Il regolamento generale sulla protezione dei dati (in sigla RGPD o GDPR in inglese General Data Protection Regulation), ufficialmente regolamento (UE) n. 2016/679 del Parlamento europeo e del Consiglio, è la principale normativa europea sulla protezione dei dati e disciplina il trattamento dei dati personali relativi alle persone nell’Unione Eutopea, da parte di persone, società o organizzazioni.
Il Regolamento
Il regolamento generale sulla protezione dei dati è stato adottato il 27 aprile 2016, pubblicato sulla Gazzetta ufficiale dell’Unione europea il 4 maggio 2016, è entrato in vigore il 24 maggio dello stesso anno ed è operativo a partire dal 25 maggio 2018.
Il regolamento non solo conferisce ai cittadini un maggiore controllo sulle modalità di utilizzo dei loro dati personali, ma semplifica notevolmente anche il contesto normativo per le imprese. Per farlo, definisce un quadro normativo uniforme per la protezione dei dati in tutta l’UE.
In altre parole, anziché avere leggi diverse sulla protezione dei dati in ogni paese, ora l’intera Unione è disciplinata da un unico regolamento. In questo modo, un’azienda che opera in paesi diversi non deve più rispettare normative varie e spesso divergenti, per poter offrire i suoi servizi ovunque nell’ Unione, dovrà semplicemente rispettare il GDPR.
Inoltre, in quanto regolamento, non ha bisogno di essere recepito dai vari Stati dell’Unione ed è attuato allo stesso modo in tutta l’Unione Europea.
I suoi obiettivi principali sono:
- Adeguare la vecchia normativa del 1995 alle nuove tecnologie.
- Equilibrare ed uniformare la regolamentazione sulla protezione dei dati personali .
- Creare un nuovo quadro comune al fine di assicurare un’applicazione coerente e omogenea delle norme a protezione dei diritti e delle libertà fondamentali delle persone fisiche con riguardo al trattamento dei dati personali in tutta l’Unione Europea.
La nuova concezione della protezione dei dati.
Con il nuovo regolamento europeo si passa da una filosofia normativa molto formale, basata su un elenco di regole formali , adempimenti e misure minime di sicurezza da adottare, ad un sistema di governance dei dati personali basato su l’ «accountability» , in sostanza la responsabilizzazione del Titolare.
L’ «accountability» quindi accresce le responsabilità del titolare e del responsabile indirizzandoli verso un’attenzione al rischio (“risk-based approach” ) e quindi a comportamenti e prassi virtuose.
Nel nuovo scenario legislativo la protezione dei dati personali è il diritto fondamentale delle persone fisiche, come pure la libera circolazione dei dati personali assieme al rafforzamento dei diritti dell’interessato.
Infatti il Regolamento inizia con i tre punti fondamentali dell’Articolo 1:
- Il presente regolamento stabilisce norme relative alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché norme relative alla libera circolazione di tali dati.
- Il presente regolamento protegge i diritti e le libertà fondamentali delle persone fisiche, in particolare il diritto alla protezione dei dati personali.
- La libera circolazione dei dati personali nell’Unione non può essere limitata né vietata per motivi attinenti alla protezione delle persone fisiche con riguardo al trattamento dei dati personali.
Accountability, questa sconosciuta
Il nuovo assetto normativo sposta tutte le responsabilità in capo ai titolari e responsabili del trattamento dati. Infatti la principale novità introdotta è il principio di «accountability» ovvero “responsabilizzazione e dovere di rendicontazione” che rimette direttamente nelle mani dei titolari il compito di assicurare e dimostrare che il trattamento è effettuato conformemente ai principi del GDPR.
Traducendo letteralmente dall’inglese «accountability» significa “essere in grado di dar conto”: una grande responsabilità per i Titolari.
Il tutto trova riscontro nell’Articolo 5 dove leggiamo:
Il titolare del trattamento è competente per il rispetto dei principi del Regolamento e in grado di comprovarlo («responsabilizzazione»).
Il regolamento pone con forza l’accento sulla “responsabilizzazione” (accountability nell’accezione inglese) di titolari e responsabili – ossia, sull’adozione di comportamenti proattivi e tali da dimostrare la concreta adozione di misure finalizzate ad assicurare l’applicazione del regolamento. Si tratta di una grande novità per la protezione dei dati in quanto viene affidato ai titolari il compito di decidere autonomamente le modalità, le garanzie e i limiti del trattamento dei dati personali – nel rispetto delle disposizioni normative e alla luce di alcuni criteri specifici indicati nel regolamento.
È opportuno che aziende e amministrazioni utilizzino un approccio basato sul rischio nel trattamento dei dati personali e svolgano una intensa attività di adeguamento. I titolari quindi devono condurre un’analisi preventiva, con un impegno applicativo, che deve poi concretizzarsi in una serie di attività specifiche e dimostrabili.
Le sanzioni
Per il Regolamento le sanzioni amministrative e pecuniarie devono essere in concreto effettive, proporzionate e dissuasive.
Per le sanzioni penali l’articolo 84 del GDPR demanda l’ attività di normazione agli Stati membri.
Abbiamo riscontrato due tipi di sanzioni: amministrative e penali. Le sanzioni amministrative sono disciplinate dal Regolamento Europeo, mentre le sanzioni penali sono contenute nel Codice Penale italiano.
Inoltre, è presente la responsabilità civile che obbliga le persone a risarcire i danni che hanno causato.
Le sanzioni amministrative sono stabilite in relazione alla gravità, alla natura ed alla durata della violazione, come pure al carattere doloso/colposo e al grado di collaborazione con il Garante.
Esse sono regolate dall’articolo 83 del Regolamento e sono ed economicamente assai gravose: fino a 20 milioni di euro o fino al 4 per cento del fatturato globale annuo.
Le sanzioni penali sono volte a punire coloro che violano la normativa in materia di protezione dei dati personali e possono prevedere la reclusione da sei mesi a un anno e sei mesi.
Risk based approach
Come già detto in precedenza tra le attività fondamentali per la compliance al GDPR sono quelle connesse alla gestione del rischio inerente al trattamento.
Quest’ultimo è da intendersi come rischio di impatti negativi sulle libertà e i diritti degli interessati (link ad articolo per si vedano considerando 75-77); tali impatti dovranno essere analizzati attraverso un apposito processo di valutazione (link ad articolo per si vedano artt. 35-36) tenendo conto dei rischi noti o evidenziabili e delle misure tecniche e organizzative (anche di sicurezza) che il titolare ritiene di dover adottare per mitigare tali rischi . All’esito di questa valutazione di impatto il titolare potrà decidere in autonomia se iniziare il trattamento (avendo adottato le misure idonee a mitigare sufficientemente il rischio) ovvero consultare l’autorità di controllo competente per ottenere indicazioni su come gestire il rischio residuale… https://www.garanteprivacy.it/regolamentoue/approccio-basato-sul-rischio-e-misure-di-accountability-responsabilizzazione-di-titolari-e-responsabili
Il rischio è diventato di sostanziale importanza nel nuovo assetto normativo infatti, nel testo del Regolamento, la voce “rischio” ricorre 51 volte.
Il considerando 83 ne è un esempio: Per mantenere la sicurezza e prevenire trattamenti in violazione al presente regolamento, il titolare del trattamento o il responsabile del trattamento dovrebbe valutare i rischi inerenti al trattamento e attuare misure per limitare tali rischi, quali la cifratura. Tali misure dovrebbero assicurare un adeguato livello di sicurezza, inclusa la riservatezza, tenuto conto dello stato dell’arte e dei costi di attuazione rispetto ai rischi che presentano i trattamenti e alla natura dei dati personali da proteggere. Nella valutazione del rischio per la sicurezza dei dati è opportuno tenere in considerazione i rischi presentati dal trattamento dei dati personali, come la distruzione accidentale o illegale, la perdita, la modifica, la rivelazione o l’accesso non autorizzati a dati personali trasmessi, conservati o comunque elaborati, che potrebbero cagionare in particolare un danno fisico, materiale o immateriale.
L’approccio basato sul rischio, o meglio sulla valutazione del rischio, determina il superamento del concetto di misure “minime di sicurezza”, tipico del vecchio Codice , che si concretizzavano in adempimenti tipicamente formali basati su repliche e copie di documenti standard spesso molto lontani dalle reali necessità di sicurezza e conformità alla normativa.
Con il GDPR quindi il Titolare dovrà svolgere un processo di autovalutazione che si traduce in un’analisi del contesto del trattamento come pure delle probabilità che si verifichino determinati rischi, dei livelli di gravità di tali rischi. In pratica dovrà applicare le tecniche del risk management per identificare, misurare e valutare i rischi ai quali è esposto l’interessato e i suoi dati personali e, di conseguenza, approntare azioni volte a limitare il verificarsi degli eventi rischiosi.
Non esistono più le misure minime di sicurezza, come nella precedente disciplina, ma è il titolare che, sulla base del principio della responsabilizzazione, dovrà valutare l’adeguatezza delle misure di sicurezza da mettere in campo.
https://www.kinetica.it/gdpr-ecco-in-10-punti-le-maggiori-novita-del-nuovo-regolamento-privacy/
Responsabilità del titolare del trattamento
Il «Titolare del trattamento» è definito dal GDPR come la persona fisica o giuridica, …che determina le finalità e i mezzi del trattamento dei dati personali.
L’Articolo 24 del Regolamento cosi recità in merito alle “responsabilità del titolare”:
- Tenuto conto della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, nonché dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche, il titolare del trattamento mette in atto misure tecniche e organizzative adeguate per garantire, ed essere in grado di dimostrare, che il trattamento è effettuato conformemente al presente regolamento. Dette misure sono riesaminate e aggiornate qualora necessario.
- Se ciò è proporzionato rispetto alle attività di trattamento, le misure di cui al paragrafo 1 includono l’attuazione di politiche adeguate in materia di protezione dei dati da parte del titolare del trattamento.
Il titolare è quindi giuridicamente responsabile della compliance al GDPR.
In quest’ottica i principali obblighi per il titolare sono:
- Gestire i dati in modo lecito, corretto e trasparente;
- Gestire il consenso e l’informativa;
- Garantire il rispetto dei diritti degli interessati;
- Fornire le istruzioni e formare il personale;
- Svolgere la valutazione del rischio e adottare le misure tecniche e organizzative adeguate;
- Nominare il Responsabile della protezione dati (DPO/RPD);
- Tenere il registro delle attività di trattamento;
- Documentare e comunicare le violazioni di dati al Garante;
- Ecc….
Insomma le incombenze sono cosi tante che lo stesso Regolamento caldeggia che qualcuno venga in aiuto del Titolare.
Infatti al considerando 97 troviamo: Per i trattamenti effettuati da un’autorità pubblica, . . . il titolare del trattamento o il responsabile del trattamento dovrebbe essere assistito da una persona che abbia una conoscenza specialistica della normativa e delle pratiche in materia di protezione dei dati.
In questo contesto la figura chiave è il Responsabile della Protezione dei Dati (Data Protection Officer – DPO) una sorta di “parafulmine” per il Titolare.
Il DPO un aiuto sostanziale per per il Titolare
Il DPO (in italiano Responsabile della protezione dei dati) è una figura importante nella gestione della protezione dei dati tanto che la sua nomina diventa obbligatoria per tutte le autorità pubbliche o organismi pubblici, per chi effettua trattamenti che richiedono il monitoraggio regolare e sistematico degli interessati su larga scala e per chi effettua come attività principali trattamenti su larga scala di dati sensibili, genetici, biometrici, giudiziari.
Questa nuova figura introdotta dal Regolamento è sostanzialmente un consulente specializzato nella protezione dei dati personali che assiste l’azienda o l’ente pubblico affinche mantenga un elevato livello di congruità con la normativa
Un punto di riferimento per titolari e responsabili che viene costantemente interpellato in tutte le questioni che coinvolgono dati personali.
Le funzioni del DPO sono specificate nell’articolo 39 del gdpr e possono essere suddivise in:
- Informazione e consulenza sugli obblighi che gravano in capo al titolare o responsabile del trattamento;
- Sorveglianza sull’adozione del GDPR e più in generale sulle norme che riguardano la protezione dei dati personali;
- Supporto nella formazione o sensibilizzazione del personale che partecipa in concreto al trattamento dei dati personali;
- Fornire pareri in merito alla valutazione d’impatto sulla protezione dei dati e sorvegliarne lo svolgimento;
- Cooperazione con il Garante.
Alla luce di quanto visto la nomina del DPO rappresenta dunque, anche per le organizzazioni che non ne hanno l’obbligo, un’opportunità per aumentare la propria accountability.
Il Consenso dell’interessato
Il Regolamento prevede varie condizioni per la validità del consenso, volte a garantire che gli interessati intendano realmente acconsentire a uno specifico uso dei loro dati.
Il consenso è una tra le sei condizioni di Liceità del trattamento.
Il regolamento europeo si esprime definendo il «consenso dell’interessato»: qualsiasi manifestazione di volontà libera, specifica, informata e inequivocabile dell’interessato, con la quale lo stesso manifesta il proprio assenso, mediante dichiarazione o azione positiva inequivocabile, che i dati personali che lo riguardano siano oggetto di trattamento.
A supporto di ciò il Considerando 32 riporta che: Il consenso dovrebbe essere prestato mediante un atto positivo inequivocabile con il quale l’interessato manifesta l’intenzione libera, specifica, informata e inequivocabile di accettare il trattamento dei dati personali che lo riguardano, ad esempio mediante dichiarazione scritta, anche attraverso mezzi elettronici, o orale. Ciò potrebbe comprendere la selezione di un’apposita casella in un sito web, la scelta di impostazioni tecniche per servizi della società dell’informazione o qualsiasi altra dichiarazione o qualsiasi altro comportamento che indichi chiaramente in tale contesto che l’interessato accetta il trattamento proposto. Non dovrebbe pertanto configurare consenso il silenzio, l’inattività o la preselezione di caselle. Il consenso dovrebbe applicarsi a tutte le attività di trattamento svolte per la stessa o le stesse finalità. Qualora il trattamento abbia più finalità, il consenso dovrebbe essere prestato per tutte queste. Se il consenso dell’interessato è richiesto attraverso mezzi elettronici, la richiesta deve essere chiara, concisa e non interferire immotivatamente con il servizio per il quale il consenso è espresso.
Tutto cio premesso il consenso può essere la giusta base legale a patto che sia volontario, consapevole, specifico e inequivocabile, e l’assenso a che i dati personali siano oggetto di trattamento deve essere manifestato mediante azione positiva.
Ambito di applicazione materiale del GDPR
Come ci ricorda l’Articolo 2 del Regolamento generale sulla protezione dei dati , il GDPR si applica:
- al trattamento interamente o parzialmente automatizzato di dati personali;
- al trattamento non automatizzato (quindi trattamenti su supporto cartaceo) di dati personali contenuti in un archivio o destinati a figurarvi.
Il Regolamento non si applica ai trattamenti di dati personali:
- effettuati per attività che non rientrano nell’ambito di applicazione del diritto dell’Unione;
- effettuati dagli Stati membri nell’esercizio di attività che rientrano nell’ambito di applicazione del titolo V, capo 2, TUE;
- effettuati da una persona fisica per l’esercizio di attività a carattere esclusivamente personale o domestico;
- effettuati dalle autorità competenti a fini di prevenzione, indagine, accertamento o perseguimento di reati o esecuzione di sanzioni penali, incluse la salvaguardia contro minacce alla sicurezza pubblica e la prevenzione delle stesse.
Inoltre le norme sulla protezione dei dati si applicano solo ai dati personali delle persone fisiche e non regolano i dati delle società o di altre persone giuridiche. Tuttavia, le informazioni relative alle imprese individuali possono costituire dati personali se consentono l’identificazione di una persona fisica. Le norme si applicano anche a tutti i dati personali relativi a persone fisiche nel corso di un’attività professionale, quali ad esempio i dipendenti di un’azienda/organizzazione, come gli indirizzi e-mail aziendali del tipo «[email protected]» o i numeri telefonici aziendali dei dipendenti.
Il GDPR non si applica ai dati personali delle persone decedute ma in Italia (come previsto sempre dal GDPR) sono state previste norme a tutela del trattamento dei dati delle persone decedute. Il D.Lgs 101/2018 infatti, con l’art. 2-terdecies, estende le norme del Regolamento anche ai trattamenti dei dati personali di persone decedute.
Ambito di applicazione territoriale del GDPR
L’Articolo 3 del Regolamento generale sulla protezione dei dati disciplina l’ambito territoriale.
Il GDPR si applica al trattamento dei dati personali e a tutti i titolari e i responsabili del trattamento stabiliti nell’Unione Europea indipendentemente dal fatto che il trattamento sia effettuato o meno nella UE.
In pratica si applica a tutti coloro che trattano dati di residenti nell’Unione Europea.
Infatti il comma 2 precisa che:
Il presente regolamento si applica al trattamento dei dati personali di interessati che si trovano nell’Unione, effettuato da un titolare del trattamento o da un responsabile del trattamento che non è stabilito nell’Unione, quando le attività di trattamento riguardano:
- l’offerta di beni o la prestazione di servizi ai suddetti interessati nell’Unione, indipendentemente dall’obbligatorietà di un pagamento dell’interessato;
- oppure il monitoraggio del loro comportamento nella misura in cui tale comportamento ha luogo all’interno dell’Unione.
Come essere conformi al Regolamento
Il GDPR è un ingranaggio multiforme e articolato di non semplice applicazione.
Volendo semplificare le azioni da mettere in campo sono almeno:
- Mappare l’organizzazione a partire dal censimento dei dati personali presenti e dei relativi trattamenti, passando per l’organigramma aziendale e senza tralasciare la filiera del trattamento dati;
- Identificare i fondamenti di liceità di ciascun trattamento;
- Redarre i Registri delle attività di trattamento dei titolari e dei responsabili;
- Effettuare analisi e valutazione del rischio ed adottare le opportune misure di sicurezza;
- Aggiornare le informative: devono essere scritte in forma chiara, semplice e trasparente;
- Nominare il DPO. Il Responsabile della protezione dei dati è una figura obbligatoria per le PA e le aziende che trattano dati su larga scala o dati sensibili su larga scala. È comunque un consulente che fornisce aiuto e supporto per cui può essere opportuno valutarne la nomina anche per le organizzazioni che non ne hanno l’obbligo;
- Formazione al personale.
La produzione di documentazione descrittiva di tutti i processi sopra descritti è vitale per la accountability.
Guide al GDPR
La Commissione europea ha realizzato una pagina web dove riporta i punti salienti del GDPR (https://ec.europa.eu/justice/smedataprotect/index_it.htm)
Anche il nostro Garante ha pubblicato una guida all’applicazione del Regolamento europeo in materia di protezione dei dati personali. La Guida intende offrire un panorama delle principali problematiche che imprese e soggetti pubblici devono tenere presenti nell’applicazione del Regolamento.
Regolamento (UE) 2016/679 “Relativo alla protezione delle persone fisiche, con riguardo al trattamento dei dati personali, nonché alla libera circolazione dei dati” (versione italiana)
Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 Arricchito con riferimenti ai Considerando
Decreto legislativo 101/2018 “Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 2016/679”