Regolamento europeo privacy: cosa prevede?

I dati personali e sensibili delle persone rappresentano un valore enorme, proprio per questo motivo di recente, in particolare a maggio del 2018 è entrato in vigore un nuovo Regolamento detto GDPR, ovvero General Data Protection Regulation.

Lo scopo è quello di tutelare la Privacy delle persone, evitando che le aziende possano sfruttare alcune informazioni senza che l’interessato ne sia a conoscenza.

Soprattutto nel web, infatti, c’è il rischio di lasciare dati personali senza una reale percezione di ciò che sta accadendo. Per questo, ora, è necessario fornire una informativa per elencare i vari usi che verranno fatti dei dati raccolti.

Ma quali sono esattamente gli obblighi per le aziende? Cosa c’è da sapere? Come evitare contestazioni? Scopriamolo insieme

Cos’è il regolamento europeo privacy?

Per quanto riguarda il regolamento europeo per la privacy la data da tenere come punto di riferimento è il 25 maggio 2018, il momento in cui tutto, o quasi, è cambiato.

Il quadro di riferimento, infatti, è molto diverso, ed è necessario conoscere a fondo le nuove norme per evitare di agire illegalmente o di avere problemi.

La prima cosa da sottolineare è il fatto che il GDPR è un Regolamento Europeo, quindi diversamente dalle direttive, gli Stati membri non devono ratificare o attuare le normative con delle leggi interne, ma quanto stabilito a livello comunitario è efficace direttamente in tutto il territorio di riferimento.

Ma cosa si intende esattamente per protezione di dati personali, e quindi della privacy delle persone?

Un dato personale corrisponde a qualsiasi informazione che riguarda un determinato individuo, in grado di identificarlo. Ad esempio il nome, un numero identificativo, l’indirizzo di residenza o domicilio, caratteristiche fisiche, genetiche, psichiche, situazione economica, culturale o sociale.

Trattare tali informazioni, quindi, è estremamente delicato. Tutte le operazioni svolte in merito, attraverso processi più o meno automatizzati devono rispettare il Regolamento Europeo per la Privacy.

Le aziende devono porre attenzione ad attività quali la raccolta, la registrazione, la strutturazione, la conservazione, l’adattamento, la modifica, l’estrazione, la consultazione, l’uso, la limitazione, la cancellazione e la distruzione dei dati, informando sempre il soggetto in merito a quanto sta succedendo. In altre parole tutto deve svolgersi con la massima trasparenza.

La questione riguarda moltissime aziende, dato che, quasi tutte hanno a che fare con il trattamento dei dati.

Tra i concetti principali, che descriveremo nei prossimi paragrafi c’è l’obbligo di redazione e comunicazione dell’informativa sulla Privacy, ovvero le modalità di utilizzo dei dati raccolti, per consentire al soggetto di scegliere se dare o meno il consenso.

Inoltre, è necessario nominare un responsabile del trattamento, cioè un esperto in grado di gestire tutto ciò che prevede il regolamento europeo della privacy.

Regolamento europeo privacy: l’informativa

Il GDPR ha imposto alle aziende nell’Unione Europea di fornire un’informativa per la privacy, ovvero un documento che specificare agli utenti come verranno utilizzate le loro informazioni e come possono ritirare il consenso in futuro.

Il titolare del trattamento, infatti, deve fornire alcune informazioni nel momento in cui raccoglie dei dati, in particolare:dati e identità del titolare del trattamento

dati del responsabile del trattamento
finalità del trattamento, ovvero la base giuridica
eventuali destinatari dei dati raccolti
volontà di trasferire i dati a un paese terzo oppure a una organizzazione internazionale
periodo di conservazione e criteri utilizzati
diritto dell’interessato di chiedere la cancellazione o la rettifica delle informazioni
possibilità di revocare il consenso
diritto di fare un reclamo all’autorità di controllo

Consegnare l’informativa rappresenta il primo fondamentale passo per rispettare il regolamento europeo per la privacy. Non è obbligatorio seguire una particolare modalità di invio, ogni azienda può individuare la più adatto, i contenuti però devono essere quelli previsti dalle norme.

Si tratta di un’operazione estremamente importante per permettere al soggetto di esprimere un chiaro consenso in merito al trattamento dei suoi dati.

Il consenso, però, deve essere manifestato in modo inequivocabile, con dichiarazioni scritte o comunque documentate. Ad esempio selezionare una casella in un sito web o effettuare altre azioni è un modo per dichiarare il consenso. Il silenzio assenso, invece, non è considerato valido.

La richiesta deve essere sempre chiara, dato che il consenso deve essere:

inequivocabile
specifico
informato
verificabile
revocabile

Ma il regolamento europeo per la privacy prevede sempre l’obbligo dell’informativa?

In realtà no. In alcuni casi non è necessaria, ad esempio se:

i dati sono raccolti in modo anonimo
il soggetto ha già ricevuto le informazioni
le comunicazione risulta essere impossibile, in quanto sarebbe necessario uno sforzo sproporzionato
i dati sono protetti dal segreto professionale
il trattamento è collegato ad investigazioni difensive in materia penale

Regolamento europeo privacy: il responsabile del trattamento

Per fare in modo che le aziende prestino la massima attenzione al trattamento dei dati raccolti, rispettando le normative, anche inerenti alla sicurezza, il Regolamento europeo per la privacy prevede una nuova figura professionale, ovvero il responsabile del trattamento.

Tale figura può essere un dipendente dell’azienda, ma anche una società esterna specializzata o un professionista.

La nomina del soggetto, comunque, è estremamente importante e non solo un atto formale come potrebbe sembrare superficialmente.

Il responsabile deve infatti:

trattare i dati personali soltanto su istruzione documentata del titolare del trattamento;
garantire che le persone autorizzate al trattamento dei dati personali si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza;
adottare tutte le misure di sicurezza richieste dal GDPR;
rispettare le condizioni di legge per ricorrere (eventualmente) a un altro responsabile del trattamento;
assistere il titolare del trattamento con misure tecniche e organizzative adeguate, nella misura in cui ciò sia possibile, al fine di soddisfare l’obbligo del titolare del trattamento di dare seguito alle richieste per l’esercizio dei diritti dell’interessato previsti dal GDPR;
su scelta del titolare del trattamento, cancellare o gli restituire tutti i dati personali dopo che è terminata la prestazione dei servizi relativi al trattamento e cancelli le copie esistenti, salvo che il diritto dell’Unione o degli Stati membri preveda la conservazione dei dati;
mettere a disposizione del titolare del trattamento tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di legge e consenta e contribuisca alle attività di revisione, comprese le ispezioni, realizzati dal titolare del trattamento o da un altro soggetto da questi incaricato.

Risulta evidente, quindi, il ruolo molto importante ricoperto da tale figure, che deve necessariamente essere esperta in materia per potere operare nel migliore dei modi. Garantire la privacy degli utenti rappresenta oggi una sfida che tutte le realtà imprenditoriale e non devono accettare, andando ad implementare quanto previsto obbligatoriamente dal GDPR.