Da oggi 25 maggio 2018 si applica in Italia il Regolamento Ue 2016/679 in materia di protezione dei dati personali, noto come GDPR (General Data Protection Regulation). La nuova disciplina uniforma le regole in tutti i Paesi dell'Unione e rappresenta la più grande riforma in questo settore da un quarto di secolo a questa parte.
Il Regolamento adegua il quadro normativo al nuovo contesto sociale ed economico - caratterizzato da un incessante sviluppo tecnologico e da forme sempre più massicce e pervasive di scambio e sfruttamento di dati - rafforzando le tutele poste a salvaguardia dei dati personali e i diritti degli individui.
Con il Regolamento cambia in maniera radicale l'approccio alla protezione dei dati: imprese ed enti dovranno operare seguendo il principio di responsabilizzazione ("accountability"), considerare la protezione dei dati non come obbligo formale, ma come una parte integrante e permanente delle loro attività e promuovere consapevolezza negli utenti sui loro diritti e le loro libertà.
Nello specifico, la prima novità fondamentale del Regolamento è quella di essere integralmente applicabile alle imprese situate fuori dall'Unione europea che offrono servizi o prodotti a persone presenti nel territorio dell'Unione europea o ne monitorano il comportamento. Tutte le aziende, ovunque stabilite, dovranno quindi rispettare le regole fissate nell'Ue.
Ogni utente avrà il diritto di ricevere informazioni chiare sull'uso che viene fatto dei suoi dati personali, potrà trasferirli da un titolare del trattamento ad un altro, compresi i social network ("diritto alla portabilità dei dati"), e vedrà rafforzato il suo diritto di far cancellare, anche on line, le informazioni non più necessarie rispetto alle finalità per le quali sono state raccolte ("diritto all'oblio").
La nuova disciplina introduce anche altre importanti misure. Imprese ed enti dovranno rispettare i principi della "privacy by design" e della "privacy by default": dovranno inserire cioè garanzie a favore degli utenti in dalla progettazione di ogni trattamento e di ogni prodotto o servizio che comporti il trattamento di dati personali. Il consenso all'uso dei dati dovrà essere ancora più specifico per ogni servizio reso. Chi tratta dati avrà l'obbligo di informare le Autorità garanti, e nei casi più gravi gli stessi interessati, in caso si verifichino furti, diffusione illecita o perdite di dati ("data breach").
Altra importante innovazione è la figura del Responsabile della protezione dei dati (RPD) che dovrà operare all'interno di tutte le amministrazioni pubbliche e di quelle imprese che fanno particolari trattamenti di dati o usano particolari categorie di dati, offrendo consulenza e supporto al proprio titolare o responsabile del trattamento.
Le sanzioni per chi non rispetta le regole potranno arrivare fino al 4 per cento del fatturato globale annuo. Tutte le Autorità di protezione dati dei Paesi Ue, alle quali è affidato il compito di vigilare sull'attuazione del Regolamento, avranno gli stessi poteri e gli stessi compiti, a garanzia ulteriore di un'applicazione realmente uniforme ed efficace nell'intera Unione.
IN CONSULTAZIONE PROGETTO DI PRASSI DI RIFERIMENTO PER LA GESTIONE DELLA PRIVACY IN AMBITO DIGITALE. In concomitanza dell’entrata in vigore del Regolamento UE 2016/679, prende avvio la fase di pubblica consultazione del progetto di prassi di riferimento in tema di gestione e monitoraggio dei dati personali in ambito ICT.
Frutto della collaborazione con AIP – Associazione Informatici Professionisti, il documento è stato elaborato dal Tavolo “Processi di gestione privacy in ambito digitale”, sotto il coordinamento di UNINFO, Ente Federato all’UNI che lavora nell'ambito delle tecnologie informatiche e delle loro applicazioni.
Il progetto è ora sottoposto, sino al 24 giugno prossimo, alla fase di consultazione pubblica al fine di raccogliere osservazioni da parte del mercato.
Il progetto di prassi di riferimento "Linee guida per la gestione dei dati personali in ambito ICT secondo il Regolamento UE 679/2016 (GDPR)" si compone di due sezioni:
- sezione 1: Gestione e monitoraggio dei dati personali in ambito ICT (scarica il documento sino al 24 giugno);
- sezione 2: Requisiti per la protezione e valutazione di conformità dei dati personali in ambito ICT (scarica il documento sino al 24 giugno).
L’obiettivo del documento, che si rivolge ai trattamenti di dati personali mediante strumenti elettronici (ICT), è quello di definire in modo obiettivo e ripetibile le azioni per il corretto trattamento dei dati personali, offrendo a titolari e responsabili una linea guida di riferimento e alle autorità di controllo un metro di giudizio, ponendo le basi per meccanismi di certificazione come auspicati dall’art. 42 del Regolamento Europeo n.679/2016.
