Come adeguarsi al GDPR
Dal 25 maggio 2018 il GDPR è il nuovo Regolamento Europeo sulla Protezione dei Dati.
Con l'entrata in vigore del GDPR cambiano le regole sulla raccolta, l'utilizzo e la conservazione dei dati personali per assicurare una maggiore tutela dei cittadini europei. Il GDPR si applica ad aziende, privati e professionisti che raccolgono e utilizzano dati personali.
Per adeguarsi al GDPR basta seguire questi 14 punti:
- informare gli utenti con un linguaggio chiaro e semplice, sulle modalità di utilizzo e archiviazione dei dati attraverso l’infomativa sulla privacy;
- rendere semplice il processo del consenso, in modo da permettere agli utenti di accettare con un'azione esplicita;
- controllare l’accesso ai dati con database strutturati e destrutturati;
- informare gli utenti su come vengono profilati e utilizzati i loro dati;
- avvisare gli utenti antro 72 ore in caso di violazione o furto dei loro dati;
- cancellare i dati degli utenti in caso di una loro richiesta per garantirne il diritto all'oblio;
- garantire la portabilità dei dati degli utenti per un eventuale trasferimento di essi da un fornitore all'altro;
- garantire l'accesso e la modifica dei propri dati agli utenti in modo semplice;
- proteggere e crittografare i dati personali e i dati sensibili degli utenti;
- tutelare con maggior attenzione i dati dei minori;
- inviare messaggi pubblicitari e promozionali solo se gli utenti ne ha dato un consenso esplicito;
- identificare i processi di gestione e assegnazione delle responsabilità;
- verificare tutte le procedure applicate e creare dei report;
- gestire in modo proattivo la tutela dei dati degli utenti.
In sintesi il GDPR pone una maggiore attenzione e controllo sul trattamento dei dati, osservando alcuni principi che tutelano i diritti dei cittadini europei.
Data Controller, Data Processor e Data Protection Officer
Il Titolare del trattamento, detto anche Data Controller, determina le finalità e i mezzi dell'utilizzo dei dati.
Il Responsabile del trattamento, detto anche Data Processor, è colui che è responsabile dell'utilizzo e della conservazione dei dati personali. Dunque può essere una persona fisica o giuridica, un ente pubblico, un servizio o un altro soggetto esterno che tratta i dati per conto del titolare del trattamento.
Il GDPR ha introdotto una nuova figura chiamata Data Protection Officer (DPO). La persone che ricopre questo ruolo deve gestire e controllare le modalità di raccolta, gestione e trattamento dei dati.
Lo scopo principale di questa figura è quello di garantire una maggiore sicurezza e riservatezza dei dati, curando in particolar modo l'aggiornamento e il monitoraggio dei software di gestione in modo automatizzato.
La nomina del DPO è obbligatoria quando il trattamento dei dati:
- viene effettuato da un ente pubblico o da un’autorità;
- viene svolto in modo sistematico e regolare;
- riguarda dati sensibili o giudiziari.
Le piccole imprese e privati che non gestiscono molti dati, non sono obbligate a nominare il DPO.
Registro delle Attività di Trattamento dei dati
Le grandi aziende, con un numero superiore a 250 dipendenti o che trattano una grande quantità di dati, sono obbligate a mostrare il Registro delle Attività di Trattamento dei dati, qualora venga richiesto dall‘Autorità Garante della Privacy.
In questo registro vengono illustrati le procedure, le responsabilità, le misure di sicurezza, le finalità, le persone coinvolte e i software usati riguardo al trattamento dei dati.
Eccezioni per le piccole e medie imprese:
Le piccole e medie imprese:
- non sono obbligate a nominare un DPO;
- possono chiedere una tariffa se gli utenti chiedono l'accesso o la modifica dei loro dati;
- non sono obbligate a presentare il Registro delle Attività di Trattamento dei dati se non hanno accesso a dati su larga scala;
- non sono più obbligate a fare una notifica all’Autorità Garante della Privacy, dovranno solo fare una comunicazione straordinaria in caso di eventi che compromettano la sicurezza dei dati degli utenti.
Vi abbiamo spiegato in maniera semplice come adeguarsi al GDPR, il nuovo Regolamento Europeo sul trattamento dei dati.
Le sanzioni per chi viola la normativa prevista sono molto pesanti, vanno fino a un massimo del 4% del fatturato annuo dell’azienda o fino a un massimo di 20 milioni di euro.
