Da oggi entra in vigore il nuovo Regolamento Europeo sulla Privacy o GDPR (General Data Protection Regulation) che in Italia abroga la direttiva 95/46/CE e va a sostituire il Codice Privacy. Entro la giornata di oggi aziende e possessori di dati hanno dovuto adeguarsi alla nuova normativa. La nuova disciplina impone un diverso approccio nel trattamento dei dati personali. Tra le principali novità ordinamentali della materia si segnalano, infatti, la responsabilità diretta dei titolari del trattamento in merito al compito di assicurare, ed essere in grado di comprovare, il rispetto dei principi applicabili al trattamento dei dati personali; la nuova categoria di dati personali (già dati sensibili); la nomina della nuova figura del Responsabile della protezione dei dati (che si aggiunge al Responsabile del trattamento dei dati); l’istituzione del registro delle attività di trattamento; la predisposizione di adeguate attività formative per il personale; la revisione dei processi gestionali al fine di individuare quelli che presentano maggiori rischi collegati al trattamento dei dati. L’ANCI, al fine di fornire un supporto operativo ai Comuni in questa fase di prima attuazione della nuova disciplina, ha predisposto l’11.mo Quaderno operativo della propria collana editoriale “Manuali tecnici per gli Amministratori”, scaricabile gratuitamente dal suo sito. Il volume, infatti, contiene lo schema di delibera del Consiglio Comunale e il modello del Regolamento adeguato alle novità normative. In particolare, nello schema di Regolamento, si segnalano i suggerimenti operativi per i Comuni di minore dimensione demografica: l’esercizio in forma associata della nuova funzione assegnata ad un unico Responsabile della protezione dei dati, che può essere sia un dipendente adeguatamente formato, sia un soggetto esterno selezionato con procedura ad evidenza pubblica. Trovano spazio nel Manuale anche fac-simili di registri delle attività, fondamentali per l’obbligatoria mappatura dei processi e l’individuazione del rischio di violazioni della privacy.
Tra i punti cardine, di grande interesse per i cittadini, ci sono il diritto all’oblio e alla portabilità dei dati, le notifiche di violazione agli utenti e alle autorità nazionali, le modalità di accesso ai propri dati personali semplificate e la possibilità per le imprese di rivolgersi a un’unica autorità di vigilanza.
I dati presenti nella rete sono in continuo aumento e le connessioni tra i diversi Paesi del mondo sempre più fitte, per questo è stata anche regolamentata la diffusione di dati personali all’esterno dell’Unione Europea.
I dati su internet saranno inoltre maggiormente protetti con alcune restrizioni sui meccanismi di “profiling” e viene introdotto l’obbligo di utilizzare un linguaggio chiaro nelle regole relative alla privacy.
Chi fornisce servizi internet, infine, avrà bisogno di un consenso esplicito prima di utilizzare i dati personali dei clienti.
Per le piccole e medie imprese ci sono altre novità importanti e non solo obblighi, come i tagli ai costi e burocrazia più snella, che favoriscano lo sviluppo economico e del mercato digitale.
Le nuove norme non riguardano solo le imprese, ma chiunque possegga dei dati (ad esempio le mail per l’invio di una newsletter informativa).
Ma quali sono gli impatti principali sulle imprese della nuova normativa sulla privacy?
1 – INDIVIDUAZIONE DEI SOGGETTI A CUI SI APPLICA IL REGOLAMENTO
Prima la normativa era applicabile nel luogo in cui aveva sede il Titolare del trattamento dei dati.
Con il Nuovo Regolamento Europeo la legge applicabile è quella del soggetto i cui dati vengono raccolti. Social network, piattaforme web e motori di ricerca saranno quindi soggetti alla normativa europea anche se sono gestiti da società con sede fuori dall’UE. Con il nuovo regolamento viene abolita la figura del Titolare del Trattamento Dati e rimane solo la figura di Responsabile
2 – DOVERE DI DOCUMENTAZIONE E INFORMAZIONE
Prima la documentazione era importante.
Con il Nuovo Regolamento Europeo = principio dell’accountability (responsabilità verificabile), secondo cui tutti i soggetti che partecipano al trattamento dati devono essere consci e responsabili e devono tenere documentazione di tutti i trattamenti effettuati. Chi non documenta, è soggetto a possibili sanzioni: a prescindere dall’utilizzo che si fa dei dati, è sufficiente non avere i documenti per essere perseguibili.
3 – L’INFORMATIVA PRIVACY
Prima l’informativa era spesso lunga, incomprensibile e con richiami normativi complessi.
Con il Nuovo Regolamento Europeo l’informativa deve essere leggibile, comunicativa, accessibile, concisa e scritta con linguaggio chiaro e semplice con un numero limitato di riferimenti normativi. Deve essere fornita per iscritto (oralmente va bene SOLO se l’interessato è d’accordo e la sua identità deve comunque essere comprovata con altri mezzi). Si propone anche l’utilizzo di icone per rendere l’informativa leggibile anche da parte di chi non conosce la lingua.
4 – CAMBIA IL CONSENSO
Prima il consenso doveva essere libero, specifico e informato. Ci doveva essere un atto formale per accettare il trattamento dei dati.
Con il Nuovo Regolamento Europeo il consenso deve essere libero, specifico, informato e inequivocabile. Il consenso è valido se la volontàè espressa in modo NON equivoco, anche con un’azione positiva: non ci deve essere per forza la casella di spunta, basta un testo in cui si informa che proseguendo si accetta il trattamento dati con link all’informativa.
5 – VALUTAZIONE D’IMPATTO SULLA PROTEZIONE DEI DATI
Prima si preparava il DPS.
Con il Nuovo Regolamento Europeo si effettua una valutazione degli impatti privacy analizzando i rischi, definendo i gap rispetto alla corretta gestione dei rischi, stabilendo un piano per colmarli e controllando annualmente gli effetti degli interventi per ridurre i rischi. Quasi sicuramente il nuovo documento sarà chiamato PIA: Privacy Impact Assessment.
6 – ABOLIZIONE DELLA NOTIFICAZIONE
Prima si doveva informare il Garante che un soggetto sta trattando dati per una particolare finalità. (ex art. 37 D.lgs. 196/2003)
Con il Nuovo Regolamento Europeo non si dovrà più notificare il Garante, ma ogni anno l’azienda dovrà redigere il privacy impact assessment, con il quale si considera effettuata la notifica.
7 – IL DATA PROTECTION OFFICER
Prima il DPO non era una figura contemplata.
Con il Nuovo Regolamento Europeo bisogna istituire (per tutti gli enti pubblici e per aziende il cui core business coinvolge trattamenti di natura rischiosa) un responsabile per la protezione dei dati. Il DPO sarà una figura manageriale con rinnovo periodico, sarà referente del Garante e dovrà avere requisiti e competenze elevate. Il DPO potrà essere sia un dipendente che un collaboratore con regolare contratto.
8 – PRIVACY BY DESIGN E PRIVACY BY DEFAULT
Prima la privacy era un elemento conclusivo e finale.
Con il Nuovo Regolamento Europeo la privacy deve essere vista come un elemento iniziale: devo pensarci appena decido di raccogliere dati e predisporre alti livelli di privacy nel trattamento dati, che potranno essere abbassati dal diretto interessato.
9 – OBBLIGO DI SEGNALAZIONE IN CASO DI VIOLAZIONE DEI DATI
Prima non era necessario comunicare violazioni nel trattamento dati.
Con il Nuovo Regolamento Europeo nel caso di violazione del trattamento dati bisogna effettuare una segnalazione al Garante entro 72 ore dall’evento e, nel più breve tempo possibile, bisogna informare anche i diretti interessati. Il mancato rispetto di quest’obbligo comporta sanzioni penali. È possibile prevedere delle assicurazioni per coprire il costo di comunicare la violazione a tutti gli interessati, definito Data Breach.
10 – RICONOSCIMENTO DI NUOVI DIRITTI
Prima pochi diritti che tutelavano l’interessato in merito alla gestione dei suoi dati.
Con il Nuovo Regolamento Europeo nuovi diritti: diritto alla portabilità dei dati (posso pretendere che il soggetto a cui ho concesso l’uso dei miei dati me li restituisca su un supporto elettronico strutturato così che io possa farne ulteriore uso, anche presso un altro fornitore), diritto a essere totalmente dimenticato da chi ha raccolto i miei dati. L’ Unione europea ora sta affrontando altri temi cruciali: dalla responsabilità delle piattaforme rispetto anche ai contenuti, al tema delle fake news e della necessità di impedire che la manipolazione dei dati arrivi ad alterare la democrazia.
(25 MAG – red)