Il Regolamento europeo privacy – Regolamento Generale sulla Protezione Dati, conosciuto meglio come GDPR – è entrato a far parte della nostra quotidianità dal 2018. Formalmente adottato nel 2016, è in realtà diventato operativo due anni dopo. Conoscerne l’importanza e le dinamiche, è fondamentale, in quanto questo Regolamento ha introdotto importanti novità a tutela del cittadino europeo.
Ecco una breve guida che raccoglie le informazioni fondamentali da conoscere sul GDPR.
- RGPD o GDPR
Si tratta delle sigle con cui viene abbreviato il nome ufficiale del Regolamento: in italiano Regolamento Generale sulla Protezione Dati (RGDP), in inglese General Data Protection Regulation (GDPR). Dal punto di vista prettamente legislativo la denominazione è invece Regolamento (UE) n. 2016/679.
- Dati personali: quali sono?
Il GDPR è stato introdotto per rafforzare la tutela della privacy e dei dati personali dei cittadini europei (persone fisiche). I dati personali sono qualsiasi informazione su una persona e assumono una valenza specifica se la persona a cui si riferiscono è identificata o identificabile.
- Trattamento dati personali: che cosa si intende
Con trattamento dei dati personali s’intende “qualsiasi operazione o insieme di operazioni, compiute con o senza l’ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali” (articolo 4 del GDPR), ad esempio raccolta, registrazione, conservazione, modifica.
- Violazione dei dati personali o data breach: quando avviene
La violazione, conosciuta in inglese come data breach, avviene quando – in modo accidentale o illecito – i dati personali vengono distrutti, persi, modificati, diffusi o visualizzati (articolo 4 del GDPR).
- Ambiti di applicazione
Comprese le basi fondamentali del Regolamento, è importante conoscere quali siano gli ambiti in cui viene applicato. L’articolo 3 del GDPR chiarisce questo aspetto:
“Il presente regolamento si applica al trattamento dei dati personali effettuato nell’ambito delle attività di uno stabilimento […] indipendentemente dal fatto che il trattamento sia effettuato o meno nell’Unione. […] si applica al trattamento dei dati personali di interessati che si trovano nell’Unione […] quando le attività di trattamento riguardano:
- a) l’offerta di beni o la prestazione di servizi ai suddetti interessati […]
- b) il monitoraggio del loro comportamento […].”.
- Soggetti coinvolti nel trattamento dati
Abbiamo chiarito gli ambiti di applicazione, ora è fondamentale sapere chi siano i soggetti coinvolti nel trattamento dati, indicati nell’articolo 4 del GDPR:
- Titolare del trattamento: “la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali”;
- responsabile del trattamento: “la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che tratta dati personali per conto del Titolare del trattamento”;
- destinatario: “la persona fisica o giuridica, l’autorità pubblica, il servizio o un altro organismo che riceve comunicazione di dati personali, che si tratti o meno di terzi”;
- incaricato: la persona fisica autorizzata a compiere azioni di gestione dei dati personali dal Titolare o dal responsabile;
- Interessato: la persona fisica a cui dati personali si riferiscono.
- Chi vigila sul trattamento dati in Italia: il garante privacy
In Italia l’organo preposto al controllo del rispetto della privacy e dei dati personali è l’Autorità Garante per la privacy (meglio conosciuta come Garante Privacy), che opera di concerto con la Guardia di Finanza.
- Sanzioni
Una novità importante introdotta con il Regolamento europeo privacy è stato l’inasprimento delle sanzioni in caso di violazione dei dati personali. Nello specifico esistono tre livelli di sanzioni:
- sanzioni amministrative, novità assoluta introdotta dal GDPR, consistono in multe, calcolate in base a criteri di effettività, dissuasività e proporzionalità e a seconda del tipo di violazione, (distinte in “meno gravi” o “più gravi”);
- sanzioni penali, vengono disciplinate da ciascun Stato europeo; in Italia si va riferimento al Codice della Privacy del 2003;
- sanzioni correttive, si tratta di misure che precedono le sanzioni amministrative e/o penali (limitazione, sospensione o blocco dei trattamenti, avvertimenti, ammonimenti e ingiunzioni a rispondere alle richieste dell’interessato).
- Diritto alla cancellazione, limitazione o rettifica
Dal momento in cui una persona fornisce i propri dati a qualcuno che li utilizza per scopi professionali – il GDPR non è efficace tra privati – acquisisce diritti elencati e normati dal Regolamento, tra cui il cosiddetto “diritto all’oblio”, il diritto alla cancellazione, alla limitazione o alla rettifica dei propri dati personali.
- Principio di accountability
Infine, il GDPR introduce un concetto semplice ma non scontato, ovvero il principio di accountability: il Titolare del trattamento è responsabile delle valutazioni sul rischio che corrono i dati trattati, posto che un trattamento senza rischio non esiste. Dunque il Titolare deve adottare misure tecniche e organizzative adeguate a limitare il rischio.