Il Regolamento UE 2016/679 (GDPR)

Dal 25 maggio trova piena applicazione il Regolamento (UE) 2016/679 in materia di protezione dei dati personali. La norma disciplina il trattamento dei dati delle persone fisiche e la libera circolazione degli stessi.

Ai sensi dell’articolo 99, il regolamento è obbligatorio in tutti i suoi elementi ed è direttamente applicabile in ciascuno degli Stati membri. Con la sua entrata in vigore è stata abrogata la direttiva 95/46/CE.

Nuovo approccio alla protezione dei dati

Il regolamento ha modificato in modo significativo l’approccio alla protezione dei dati personali. Introduce principi innovativi come:

• privacy by design
• privacy by default
• accountability

Il principio di accountability attribuisce al titolare e al responsabile del trattamento un ruolo centrale nella gestione e nella tutela dei dati.

Il principio di accountability

Il concetto di accountability è finalizzato a garantire la tutela dell’interessato, ossia la persona fisica identificata o identificabile a cui si riferiscono i dati personali.

Il titolare del trattamento deve:

• definire modalità e finalità del trattamento
• adottare misure di sicurezza adeguate
• garantire il rispetto della normativa nel tempo

Deve inoltre essere sempre in grado di dimostrare la conformità alle disposizioni di legge e alle linee guida delle autorità competenti.

Privacy by design e by default

Il regolamento impone che la protezione dei dati sia integrata sin dalla fase iniziale del trattamento.

Il sistema deve:

• ridurre il rischio di violazioni (privacy by design)
• garantire trattamenti adeguati alle finalità (privacy by default)

Le misure devono essere proporzionate al tipo di dati trattati e alle operazioni effettuate.

Ambito di applicazione

Le disposizioni del GDPR si applicano anche ai liberi professionisti e agli studi tecnici, che devono adeguarsi alle nuove regole sul trattamento dei dati personali.

Principi del trattamento dei dati (art. 5)

I dati personali devono essere trattati nel rispetto dei principi di:

• liceità
• correttezza
• trasparenza

Le finalità devono essere determinate, esplicite e legittime.

Il titolare deve fornire un’informativa chiara e accessibile, indicando:

• modalità di trattamento
• eventuali trasferimenti dei dati
• diritti dell’interessato

Tra i principali diritti vi sono:

• accesso
• rettifica
• cancellazione
• portabilità
• limitazione del trattamento
• opposizione

Liceità del trattamento (art. 6)

Ogni trattamento deve avere una base giuridica adeguata. Tra le principali:

• esecuzione di un contratto
• obbligo legale
• interesse pubblico
• legittimo interesse

Il consenso dell’interessato rappresenta una delle basi giuridiche più rilevanti.

Condizioni per il consenso (art. 7)

Il consenso deve essere:

• libero
• specifico
• informato
• inequivocabile

Non è obbligatoria la forma scritta, ma il titolare deve essere in grado di dimostrare che il consenso è stato prestato.

Per questo motivo è fortemente consigliata la raccolta in forma documentata.

Dati particolari e profilazione (art. 9)

Il regolamento prevede regole specifiche per il trattamento di dati particolari, tra cui:

• dati sanitari
• dati biometrici
• dati genetici
• convinzioni religiose o politiche

Sono inoltre disciplinati i trattamenti automatizzati, inclusa la profilazione.

Registro dei trattamenti (art. 30)

Il registro delle attività di trattamento è uno strumento essenziale per:

• mappare i dati trattati
• monitorare gli adempimenti
• garantire i diritti degli interessati

Non è obbligatorio per organizzazioni con meno di 250 dipendenti, salvo specifiche condizioni di rischio.

Valutazione d’impatto (art. 35)

Quando il trattamento presenta rischi elevati, il titolare deve effettuare una valutazione d’impatto sulla protezione dei dati.

Se il rischio resta elevato, è necessario consultare preventivamente l’autorità di controllo.

Sicurezza dei dati (art. 32)

Il titolare deve adottare misure tecniche e organizzative adeguate al rischio.

Tra queste:

• pseudonimizzazione e cifratura
• garanzia di riservatezza e integrità
• sistemi di ripristino dei dati
• verifiche periodiche delle misure adottate

Il personale deve essere autorizzato e adeguatamente formato.

Responsabili esterni e DPO (artt. 28 e 37)

Il titolare può avvalersi di responsabili esterni che garantiscano adeguate misure di sicurezza.

Il Data Protection Officer (DPO) deve essere nominato nei casi previsti dalla normativa, ad esempio:

• trattamenti su larga scala
• monitoraggio sistematico
• trattamenti di dati particolari

Il DPO deve possedere competenze specifiche in materia di protezione dei dati.

Data breach (artt. 33 e 34)

In caso di violazione dei dati personali, il titolare deve notificare l’evento all’autorità competente entro 72 ore.

Se il rischio per gli interessati è elevato, deve essere data comunicazione anche agli stessi con linguaggio chiaro.

Conclusione

Il GDPR introduce un sistema basato sulla responsabilizzazione e sulla gestione consapevole dei dati personali. L’applicazione corretta della normativa richiede un approccio organizzativo strutturato e un aggiornamento continuo delle misure adottate.