Cos’è il GDPR e cosa sono i dati personali
Cos’è il GDPR? Rappresenta l’acronimo di “General Data Protection Regulation”. Il GDPR delinea il “dato personale” dell’utente e quindi identifica le sue informazioni personali, private.
Con il GDPR entriamo in un altro campo che non tratta più meramente i “dati sensibili” ma piuttosto quelli giudiziari.
In sostanza si tratta di tutta quella serie di normative riguardanti la protezione dei dati delle imprese all’interno del territorio UE. Dallo scorso 2018, tale normativa è stata aggiornata e pertanto le aziende devono rimanere obbligatoriamente al passo. Vediamo quali sono le condizioni che vanno rispettate.
Tipologie di dati personali
Con la definizione data poco sopra di GDPR, identifichiamo appunto quei dati personali, i quali a loro volta sono suddivisi in specifiche tipologie:
- Origine etnica
- Opinioni politiche
- Religione
- Appartenenza o meno ad un sindacato
- Condanne penali
- Orientamento sessuale
- Stato di salute generico
Il regolamento del GDPR parte dunque nella suddivisione in categorie di questi dati, che hanno un’origine diversa:
- Provided: forniti dall’utente durante la fase di registrazione
- Observed: desumibili dal tipo di navigazione dell’utente
- Derived: dalla profilazione
- Inferred: aggregati basati su previsioni di tipo statistico
Quali sono i contenuti principali del GDPR
I dati relativi al GDPR devono essere assolutamente riservati e intaccabili. Il tutto è finalizzato alla navigazione sicura dell’utente. A tal fine ci sono dei principi fondamentali che servono proprio a non far verificare alcun accesso illecito ai dati personali. Principi che possiamo nei seguenti modi.
- Correttezza/Trasparenza: nei confronti dell’utente
- Finalità limitate: si deve sempre specificare come andranno trattati i dati dell’utente
- Adeguamento dei dati: in base alle necessità rese esplicite
- Esattezza: i dati per essere esatti devono essere adeguati e aggiornati
- Conservazione: i dati devono essere registrati nel GDPR solo per il tempo necessario
- Riservatezza: fare in modo che i dati non siano diffusi, persi o distrutti.
Cos’è un’informativa sul trattamento dei dati personali, a chi è rivolta e quando (e a chi) occorre fornirla
L’informativa sui dati GDPR, specifichiamo, è una condizione di legittimità del trattamento degli stessi e non solo una “formalità” dovuta. Per informativa si intende una comunicazione rivolta all’interessato.
Quest’ultimo ha l’obbligo legale di informare l’utente sul trattamento e su tutte le altre specifiche dei suoi dati personali. Si tratta di una condizione necessaria e che deve rientrare in tutti quei parametri che vi abbiamo evidenziato nel paragrafo precedente.
Quando diventa obbligatoria l’informativa?
Si parla di obbligatorietà dell’informativa ogni qual volta ci sia un trattamento dei dati. L’obbligo entra in vigore quando si deve informare l’interessato al momento compiuto del rilascio dei dati. Un obbligo che però non rientra nella casistica dei “dati anonimi”, circoscritti quindi a enti o persone giuridiche.
La persona fisica che invece effettua il trattamento dei dati per attività e carattere esclusivamente personale e domestico, non è tenuta obbligatoriamente a fornire l’informativa.
Non è invece obbligatoria l’informativa sui dati quando l’interessato è già in possesso delle informazioni o nel caso in cui i dati personali debbano rimanere riservati per “obbligo di segreto professionale”.
Sul punto relativo all’obbligatorietà si è espresso poi il Garante Italiano Privacy. Tale organo ha stabilito che l’obbligatorietà dell’informativa dei dati decade quando i dati sono trattati in base ad un obbligo previsto dalla legge italiana o comunitaria europea, oppure quando tale trattamento dei dati è connesso allo svolgimento delle “investigazioni difensive”.
I responsabili del trattamento dati
Il responsabile del trattamento dei dati è una figura che è legata al titolare del trattamento dei dati. Come già specificato nell’apposito altro articolo, ci sono però delle condizioni alle quali non si può “sfuggire” nella nomina di tale figura:
- non entrare in conflitto di interesse con il titolare del trattamento dati
- elaborare dati per conto del titolare stesso
Il suo ruolo si definisce in base all’utilizzo dei dati, ovvero se il trattamento non costituisca un elemento chiave del servizio, allora in quel caso il fornitore di servizi potrebbe autonomamente trattare i dati.
Perché sono necessari gli atti di nomina a responsabili (o sub-responsabili del trattamento)
Secondo il regolamento del GDPR, la mansione principale del titolare del trattamento dati è limitato alla valutazione del rischio dei dati stessi. Proprio per ovviare a possibili sanzioni o problematiche in essere è bene nominare, tramite un atto, un responsabile del trattamento dati.
Tale nomina, prevista nell’art.28 del GDPR lega il titolare e il responsabile del trattamento dati a obblighi legali ai quali non si possono sottrarre. La normativa infatti recita esattamente così: “la materia disciplinata e la durata del trattamento, la natura e la finalità del trattamento, il tipo di dati personali e le categorie di interessati, gli obblighi e i diritti del titolare del trattamento”.
Perché è importante l’adeguamento al GDPR
L’adeguamento GDPR è fondamentale, visto che questo pone l’accento sul principio dell’accountability di titolari e responsabili. Per dirvelo in maniera più pratica sull’adozione di comportamenti proattivi e tali da dimostrare la concreta adozione di misure finalizzate ad assicurare l’applicazione del regolamento.
In questo senso il RGPD ribalta la prospettiva e affida ai titolari il compito di decidere autonomamente le modalità, le garanzie e i limiti del trattamento dei dati personali, nel rispetto della normativa privacy e alla luce di alcuni criteri specifici indicati nel regolamento.
Quali sono i criteri del “Data Protection”
Il criterio che più degli altri sintetizza la ratio sottesa al GDPR è sintetizzato dall’espressione inglese data protection by default and by design, ossia dalla necessità di configurare il trattamento prevedendo fin dall’inizio le garanzie indispensabili per soddisfare i requisiti del regolamento e tutelare i diritti degli interessati, tenendo conto del contesto complessivo ove il trattamento si colloca e dei rischi per i diritti e le libertà degli interessati.
Tutto questo deve avvenire a monte, prima di procedere al trattamento dei dati vero e proprio e richiede, pertanto, un'analisi preventiva e un impegno applicativo da parte dei titolari che devono sostanziarsi in una serie di attività specifiche e dimostrabili.
FAQ
Cosa si intende per trattamento dati?
Con questa dicitura intendiamo qualsiasi operazione avvenuta mediante processi telematici sui dati personali. Uso, diffusione, registrazione e raccolta dei dati e tutti gli usi che se ne possono fare.
Chi è il titolare del trattamento dati?
Questa figura è quella preposta alla tutela dei dettami del GDPR. Il titolare è obbligato a tutelare la privacy dell’utente. Per quello che concerne una società o un’associazione, questa veste è occupata da un rappresentante legale qualificato.
Chi è il responsabile del trattamento dati?
Il regolamento del GDPR cita espressamente che “per responsabile del trattamento dati intendiamo una persona fisica o giuridica, autorità pubblica che tratta i dati personali per conto del titolare”. Aspetto molto importante e che vogliamo evidenziare è che il responsabile può essere solamente un esterno all’associazione. Di conseguenza non è possibile nominare tramite un atto di notifica un socio o un dipendente o un collaboratore interno.
Necessiti di una consulenza legale sul GDPR? Contattaci!
Come visto molte aziende nel tempo acquisiscono la necessità di una consulenza sul GDPR. Molto spesso questo tema (e le conseguenti problematiche che possono sorgere) sono sottovalutate. Ecco perché adeguare la propria azienda non è una questione da poco: i vari fattori da considerare sono sfaccettati e richiedono grande attenzione. Per questo motivo è importante affidarsi agli esperti del settore.
Polimeni.Legal è a disposizione per rispondere a dubbi e domande e per offrire la propria esperienza pluriennale in campo di Privacy e GDPR attraverso un servizio completo e in grado di semplificare.
Perché preoccuparsi? Basta adeguarsi! Contattaci tramite il form apposito che trovi qui di seguito e richiedici una prima consulenza!
