Regolamento generale sulla protezione dei dati (GDPR)

Il Regolamento (UE) 2016/679 (anche conosciuto come GDPR o con l’acronimo RGPD, in Italia) ha iniziato ad avere efficacia a partire dal 25 maggio 2018. La nuova legge sulla privacy dei dati personali ha un ambito di applicazione più ampio rispetto alla normativa precedente e apporta un approccio nuovo alla protezione dei dati. Amplia i diritti dei singoli nel controllare in che modo le loro informazioni personali vengono raccolte e trattate e fa ricadere sulle organizzazioni un maggior numero di obblighi, affinché siano più responsabili in materia di trattamento e protezione dei dati.

I requisiti principali

In sintesi, ecco alcune delle principali modifiche introdotte dalla normativa:?p>

1. Accountability e governance

Devi essere in grado di dimostrare la conformità al GDPR:

Istituisci una struttura della governance con funzioni e responsabilità;
Conserva la documentazione dettagliata relativa a tutte le operazioni di trattamento dei dati;
Documenta le policy e le procedure relative alla protezione dei dati;
Effettua la valutazione dell’impatto sulla protezione dei dati (DPIA) per le operazioni di processo ad alto rischio.
Per saperne di più >>
Applica misure appropriate per la sicurezza dei dati personali;
Pianifica corsi di formazione e di sensibilizzazione del personale;
Se necessario, nomina un responsabile della protezione dei dati (DPO)

Scopri la checklist di passaggi da seguire per adeguarsi al Regolamento >>

2. Protezione dei dati fin dalla progettazione (by design) e protezione per impostazione predefinita (by default)

È necessario creare pratiche e attività a tutela della protezione dei dati, a partire dalla fase iniziale di ogni processo:

La protezione dei dati deve essere presa in considerazione a partire dalla fase di progettazione di qualunque nuovo processo, sistema o tecnologia.
La valutazione d’impatto (DPIA) è parte integrante della protezione dei dati fin dalla progettazione.

Maggiori informazioni sulla valutazione d’impatto sulla protezione dei dati (DPIA) >>

3.I sei principi della protezione dei dati

I dati personali sono:

Trattati in modo lecito, corretto e trasparente;
Raccolti per finalità determinate, esplicite e legittime;
Adeguati, pertinenti e limitati a quanto necessario;
Esatti e aggiornati;
Conservati per il tempo necessario;
Trattati in modo da garantire sicurezza, integrità e riservatezza.

4. Liceità del trattamento

Devi identificare e documentare la base di liceità utilizzata per ogni trattamento di dati personali. Le basi di liceità sono:

Il consenso diretto dell’interessato;
La necessità di eseguire un contratto;
La necessità di adempiere un obbligo legale;
La protezione degli interessi vitali dell’interessato;
La necessità di perseguire un interesse pubblico;
La necessità di perseguire il legittimo interesse dell’organizzazione.

5. Condizioni per il consenso

Le regole per ottenere il consenso sono più rigide:

Il consenso deve essere liberamente fornito, specifico, consapevole e inequivocabile.
La richiesta di consenso deve essere comprensibile, con un linguaggio chiaro e semplice.
Il silenzio, le caselle precompilate e l’inattività non sono considerate valide modalità per ottenere il consenso.
Il consenso può essere revocato in qualsiasi momento.
Il consenso ai servizi online per i minori di 14 anni è valido solo con l’autorizzazione dei genitori.
Le organizzazioni devono essere capaci di dimostrare il consenso ottenuto.

6. Diritti sulla privacy delle persone

I diritti degli interessati sono rafforzati e ampliati:

Diritto di accesso ai propri dati tramite domande di accesso.
Diritto di correggere i propri dati personali inesatti.
In determinati casi, diritto di chiedere la cancellazione dei dati personali.
Diritto di opposizione.
Diritto di trasferire i dati da un provider di servizi ad un altro (portabilità dei dati).

7. Trasparenza e informativa sulla privacy

Le organizzazioni devono essere chiare e trasparenti su chi tratta i dati personali, come e perché.

L’informativa sulla privacy deve essere fornita in forma concisa, trasparente e facilmente accessibile, con un linguaggio chiaro e semplice.

8. Trasferimento dei dati al di fuori dell’UE

Il trasferimento dei dati personali al di fuori dell’UE è permesso solo:

Se l’UE ha indicato che il paese verso cui sono trasferiti i dati è dotato di un livello di protezione adeguato;
Attraverso clausole contrattuali tipo o adottando delle norme vincolanti d’impresa; o
Adeguandosi ad un meccanismo di certificazione approvato, ad esempio il Privacy Shield UE-US.

9. Sicurezza dei dati e notifica delle violazioni

I dati personali devono essere protetti dal trattamento non autorizzato e contro la perdita accidentale, la distruzione o il loro danneggiamento.

La violazione dei dati personali deve essere notificata all’autorità di controllo (Garante Privacy) entro 72 ore dalla scoperta.
Le persone i cui dati personali sono stati violati dovrebbero essere informate nel caso in cui la violazione possa rappresentare un rischio elevato per i loro diritti e le loro libertà, come il furto di identità.

10. Responsabile della protezione dei dati (DPO)

La nomina di un DPO è obbligatoria per:

Le autorità pubbliche;
Le organizzazioni che effettuano trattamenti ad alto rischio; e
Le organizzazioni che trattano categorie particolari di dati personali.

Il DPO si occupa di:

Informare e consigliare le organizzazioni in merito ai loro obblighi.
Controllare la conformità, preoccupandosi di sensibilizzare il personale al rispetto degli obblighi investendo nella formazione, ed eseguendo audit sulla protezione dei dati.
Collaborare con l’autorità di controllo (Garante Privacy) e fungere da punto di contatto.

Maggiori informazioni sul ruolo del responsabile della protezione dei dati (DPO) >>

Cosa si intende per dati personali?

Il GDPR si applica ai dati personali, ossia tutte le informazioni, in qualsiasi formato, che permettono di identificare direttamente o indirettamente una persona fisica.

La normativa prevede controlli più severi in merito al trattamento delle categorie particolari di dati personali, tra cui figurano i dati genetici e biometrici.

A quali organizzazioni si applica il GDPR?

Il GDPR si applica a tutte le organizzazioni europee – si parla di attività commerciali, enti di beneficenza o enti pubblici - che raccolgono, conservano o trattano i dati personali dei residenti nell’UE, indipendentemente dalla loro nazionalità.

Sono soggette alla normativa anche le organizzazioni che si trovano al di fuori dell’UE ma che offrono beni o servizi ai residenti nell’UE, che controllano i loro comportamenti o che trattano i loro dati personali.

I fornitori di servizi (responsabili del trattamento) che trattano i dati su incarico di un’organizzazione (titolare del trattamento), rientrano nell’ambito di applicazione del Regolamento (UE) 2016/679 e hanno specifici obblighi di conformità. Un esempio è dato dall’azienda che si occupa della gestione delle buste paga o un fornitore cloud che offre la memorizzazione dei dati di un’organizzazione cliente.

L’adeguamento al GDPR comporta numerosi vantaggi

La nuova legge sulla privacy promuove una maggiore trasparenza e accountability in merito al trattamento dei dati personali e mira ad aumentare la fiducia del pubblico dando agli interessati maggiore controllo sui loro dati. Adeguandosi al Regolamento, le organizzazioni miglioreranno la loro reputazione nel settore e saranno in grado di costruire relazioni di maggior fiducia con i clienti esistenti e quelli potenziali.

Alcuni dei vantaggi commerciali che si ottengono con la conformità al GDPR sono::

In che modo IT Governance ti aiuta ad adeguare la tua organizzazione al GDPR

IT Governance, fornitore leader a livello mondiale di soluzioni per la governance IT, di gestione del rischio e di conformità, è in prima linea nell’aiutare le organizzazioni a risolvere le sfide poste dalla conformità al Regolamento.

Scopri la nostra ampia gamma di soluzioni, servizi e prodotti che ti permettono di raggiungere i tuoi obiettivi di conformità al GDPR.

Scarica le nostre risorse gratuite

Acquista i nostri prodotti e servizi

Parla con un esperto

Contatta il nostro team di consulenti esperti di GDPR e protezione dei dati per qualsiasi domanda o assistenza sui nostri prodotti e servizi.