GDPR: il nuovo Regolamento per la protezione dei dati

Entrata in vigore

25 maggio 2018

Soggetti obbligati

imprese, professionisti od enti ivi compreso quelli con sede al di fuori dell’Unione Europea che offrono servizi o prodotti all’interno del mercato Ue.

Titolare del trattamento - compiti

• individua il rischio connesso al trattamento attraverso un’autovalutazione della propria struttura;

• mette in atto misure tecniche e organizzative adeguate a garantire che siano trattati solo i dati personali necessari per ogni specifica finalità del trattamento. Tale obbligo vale per la quantità dei dati personali raccolti, la portata del trattamento, il periodo di conservazione e l'accessibilità;

• rilascia l’informativa all’interessato;

• fornisce dimostrazione, in sede di controllo da parte dell’Autorità Garante, che il trattamento è effettuato conformemente al Regolamento;

• comunicare eventuali violazioni dei dati personali al Garante (data branch);

• esamina e aggiorna il trattamento ove necessario.

Responsabile della protezione dei dati – (D.P.O. o R.P.D.)

Il titolare designa un responsabile del trattamento

contenere l’attribuzione di specifici compiti.

Il responsabile della protezione (che può essere un dipendente o un consulente esterno) è designato in funzione delle qualità professionali, in particolare della conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati, e della capacità di assolvere i compiti previsti dalla legge.

La sua nomina è obbligatoria:

• per le Pubbliche Amministrazioni;

• le Imprese che gestiscono trattamenti che, per loro natura, ambito di applicazione e/o finalità, richiedono il monitoraggio regolare e sistematico degli interessati su larga scala;

• le imprese che gestiscono di categorie particolari di datipersonali o di dati relativi a condannepenali

ed a reati.

Il titolare del trattamento o il responsabile del trattamento pubblica i dati di contatto del responsabile della protezione dei dati e li comunica all’autorità di controllo.

E’ inoltre tenuto al segreto o alla riservatezza in merito all’adempimento dei propri compiti, in conformità del diritto dell’Unione o degli Stati membri.

Compiti del Responsabile della protezione dei dati

Il responsabile della protezione deve, in totale autonomia,:

a) informare e fornire consulenza al titolare del trattamento o al responsabile del trattamento nonché ai dipendenti che eseguono il trattamento in merito agli obblighi derivanti dalla normativa vigente relativa alla protezione dei dati;

b) sorvegliare l’osservanza;

c) fornire, se richiesto, un parere in merito alla valutazione d’impatto sulla protezione dei dati e sorvegliarne lo svolgimento;

d) cooperare con l’autorità di controllo;

e) fungere da punto di contatto per l’autorità di controllo per questioni connesse al trattamento, tra cui la consultazione preventiva, ed effettuare, se del caso, consultazioni relativamente a qualunque altra questione.

Principio dell’accountability

il titolare del trattamento (impresa, professionista o ente) deve essere in grado di dimostrare che il trattamento dei dati personali effettuato è conforme allo stesso Regolamento.

A tal fine:

• individua il rischio connesso al trattamento;

• adotta le politiche e attua misure che egli stesso ritiene adeguate a garantire la tutela dei dati personali conformemente al regolamento.

Dati personali

qualsiasi informazione riguardante una persona fisica identificata o identificabile («interessato»); si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale.

Dati personali - caratteristica

I dati personali devono essere:

• trattati in modo lecito, corretto e trasparente nei

confronti dell’interessato

• raccolti per finalità determinate, esplicite e legittime;

• adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati;

• esatti e aggiornati; devono essere adottate tutte le misure ragionevoli per cancellare o rettificare tempestivamente i dati inesatti rispetto alle loro finalità;

• conservati in maniera da permettere l’identificazione degli interessati per un periodo non superiore al conseguimento delle finalità per le quali sono trattati;

• trattati in modo da garantire un’adeguata sicurezza dei dati personali.

Trattamento

operazione o insieme di operazioni, compiute con o senza l’ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali, come la raccolta, la registrazione, l’organizzazione, la strutturazione, la conservazione, l’adattamento o la modifica, l’estrazione, la consultazione, l’uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l’interconnessione, la limitazione, la cancellazione o la distruzione.

Registro dei trattamenti

Il Garante privacy precisa che la tenuta del registro dei trattamenti non costituisce un adempimento formale ma fa parteintegrante di un sistema di corretta gestione dei dati personali.

Come prevede l’art. 30 del Regolamento Ue, tutti i titolari ed i responsabili di trattamento, esclusi gli organismi con meno di 250dipendenti ma solo se non effettuano trattamenti a rischio, dovranno tenere un registro delle operazioni di trattamento dove verrà trascritto:

• finalità del trattamento;

• descrizione dei dati;

• descrizione delle categorie di interessati e di dati 

personali;

• categorie di destinatari cui è prevista la comunicazione;

• categorie di destinatari a cui i datipersonali sono stati o saranno comunicati, compresi i destinatari di Paesi terzi od organizzazioni internazionali;

• trasferimenti di datipersonali verso un Paese terzo o un’organizzazione internazionale, nei casi previsti la documentazione delle garanzie adeguate;

• termini ultimi previsti per la cancellazione delle diverse categorie di dati;

• descrizione generale delle misure di sicurezza tecniche e organizzative.

Notifica delle violazioni di dati personali

Tutti i titolari devono, entro 72 ore, notificare all’autorità di controllo le violazioni di dati personali di cui vengono a conoscenza.

Informativa

Il titolare del trattamento deve spiegare in maniera chiara e senza possibilità di equivoco, tutte le condizioni che regolano la raccolta e il trattamento dei dati al momento della sottoscrizione da parte dell’interessato dell’informativa e deve, obbligatoriamente, dichiarare all’interessato come verranno elaborati i suoi dati.

L’informativa deve contenere le seguenti informazioni:

a) l'identità e i dati di contatto del titolare del trattamento e, ove applicabile, del suo rappresentante;

b) i dati di contatto del responsabile della protezione dei dati, ove applicabile;

c) le finalità del trattamento cui sono destinati i dati personali nonché la base giuridica del trattamento;

d) nel caso di trattamento necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato che richiedono la protezione dei dati personali, in particolare se l’interessato è un minore, i legittimi interessi perseguiti dal titolare del trattamento o da terzi;

e) gli eventuali destinatari o le eventuali categorie di destinatari dei dati personali;

f) ove applicabile, l'intenzione del titolare del trattamento di trasferire dati personali a un paese terzo o a un'organizzazione internazionale;

g) il periodo di conservazione dei dati personali oppure, se non è possibile, i criteri utilizzati per determinare tale periodo;

h) l'esistenza del diritto dell'interessato di chiedere al titolare del trattamento l'accesso ai dati personali e la rettifica o la cancellazione degli stessi o la limitazione del trattamento che lo riguardano o di opporsi al loro trattamento, oltre al diritto alla portabilità dei dati;

i) l'esistenza del diritto di revocare il consenso in qualsiasi momento senza pregiudicare la liceità del trattamento basata sul consenso prestato prima della revoca;

l) il diritto di proporre reclamo all’autorità di controllo;

m) se la comunicazione di dati personali è un obbligo legale o contrattuale oppure un requisito necessario per la conclusione di un contratto, e se l'interessato ha l'obbligo di fornire i dati personali nonché le possibili conseguenze della mancata comunicazione di tali dati;

Qualora il titolare del trattamento intenda trattare ulteriormente i dati personali per una finalità diversa da quella per cui essi sono stati raccolti, prima di tale ulteriore trattamento fornisce all'interessato informazioni in merito a tale diversa finalità e ogni ulteriore informazione pertinente.

Liceità del trattamento (rispetto delle norme generali e specifiche dell’ordinamento)

Il trattamento è lecito se l’interessato ha espresso il proprio consenso al trattamento dei propri dati personali e se necessario per:

• l’esecuzione di un contratto di cui l’interessato è parte;

• adempiere un obbligo legale al quale è soggetto il titolare del trattamento;

• salvaguardare gli interessi vitali dell’interessato o di un’altra persona fisica;

• l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento;

• per il perseguimento del legittimo interesse del titolare del trattamento o di terzi.

Principio della minimizzazione dei dati

I dati devono essere adeguati, pertinenti e limitati a quanto necessario per la corretta esecuzione dell’incarico ricevuto.

Principio della limitazione della conservazione

Il titolare deve conservare i dati per un arco di tempo non superiore al conseguimento della finalità per la quale sono trattati.

Trasferimento dei dati personali - deroghe

    E’ possibile se:

• l’interessato abbia prestato consenso esplicito al trasferimento;

• il trasferimento si rende necessario:

• all’esecuzione di un contratto concluso tra l’interessato e il titolare del trattamento;

• per la conclusione o l’esecuzione di un contratto stipulato tra il titolare del trattamento e un’altra persona fisica o giuridica a favore dell’interessato;

• per importanti motivi di interesse pubblico;

• per accertare, esercitare o difendere un diritto in sede giudiziaria;

• per tutelare interessi vitali dell’interessato o di altre persone, qualora l’interessato si trovi nell’incapacità di prestare il consenso;

Diritto di limitazione del trattamento

Il diritto di limitazione del trattamento è esercitabile, oltre che in caso di violazione dei presupposti di

Liceità del trattamento (in alternativa alla cancellazione dei dati stessi), anche se l’interessato chiede la rettifica dei dati o si oppone al loro trattamento.

Il Garante privacy raccomanda ai titolari di prevedere nei propri sistemi informativi (elettronici o meno) misure idonee a tale scopo.

Diritto alla portabilità

Il diritto alla portabilità, di nuova introduzione non si applica ai trattamenti non automatizzati (quindi non si applica agli archivi o registri cartacei) e vengono previste specifiche condizioni per il suo esercizio.

In particolare, viene osservato dal Garante privacy che sono portabili solo i dati trattati con il consenso dell’interessato, o sulla base di un contratto stipulato con l’interessato.

Sanzioni amministrative

le sanzioni che potranno essere comminate ai trasgressori ammontano al 4% del fatturato totale fino ad un massimo di 20 milioni di euro.

Trattamenti dati esclusi

Sono esclusi dal regolamento i trattamenti di dati effettuati nei seguenti ambiti:

• attività non rientranti nell’ambito di applicazione del diritto UE;
• trattamenti effettuati da persona fisica per l’esercizio di attività a carattere esclusivamente personale o domestico;
• trattamenti effettuati dalle autorità per fini di prevenzione, indagine, accertamento o perseguimento reati o esecuzione sanzioni penali.