General Data Protection Regulation (GDPR), le novità in merito alla tutela della privacy

Il Regolamento UE 2016/679 rappresenterà, a partire dal 25 maggio 2018, un’ importantissima novità in ambito della protezione delle persone fisiche con riguardo al trattamento e alla tutela della libera circolazione dei dati personali. Questo regolamento, adottato dall’ Unione Europea per esigenze specifiche di armonizzazione, certezza giuridica e semplificazione delle norme riguardanti la tutela della privacy, sarà direttamente applicabile in tutti gli Stati Membri, andando a sostituire, per quanto concerne la normativa italiana, il codice in materia di protezione dei dati personali (Decreto legislativo 30 giugno 2003, n. 196).

Questo comporterà nuove e più pesanti responsabilità in capo ad imprese ed enti con conseguenti sanzioni pecuniarie in caso di violazione.

Ma vediamo in breve quali sono le novità introdotte.

Diritto all’oblio

Il diritto all’oblio viene regolato dall’art. 17 del GDPR e rappresenta il diritto alla cancellazione dei dati di una persona fisica, esteso anche alla società digitale. In particolare l’art. menzionato recita: “L’interessato ha il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo e il titolare del trattamento ha l’obbligo di cancellare senza ingiustificato ritardo i dati personali, se sussiste uno dei motivi seguenti: i dati personali non sono più necessari rispetto alle finalità per le quali sono stati raccolti o altrimenti trattati; l’interessato revoca il consenso su cui si basa il trattamento e se non sussiste altro fondamento giuridico per il trattamento; l’interessato si oppone al trattamento e non sussiste alcun motivo legittimo prevalente per procedere al trattamento; i dati personali sono stati trattati illecitamente; i dati personali devono essere cancellati per adempiere un obbligo legale previsto dal diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento; i dati personali sono stati raccolti relativamente all’offerta di servizi della società dell’informazione”. La vera novità, consiste nel dovere del titolare, che abbia reso pubblici i dati, di informare della richiesta di cancellazione anche gli altri titolari che, a sua conoscenza, stanno trattando i dati dell’interessato, sempre che si richieda anche la “delinkizzazione” o la cessazione di ogni copia o diffusione.

Responsabilizzazione

Il termine responsabilizzazione (accountability), rappresenta un’altra importantissima novità in materia, in quanto conferisce ai singoli titolari la possibilità di decidere, in maniera del tutto autonoma, le modalità, le garanzie ed i limiti da applicare per i trattamenti dei dati personali, ponendo, in capo agli stessi, l’obbligo di adottare dei comportamenti proattivi in grado di assicurare il rispetto del Regolamento Europeo. Questo presuppone, ovviamente, un puntuale e specifico studio della nuova normativa in materia da parte del titolare dei dati, al fine di comprendere le modalità di applicazione. Il regolamento, ad ogni modo, introduce dei criteri guida per coadiuvare i titolari dei dati personali ad applicare al meglio la nuova disciplina. Una novità in termine di responsabilizzazione riguarda le imprese, le quali saranno chiamate ad analizzare attentamente le attività che comportano trattamento e circolazione di dati personali e, sulla base di tale valutazione, identificare i possibili rischi per i diritti e le libertà delle persone coinvolte e, infine, predisporre le misure di sicurezza necessarie per porre in essere una reale protezione dei dati ed effettuare un trattamento lecito, sicuro e trasparente.

Data Protection Officer

Una figura di grande rilievo, introdotta con il Regolamento Ue 2016/679, sarà quella del Responsabile della Protezione dei Dati personali (DPO), un vero e proprio consulente tecnico con poteri esecutivi che si occuperà della conservazione dei dati personali, gestendone i rischi. Il DPO ricoprirà molteplici mansioni e, per questo, il Regolamento Europeo Privacy ha previsto la sua indipendenza ed autonomia decisionale. Lo stesso effettuerà consulenze al responsabile della conservazione, informando in seguito tutte le figure coinvolte, sia in merito alla normativa, sia riguardo alle soluzioni tecniche adottate per rispettare gli standard imposti. È una figura indispensabile per le Pubbliche Amministrazioni che saranno obbligate a nominarlo e, in caso contrario, come disposto dall’art. 83, comma 4 del Regolamento, rischieranno sanzioni pecuniarie salatissime, anche fino a 10 milioni di euro, e per le imprese fino al 2% del fatturato mondiale totale annuo.