A partire dal 25 maggio 2018 le imprese e i soggetti pubblici dovranno adeguarsi ai nuovi requisiti del Regolamento Europeo UE 2016/679 in materia di privacy e tutela dei dati personali, per non incorrere in multe fino a 20 milioni di Euro o pari al 4% del fatturato annuo della società.
Con la nuova legislazione in materia di protezione dei dati, le aziende che gestiscono i dati personali dei cittadini europei dovranno sottostare a nuovi obblighi e responsabilità. In caso di mancato rispetto di queste norme, il GDPR consente alle autorità di protezione dei dati di emettere multe fino a 20 milioni di euro o per il 4% del fatturato mondiale annuo di una società, a seconda di quanto risulti più gravoso per l’azienda sanzionata.
Quali sono gli impatti principali del REG EU 2016/679 sulle imprese?
1 – Individuazione dei soggetti a cui si applica il regolamento
Prima = la normativa era applicabile nel luogo in cui aveva sede il Titolare del trattamento dei dati.
Con il REG EU = la legge applicabile è quella del soggetto i cui dati vengono raccolti. Social network, piattaforme web e motori di ricerca saranno quindi soggetti alla normativa europea anche se sono gestiti da società con sede fuori dall’UE. Con il nuovo regolamento viene abolita la figura del Titolare del Trattamento Dati e rimane solo la figura di Responsabile.
2 – Dovere di documentazione e informazione
Prima = la documentazione era importante.
Con il REG EU = principio dell’Accountability (responsabilità verificabile), secondo cui tutti i soggetti che partecipano al trattamento dati devono essere consci e responsabili e devono tenere documentazione di tutti i trattamenti effettuati. Chi non documenta, è soggetto a possibili sanzioni: a prescindere dall’utilizzo che si fa dei dati, è sufficiente non avere i documenti per essere perseguibili.
3 – Informativa privacy
Prima = l’informativa era spesso lunga, incomprensibile e con richiami normativi complessi.
Con il REG EU = l’informativa deve essere leggibile, comunicativa, accessibile, concisa e scritta con linguaggio chiaro e semplice con un numero limitato di riferimenti normativi. Deve essere fornita per iscritto (oralmente va bene SOLO se l’interessato è d’accordo e la sua identità deve comunque essere comprovata con altri mezzi). Si propone anche l’utilizzo di icone per rendere l’informativa leggibile anche da parte di chi non conosce la lingua.
4 – Cambia il consenso
Prima = il consenso doveva essere libero, specifico e informato. Ci doveva essere un atto formale per accettare il trattamento dei dati.
Con il REG EU = il consenso deve essere libero, specifico, informato e inequivocabile. Il consenso è valido se la volontà è espressa in modo NON equivoco, anche con un’azione positiva: non ci deve essere per forza la casella di spunta, basta un testo in cui si informa che proseguendo si accetta il trattamento dati con link all’informativa.
5 – Valutazione d’impatto sulla protezione dei dati
Prima = si preparava il DPS.
Con il REG EU = si effettua una valutazione degli impatti privacy analizzando i rischi, definendo i gap rispetto alla corretta gestione dei rischi, stabilendo un piano per colmarli e controllando annualmente gli effetti degli interventi per ridurre i rischi. Quasi sicuramente il nuovo documento sarà chiamato PIA: Privacy Impact Assessment.
6 – Abolizione della notificazione
Prima = si doveva informare il Garante che un soggetto sta trattando dati per una particolare finalità. (ex art. 37 D.lgs. 196/2003)
Con il REG EU= non si dovrà più notificare il Garante, ma ogni anno l’azienda dovrà redigere il privacy impact assessment, con il quale si considera effettuata la notifica.
7 – Il Data Protection Officer (DPO)
Prima = il DPO non era una figura contemplata.
Con il REG EU = bisogna istituire (per tutti gli enti pubblici e per aziende che eseguono trattamenti di dati sensibili o di natura rischiosa) un Responsabile per la protezione dei dati. Il DPO sarà una figura manageriale con rinnovo periodico, sarà referente del Garante e dovrà avere requisiti e competenze elevate. Il DPO potrà essere sia un dipendente che un collaboratore esterno.
8 – Privacy by design e Privacy by default
Prima = la privacy era un elemento conclusivo e finale.
Con il REG EU = la privacy deve essere vista come un elemento iniziale: devo pensarci appena decido di raccogliere dati e predisporre alti livelli di privacy nel trattamento dati, che potranno essere abbassati dal diretto interessato.
9 – Obbligo di segnalazione in caso di violazione dei dati
Prima = non era necessario comunicare violazioni nel trattamento dati.
Con il REG EU = nel caso di violazione del trattamento dati bisogna effettuare una segnalazione al Garante entro 72 ore dall’evento e, nel più breve tempo possibile, bisogna informare anche i diretti interessati. Il mancato rispetto di quest’obbligo comporta sanzioni penali. È possibile prevedere delle assicurazioni per coprire il costo di comunicare la violazione a tutti gli interessati, definito “Data Breach”.
10 – Riconoscimento di nuovi diritti
Prima = pochi diritti che tutelavano l’interessato in merito alla gestione dei suoi dati.
Con il REG EU = nuovi diritti: diritto alla portabilità dei dati (posso pretendere che il soggetto a cui ho concesso l’uso dei miei dati me li restituisca su un supporto elettronico strutturato così che io possa farne ulteriore uso, anche presso un altro fornitore), diritto a essere totalmente dimenticato (diritto all’oblio) da chi ha raccolto i miei dati.
Inoltre altre importanti novità: vengono introdotte le definizioni di “Dato Generico” e “Dato Biometrico”; introdotta la categoria del trattamento dati dei minori; introduzione della co-titolarità nel trattamento dei dati; introduzione del Diritto all’Oblio; introduzione della figura del Joint Controller; introduzione del principio dell’applicazione del diritto UE anche ai trattamenti di dati personali non svolti nell’UE, se relativi all’offerta di beni e servizi ai cittadini UE o tali da permettere il monitoraggio dei comportamenti dei cittadini dell’UE; istituzione del Comitato Europeo per la protezione dei Dati
Fino al 24 maggio 2018 per adeguarsi a breve le nostre proposte formative o di consulenza personalizzata per adeguare le vostre imprese. Per informazioni, dubbi o per avere maggiori delucidazioni non esitate a contattarci.