Source: https://www.diritto.it/regolamento-generale-sulla-protezione-dei-dati-gdpr-vigore-dal-25-maggio/
Timestamp: 2018-12-17 19:16:47+00:00
Document Index: 102412960

Matched Legal Cases: ['art. 4', 'art. 7', 'art. 24', 'art. 5', 'art 30', 'art. 28', 'art. 28', 'art. 33']

Regolamento Ue (GDPR) sulla protezione dei dati, a breve in vigore
A partire dal prossimo 25 maggio entrerà in vigore il Regolamento UE 2016/679, noto come GDPR – acronimo di General Data Protection Regulation – che sostituirà il nostro Codice in materia di protezione dei dati personali (D. Lgs.196/2003). Questo regolamento è di grande interesse poiché riguarda una materia, la c.d. privacy, della quale tutti parliamo spesso ma di cui non sempre conosciamo il contenuto. Nella società odierna le informazioni inerenti ad ogni aspetto della nostra vita, anche il più intimo, vengono letteralmente “disperse” nelle varie banche dati e nel web, gestite da soggetti terzi (spesso a noi ignoti) “sfuggendo” alla nostra sfera di controllo. È bene dunque conoscere i nuovi strumenti predisposti dal diritto europeo sulla gestione e la sicurezza dei dati.
È opportuno prendere le mosse dall’elemento centrale del regolamento, cioè dal concetto di dato personale. Ai sensi dell’art. 4 par. 1 si definisce dato personale qualsiasi informazione riguardante una persona fisica identificata o identificabile ( interessato) ;il regolamento precisa ancora che si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale.
È bene precisare che tale elencazione è meramente esemplificativa e non esaustiva. Peraltro, particolarmente attenzionato è il dato ricavato attraverso l’identificazione tecnologica tra cui l’ubicazione attraverso I.P.
A ciò si aggiunga la particolare cura in relazione a dati genetici, biometrici e relativi allo stato di salute. Tali dati unitamente a quelli giudiziari rientrano pienamente tra i dati personali particolari.
Il regolamento così definisce il concetto di trattamento qualsiasi operazione o insieme di operazioni, compiute con o senza l’ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali, come la raccolta, la registrazione, l’organizzazione, la strutturazione, la conservazione, l’adattamento o la modifica, l’estrazione, la consultazione, l’uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l’interconnessione, la limitazione, la cancellazione o la distruzione;
Fondamentale è il concetto di profilazione che viene definito come qualsiasi forma di trattamento automatizzato di dati personali consistente nell’utilizzo di tali dati personali per valutare determinati aspetti personali relativi a una persona fisica, in particolare per analizzare o prevedere aspetti riguardanti il rendimento professionale, la situazione economica, la salute, le preferenze personali, gli interessi, l’affidabilità, il comportamento, l’ubicazione o gli spostamenti di detta persona fisica;
Alla luce della suddetta definizione, una catena di negozi che acquisisce informazioni o pone in essere delle azioni al fine di meglio comprendere interessi, preferenze, luoghi frequentati o possibilità di spesa di un soggetto sta ponendo in essere un’attività di profilazione.
Un aspetto cruciale nel trattamento dei dati personali è quello relativo al consenso a tale trattamento. Come già previsto dal nostro codice privacy, è necessario acquisire il consenso della persona al trattamento dei suoi dati. Qualora si disponga di dati per cui precedentemente non è stato dato o richiesto il consenso sarà opportuno contattare l’interessato e chiedere il consenso espressamente. All’art. 7, par. 2, il regolamento precisa poi che se il consenso dell’interessato è prestato nel contesto di una dichiarazione scritta che riguarda anche altre questioni, la richiesta di consenso è presentata in modo chiaramente distinguibile dalle altre materie, in forma comprensibile e facilmente accessibile, utilizzando un linguaggio semplice e chiaro.
Si tratta di una delle più importanti novità del GDPR. In base a tale principio, il titolare del trattamento[1], ovvero il soggetto che acquisisce i dati degli utenti, mette in atto misure tecniche e organizzative adeguate per garantire, ed essere in grado di dimostrare, che il trattamento è effettuato conformemente al regolamento (art. 24, par. 1). È anche il soggetto competente a garantire e comprovare il rispetto dei principi inerenti al trattamento dei dati personali, sanciti al par. 1 dell’art. 5 (ad es. liceità, correttezza e trasparenza, imitazione della finalità, minimizzazione dei dati ecc.).
Sostanzialmente sono tre i profili salienti del principio di responsabilizzazione:
La necessità di adottare politiche e attuare misure adeguate per attuare i principi di protezione dei dati;
La necessità di dimostrare, su richiesta, che sono state adottate misure appropriate ed efficaci
La trasparenza, intesa come garanzia della completa accessibilità alle informazioni, in primo luogo per gli utenti del servizio.
È altresì consigliabile che non soltanto il soggetto per cui è obbligatorio (ex art 30 del Regolamento) ma anche i soggetti che raccolgano, anche occasionalmente dati personali, tengano dei registri in cui annottare ogni passaggio in relazione ai dati ricevuti e archiviati.
Inoltre, dovranno essere rispettati dei codici di condotta (artt. 40 e ss.), informare i consumatori in caso di violazione e, in ipotesi, richiedere l’ausilio di un Data Protecion Officier, D.P.O., di cui si dirà infra.
Il regolamento tende a non imporre misure specifiche, essendo il Titolare del trattamento il soggetto che, in considerazione dello stato dell’arte tecnologico e dei costi di attuazione, valuterà quali misure adottare; tuttavia tale soggetto sarà anche gravato dalle sanzioni in ipotesi di misure insufficienti.
E’ sicuramente auspicabile un sistema di pseudonimizzazione dei datti, di minimizzazione del trattamento, sistemi di cifratura e in grado di garantire la riservatezza e l’integrità del dato.
A livello organizzativo è invece opportuno statuire una distribuzione delle responsabilità tra i dipendenti del titolare e, ovviamente, un codice comportamentale supportato da adeguata formazione.
Il regolamento affianca al titolare del trattamento, il responsabile del trattamento, ovvero la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che tratta dati personali per conto del titolare del trattamento (data processor) e prevede inoltre che tra ogni data controller (l’azienda o ente pubblico titolare del trattamento) che intende esternalizzare un trattamento di dati personali, e il data processor (il fornitore di servizi esternalizzati, sia esso un outsourcer tradizionale o un cloud service provider) vengano stipulati accordi puntuali e specifici in merito al trattamento dei dati.
L’art. 28, par. 3, del GDPR dispone che l’accordo vincolante per il responsabile del trattamento debba prevedere in particolare:
In ipotesi di ricorso al subappalto sarà necessaria la previa autorizzazione scritta da parte del titolare.
Inoltre il responsabile dovrà imporre al subresponsabile gli stessi obblighi di cui all’art. 28, par.3, del GDPR contenuti nell’accordo tra il primo e il titolare del trattamento, in particolare sotto il profilo delle misure di sicurezza adeguate al trattamento.
Il responsabile avrà inoltre l’obbligo di assistere il titolare, mediante misure tecniche e organizzative adeguate, e nella misura in cui ciò sia possibile, nel dar seguito alle eventuali richieste degli interessati (accesso, rettifica, cancellazione, portabilità, opposizione).
Tenendo conto della natura del trattamento e delle informazioni a sua disposizione, l’obbligo di assistere il titolare consiste:
– nel notificare all’Autorità eventuali data breaches (violazioni dei dati) occorsi, ai sensi dell’art. 33 del Regolamento;
Inoltre, in capo al responsabile del trattamento vi sono i seguenti obblighi:
La figura del data protection officer (D.P.O.)
per le aziende che effettuano attività di monitoraggio regolare e sistematico di dati su larga scala (geolocalizzazione per finalità statistiche, analisi sui consumi e sulle preferenze, analisi dei dati per pubblicità mirata)
Il D.P.O. potrà essere anche un dipendente dell’azienda ma ciò potrebbe creare dei problemi in relazione al conflitto di interessi. Infatti, il Titolare del trattamento dovrà dimostrare l’indipendenza della figura scelta, quindi è assolutamente consigliabile scegliere una figura terza regolamentando il rapporto come contratto di servizi
Il titolare del trattamento dovrà selezionare con cura il proprio responsabile che dovrà, a sua volta, avere delle idonee competenze e garanzie anche sotto il profilo del personale dipendente.
Ciò premesso è altrettanto opportuno che il titolare del trattamento formi il proprio personale, possibilmente con l’ausilio di professionisti tra cui anche l’eventuale responsabile del trattamento e – laddove possibile – tenga un registro del trattamento e rediga dei codici di condotta.
Inoltre, ribadita la necessità sia della formazione del personale sia di un’analisi mirata per accertare le misure opportune in proporzione all’azienda (analisi diversa dalla V.I.P) si consiglia l’adozione di codici di condotta.
Appare altresì essenziale richiedere all’utente il consenso espresso al trattamento del dato in apposita schermata del sito web, possibilmente inserendo un autonomo bottone, senza confonderla, o inserirla, con altre differenti voci.
Qualora il dato sia stato acquisito precedentemente richiedere nuovamente il consenso al trattamento.
Inoltre, sarà opportuno rivedere le indicazioni fornite all’utente circa l’uso del dato poiché il Titolare del trattamento è tenuto ad indicare chiaramente ed espressamente per quali scopi tratterà il dato.
[1] Art 4. Comma 7 del G.D.P.R. la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali; quando le finalità e i mezzi di tale trattamento sono determinati dal diritto dell’Unione o degli Stati membri, il titolare del trattamento o i criteri specifici applicabili alla sua designazione possono essere stabiliti dal diritto dell’Unione o degli Stati membri.
Potrebbe interessarti anche Nuova Privacy dopo il 25 maggio: partecipa all’evento Web