Presso la sede G.I.S.I. lo scorso marzo si \u00e8 tenuto un incontro sul tema del nuovo Regolamento generale sulla protezione dei dati (GDPR). Vediamo quali sono le novit\u00e0 e i punti salienti, tra nuovi concetti, diritti, condizioni necessarie e sanzioni<\/p>\n
di Renato Uggeri<\/em><\/p>\n <\/p>\n Come \u00e8 noto, il nuovo Regolamento generale sulla protezione dei dati diventer\u00e0 applicabile in tutti i Paesi dell\u2019Ue a partire dal prossimo 25 maggio. Nel loro intervento, Sabrina Bruschi di T\u00dcV Italia, Business Assurance Division, e l\u2019avvocato Stefano Azzolina dello Studio Legale Azzolina e Associati, hanno spiegato alcuni dei punti pi\u00f9 importanti.<\/p>\n Il concetto di \u201cdato personale\u201d: limiti, criteri e violazioni<\/strong> Quali sono i diritti dell\u2019interessato e come pu\u00f2 garantirli<\/strong> La questione dei documenti<\/strong> Le differenze tra il titolare e il responsabile del trattamento<\/strong> La figura del responsabile della protezione dei dati<\/strong> La liceit\u00e0 del trattamento e le condizioni necessarie<\/strong> Pesanti sanzioni per le aziende che non si adeguano<\/strong> Presso la sede G.I.S.I. lo scorso marzo si \u00e8 tenuto un incontro sul tema del nuovo Regolamento generale sulla protezione dei dati (GDPR). Vediamo quali sono le novit\u00e0 e i punti salienti, tra nuovi concetti, diritti, condizioni necessarie e sanzioni di Renato Uggeri Come \u00e8 noto, il nuovo Regolamento generale sulla protezione dei dati diventer\u00e0 …<\/p>\n","protected":false},"author":4,"featured_media":55,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":"","_seopublitec_title":"","_seopublitec_meta_desc":"","_seopublitec_keyphrases":"","_seopublitec_canonical":"","_seopublitec_noindex":false,"_seopublitec_nofollow":false,"_seopublitec_og_title":"","_seopublitec_og_desc":"","_seopublitec_twitter_title":"","_seopublitec_twitter_desc":"","_seopublitec_twitter_image":"","_seopublitec_og_image":"","_seopublitec_twitter_card":"","_seopublitec_cornerstone":false,"_seopublitec_score":""},"categories":[27],"tags":[52],"class_list":["post-54","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-tecnologie","tag-gdpr"],"openstation_lock":null,"openstation_contributors":[],"openstation_attached_media":[55],"_links":{"self":[{"href":"https:\/\/www.publiteconline.it\/controlloemisura\/wp-json\/wp\/v2\/posts\/54","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.publiteconline.it\/controlloemisura\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.publiteconline.it\/controlloemisura\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.publiteconline.it\/controlloemisura\/wp-json\/wp\/v2\/users\/4"}],"replies":[{"embeddable":true,"href":"https:\/\/www.publiteconline.it\/controlloemisura\/wp-json\/wp\/v2\/comments?post=54"}],"version-history":[{"count":1,"href":"https:\/\/www.publiteconline.it\/controlloemisura\/wp-json\/wp\/v2\/posts\/54\/revisions"}],"predecessor-version":[{"id":56,"href":"https:\/\/www.publiteconline.it\/controlloemisura\/wp-json\/wp\/v2\/posts\/54\/revisions\/56"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.publiteconline.it\/controlloemisura\/wp-json\/wp\/v2\/media\/55"}],"wp:attachment":[{"href":"https:\/\/www.publiteconline.it\/controlloemisura\/wp-json\/wp\/v2\/media?parent=54"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.publiteconline.it\/controlloemisura\/wp-json\/wp\/v2\/categories?post=54"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.publiteconline.it\/controlloemisura\/wp-json\/wp\/v2\/tags?post=54"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
\nFra le numerose novit\u00e0 introdotte illustrate da Sabrina Bruschi, il concetto di \u201cdato personale\u201d, ossia di qualsiasi informazione che riguardi persone fisiche identificate o che possono essere identificate, come il nome e il cognome o la denominazione, l\u2019indirizzo, il codice fiscale e cos\u00ec via. Il GDPR introduce regole chiare in materia di informativa e consenso, definisce i limiti al trattamento automatizzato dei dati personali e stabilisce criteri pi\u00f9 rigorosi per il trasferimento dei dati al di fuori dell\u2019Ue e per i casi di violazione dei dati stessi. Eventuali violazioni possono essere segnalate all\u2019autorit\u00e0 di protezione dei dati del proprio Paese qualunque sia il luogo in cui il trattamento \u00e8 effettuato (sportello unico). Il Titolare del trattamento deve notificare la violazione al Garante entro 72 ore dal momento in cui \u00e8 venuto a conoscenza del fatto. Trascorse le 72 ore, deve motivare il ritardo nella comunicazione.<\/p>\n
\nL\u2019interessato ha il diritto di chiedere ai motori di ricerca di deindicizzare una pagina web o di chiedere a un sito web di cancellare informazioni. \u00c8 anche riconosciuto il diritto di ottenere la restituzione dei propri dati personali trasmessi a un\u2019azienda o a un servizio online e trasmetterli ad altri.
\nL\u2019interessato ha inoltre il diritto di essere informato dell\u2019esistenza del trattamento e delle sue finalit\u00e0. Inoltre, dovrebbe essere informato dell\u2019esistenza di una profilazione e delle sue conseguenze. Consenso dell\u2019interessato \u00e8 qualsiasi manifestazione di volont\u00e0 libera, specifica, informata e inequivocabile con la quale manifesta il proprio assenso, per esempio mediante dichiarazione. Il titolare del trattamento deve mettere in atto misure adeguate per garantire, e poter dimostrare, che il trattamento \u00e8 effettuato conformemente al regolamento.<\/p>\n
\nPer quanto riguarda i documenti, il GDPR non dice che cosa dobbiamo avere da un punto di vista formale. Quando un tipo di trattamento pu\u00f2 presentare un rischio elevato per i diritti e le libert\u00e0 delle persone fisiche, il titolare del trattamento stesso deve effettuare una valutazione preliminare del suo impatto sulla protezione dei dati personali, della probabilit\u00e0 e gravit\u00e0 del rischio, tenuto conto della natura, dell\u2019ambito di applicazione, del contesto e delle finalit\u00e0 del trattamento e delle fonti di rischio.
\nPer migliorare la trasparenza e il rispetto del regolamento, dovrebbe essere incoraggiata l\u2019istituzione di meccanismi di certificazione e sigilli nonch\u00e9 marchi di protezione dei dati che consentano agli interessati di valutare rapidamente il livello di protezione dei dati dei relativi prodotti e servizi.
\nL\u2019adesione ai codici di condotta o a un meccanismo di certificazione pu\u00f2 essere utilizzata per dimostrare il rispetto degli obblighi del titolare del trattamento.<\/p>\n
\n\u00c8 quindi intervenuto l\u2019avvocato Azzolina, che si \u00e8 soffermato su aspetti quali il titolare e il responsabile del trattamento, i registri dei trattamenti e categorie particolari di dati, il responsabile della protezione dei dati (DPO, Data Protection Officer), nonch\u00e9 la nuova informativa e il consenso.
\nIn particolare, il titolare del trattamento \u00e8 colui che decide le sorti del trattamento stesso, mettendo in atto misure adeguate per garantire e dimostrare la sua conformit\u00e0 al Regolamento. Il responsabile del trattamento \u00e8 invece colui che opera per conto del titolare, presentando garanzie sufficienti per mettere in atto misure tali da soddisfare i requisiti del Regolamento. I registri delle attivit\u00e0 di trattamento sono tenuti da ogni titolare e da ogni responsabile in forma scritta, anche in formato elettronico. Tuttavia questi obblighi non si applicano alle imprese con meno di 250 dipendenti, a meno che il trattamento che esse effettuano possa presentare un rischio per i diritti e le libert\u00e0 dell\u2019interessato.<\/p>\n
\nIl responsabile della protezione dei dati deve essere designato sistematicamente. L\u2019interessato o la persona presso la quale sono raccolti i dati personali sono informati in anticipo su: le finalit\u00e0 e le modalit\u00e0 del trattamento, la natura obbligatoria o facoltativa del conferimento dei dati, le conseguenze di un eventuale rifiuto di rispondere, i soggetti o le categorie di soggetti ai quali i dati personali possono essere comunicati o che possono venirne a conoscenza e l\u2019ambito di diffusione dei dati medesimi e cos\u00ec via.
\nIl titolare del trattamento fornisce all\u2019interessato ulteriori informazioni come: il periodo di conservazione dei dati personali oppure i criteri utilizzati per determinare tale periodo; l\u2019esistenza del diritto dell\u2019interessato di chiedere al titolare del trattamento l\u2019accesso ai dati personali e la rettifica o la cancellazione degli stessi o la limitazione del trattamento che lo riguardano, o di opporsi al loro trattamento, oltre al diritto alla portabilit\u00e0 dei dati, l\u2019esistenza del diritto di revocare il consenso in qualsiasi momento senza pregiudicare la liceit\u00e0 del trattamento basata sul consenso prestato prima della revoca, il diritto di proporre reclamo a un\u2019autorit\u00e0 di controllo e cos\u00ec via.<\/p>\n
\nIl trattamento \u00e8 lecito se ricorre almeno una delle seguenti condizioni: l\u2019interessato ha espresso il consenso; il trattamento \u00e8 necessario all\u2019esecuzione di un contratto o per adempiere un obbligo legale al quale \u00e8 soggetto il titolare o per la salvaguardia di interessi vitali, o per l\u2019esecuzione di un compito di interesse pubblico, o per il perseguimento del legittimo interesse del titolare o di terzi, a condizione che non prevalgano gli interessi o i diritti e le libert\u00e0 fondamentali dell\u2019interessato. Infine, qualora il trattamento sia basato sul consenso, il titolare deve poter dimostrare che l\u2019interessato ha prestato il proprio consenso; se il consenso \u00e8 prestato nel contesto di una dichiarazione scritta che riguarda anche altre questioni, la richiesta di consenso deve essere presentata in modo chiaramente distinguibile, e l\u2019interessato ha il diritto di revocare il proprio consenso in qualsiasi momento.<\/p>\n
\nIn caso di mancata o errata applicazione del GDPR, sono previste diverse sanzioni che spaziano da una semplice diffida amministrativa a sanzioni fino a 20 milioni di euro in base alla natura, alla gravit\u00e0 e alle conseguenze della violazione che \u00e8 stata compiuta.
\nIn particolare, l\u2019inosservanza degli obblighi del titolare e del responsabile del trattamento, degli obblighi dell\u2019organismo di certificazione o degli obblighi dell\u2019organismo di controllo prevedono sanzioni fino a 10 milioni di euro o, per le imprese, fino al 2% del fatturato globale annuo dell\u2019esercizio precedente. L\u2019inosservanza dei principi base del trattamento, dei diritti degli interessati, delle disposizioni sul trasferimento dei dati personali in Paesi terzi o verso organizzazioni internazionali, di un ordine di limitazione provvisoria o definitiva o di un ordine di sospensione dei flussi da parte dell\u2019autorit\u00e0 di controllo, cos\u00ec come l\u2019inosservanza di un ordine correttivo dell\u2019autorit\u00e0 di controllo, prevedono sanzioni fino a 20 milioni di euro o, per le imprese, fino al 4% del fatturato globale annuo dell\u2019esercizio precedente. Per evitare sgradite sorprese conviene quindi mettersi in regola per tempo e, soprattutto, rispettare scrupolosamente il Regolamento.<\/p>\n","protected":false},"excerpt":{"rendered":"