Uno studio del Censis del 2013 registrava come il 96% degli italiani ritenesse la riservatezza un “diritto inviolabile” del cittadino, e come il 93% degli italiani temesse di vedere attaccata la propria privacy on line. A tale preoccupazione, per il 53% degli intervistati si accompagnava una richiesta di regole di protezione più stringenti. Anche per soddisfare questa esigenza, il 4 maggio 2016 è stato pubblicato in Gazzetta Ufficiale Europea il Regolamento UE n. 2016/679, che entrerà in vigore il 25 maggio 2018. Il Regolamento Europeo “GDPR” (General Data Protection Regulation), si inserisce all’interno di quello che è stato definito il “Pacchetto europeo protezione dati”. Il Regolamento Europeo, già vigente senza bisogno di recepimento da parte degli stati membri, aveva stabilito un periodo di due anni prima della sua piena entrata in vigore per consentire agli stati membri ed alle organizzazioni di adeguarsi alle nuove disposizioni. Il Regolamento Europeo riguarda tutte le aziende dell’UE che trattano dati personali, indipendentemente dal fatto che il trattamento sia effettuato nell’UE stessa.

Organizzazione del trattamento
Una delle novità di maggior rilievo è l’introduzione della nuova figura del “Data Protection Officer” (DPO), che va ad affiancarsi alle figure del “titolare”, del “responsabile” e dell’ “incaricato” del trattamento dei dati.
Il DPO dovrà essere individuato all’interno delle aziende pubbliche nonché in quelle ove i trattamenti comportano dei rischi specifici, come ad esempio quelle operanti su larga scala e quelle che trattano i c.d. “dati sensibili”.
Ogni azienda obbligata dovrà rendere noto il proprio DPO che dovrà essere contattabile da tutti gli “interessati” indicando i dati di contatto nell’ “informativa”; dati che dovranno essere trasmessi anche al locale “Garante per la protezione dei dati personali”.

Registro dei trattamenti
Altra novità è l’introduzione dell’obbligo di tenere un “registro delle attività di trattamento” svolte dalle organizzazioni, nonché quello di effettuare una “valutazione di impatto sulla protezione dei dati”. Quest’ultimo adempimento è necessario in caso di trattamenti automatizzati, compresa la “profilazione”, o con riguardo ai trattamenti su larga scala di categorie particolari di dati (sensibili), nonché relativamente ai dati ottenuti dalla sorveglianza sistematica, sempre su larga scala, di zone accessibili al pubblico.

Il Regolamento Europeo ha inoltre introdotto:

• il “diritto all’Oblio”, ovvero le organizzazioni devono garantire la possibilità per gli interessati di decidere che i propri dati siano cancellati e non sottoposti ad ulteriormente trattamento.
• il diritto alla “portabilità dei dati”, ovvero l’interessato ha il diritto di ricevere i dati personali che lo riguardano e deve poterli trasmettere a un altro titolare del trattamento senza impedimenti;
• il principio di “accountability”, per il quale bisogna dimostrare di aver adottato delle politiche privacy e delle misure adeguate in conformità alle prescrizioni del Regolamento;
• il principio della “privacy by design” per il quale devono essere attuate adeguate misure tecniche e organizzative nella progettazione e nell’esecuzione del trattamento dei dati;
• il principio di “privacy by default” stabilendo che i dati vengano trattati solamente per le finalità previste e per il periodo strettamente necessario a tali fini;
• la necessità di prevedere delle specifiche procedure di emergenza in caso di “data breach” ovvero nel caso in cui i dati trattati per fornire i servizi subissero gravi violazioni a seguito di attacchi informatici o di eventi avversi, come incendi o altre calamità, che possano comportare la perdita, la distruzione o la diffusione indebita di dati.

Sanzioni
Il Regolamento Europeo ha aumentato le sanzioni amministrative pecuniarie, che potranno arrivare fino ad un massimo di 20 milioni di Euro o fino al 4% del fatturato totale annuo dell’organizzazione, lasciando peraltro ciascuno Stato membro libero di adottare norme relative ad altre sanzioni.

Privacy Audit
Fermo restando che devono essere emanati ancora alcuni chiarimenti applicativi, si comunica che Linea Service può fornire un servizio di “Privacy audit”, ovvero un intervento tecnico a cura di personale specializzato nella sicurezza dei dati, allo scopo di fotografare lo stato di fatto della Vostra organizzazione ed implementare le necessarie misure per adeguarsi alle nuove prescrizioni del Regolamento Europeo. Qualora interessati al nostro servizio vi invitiamo a mettervi in contatto con lo studio.

Buon lavoro.