista tecnologico, ma anche e soprattutto dal punto di vista organizzativo e legale.