La normativa ieri e oggi: cosa cambia?
Per quanto riguarda le normative attualmente in vigore per la tutela della privacy, in Italia abbiamo il cosiddetto “Codice della privacy” (decreto legislativo 196/2003) entrato in vigore in sostituzione della vecchia legge 675/1996.
Nel 2016, invece, è stato emanato il Nuovo Regolamento sulla privacy dell'Unione Europea (n. 2016/679) dal nome General Data Protection Regulation che entrerà ufficialmente in vigore dal 25 maggio 2018. È iniziato il conto alla rovescia (visibile sul sito ufficiale del GDPR) per gli Stati membri: spetta a tutti, infatti, l’obbligo di allineamento con questa fondamentale normativa europea.
La ragione fondante di questa manovra risiede innanzitutto nella necessità di raccogliere in un testo unico per tutta l’Europa le diverse interpretazioni che sono state fatte della vecchia Direttiva 95/46/CE. In secondo luogo, si cerca di far fronte alla deriva tecnologica, ovvero ad un uno scambio di dati sempre più copioso a livello nazionale e comunitario. Quindi, se da un lato abbiamo la libera circolazione dei dati, dall’altro abbiamo la necessità di aumentare il livello di protezione degli utenti.
Vuoi sapere quali sono gli adempimenti previsti dalla nuova normativa europea sulla privacy?
Clicca qui sotto e scarica gratuitamente la nostra checklist!
All’interno del GDPR sono state introdotte diverse novità, e tutte si basano sul concetto di trasparenza: l’utente dev’essere in grado in ogni momento di individuare gli scopi per cui vengono richiesti i suoi dati e le modalità con cui verranno trattati. Vediamo insieme le più importanti:
- Il diritto all’oblio. La rete non perdona: ciò che finisce sul World Wide Web vi rimane inevitabilmente impresso per lungo tempo, se non per sempre. Ecco perché la necessità di introdurre il diritto all’oblio (in gergo Data Erasure): il diritto, cioè, di cancellare i propri dati e impedirne la diffusione sulla rete.
Ovviamente queste informazioni devono rispondere a determinate caratteristiche per poter essere eliminate come, ad esempio, non essere di pubblico interesse o non essere più rilevanti per lo scopo per cui sono state prodotte.
- Il diritto alla portabilità dei dati. Una volta era appannaggio esclusivamente di alcuni settori, come le compagnie telefoniche; ora, invece, si mette a disposizione di tutti i cittadini: è la possibilità di trasportare i propri dati da un provider all’altro.
Immagina di dover cambiare email provider: grazie a questo diritto potrai trasportare i tuoi contatti dal vecchio al nuovo account. Ovviamente ci sono delle restrizioni: non tutti i dati sono “portabili”, ad esempio, le anagrafi presentano dei vincoli.
- Privacy by Design (PbD). Questo è un concetto che esiste da molti anni, ma solo grazie a questa normativa entra in vigore a tutti gli effetti. Si tratta dell’implementazione di sistemi che tutelano i gli utenti, un approccio totalmente user-centric.
Ecco che entra in gioco il concetto di data minimisation, ovvero questi sistemi dovranno essere in grado di tutelare gli utenti non solo dal punto di vista della sicurezza, ma anche della quantità di dati raccolti. La raccolta dati non è una pesca a strascico, per legge bisognerà prendere solamente le informazioni strettamente necessarie. Esempi di servizi coinvolti dalla PbD sono: Wi-Fi e app per i clienti, sistemi di profiling elettronico e di marketing database.
- Data Protection Officer (DPO). Già presente in alcune legislazioni europee, il DPO si occupa di osservare, valutare e organizzare la gestione del trattamento dei dati personali all’interno di un’azienda. Dev’essere una figura già inserita all’interno dell’azienda, ma non deve svolgere mansioni che siano in conflitto di interesse con il suo ruolo di Data Protection Officer. I suoi compiti principali sono: fornire consulenza in materia di trattamento dei dati personali, vigilare sull’applicazione del regolamento, cooperare con le autorità di controllo ed essere un punto di contatto con essa in caso anche di data breach.
- Data breach. I dati, soprattutto sul web, possono essere soggetti ad attacchi e ad utilizzi impropri.
In gergo, questo si chiama Data breach ovvero: “la violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la rivelazione non autorizzata o l’accesso ai dati personali trasmessi, memorizzati o comunque elaborati nel contesto della fornitura di un servizio di comunicazione accessibile al pubblico nella Comunità”. Con la nuova normativa è stato introdotto l’obbligo di segnalare il data breach al Garante entro 24 ore dal suo avvenimento. In base all’articolo 32 del GDPR, se la violazione dei dati rappresenta una minaccia per una persona, questa dev’essere immediatamente informata in modo chiaro e semplice su quanto accaduto.
I documenti necessari
Per essere in linea con le normative attuali, e quelle che entreranno a breve in vigore, bisogna dotarsi di una serie di documenti obbligatori:
- L’informativa della privacy corta ed estesa. Sul sito dovrà comparire il testo completo allo scopo di far conoscere all’utente in che modo e con quale obiettivo verranno raccolti i suoi dati personali. La legge sulla privacy per il trattamento dei dati personali dovrà, inoltre, indicare il responsabile e il titolare del trattamento (se è stato scelto) e se le informazioni vengono raccolte o utilizzate da terze parti.
- Informativa sui cookie. Un obbligo per ogni sito internet, ormai, è l’inserzione di una stringa che chieda il consenso al trattamento dei dati personali e dei cookie. Questa dev’essere ben visibile e deve riportare in breve l’informativa con un link al testo completo.
- Registro interno dei trattamenti di dati. Con l’articolo 30 del nuovo Regolamento per la protezione dei dati personali si introduce l’obbligo del registro interno che documenti il trattamento dei suddetti dati dell’azienda. Questo, su richiesta del Garante della privacy, dev’essere esibito alle autorità, pena sanzioni pecuniarie e deve contenere:
- Il nome e i dati di contatto del Titolare del trattamento, contitolari del DPO e dei responsabili esterni
- Le finalità del trattamento
- La categoria di dati e interessati trattati
- I termini per la cancellazione
- Le misure di sicurezza adottate
- Attestazione del responsabile. In ogni azienda esiste un addetto alla gestione e la tutela dei dati personali: sarà davvero preparato? Avrà seguito i corsi necessari per ricoprire quel ruolo? A queste domande si può rispondere solo con una documentazione valida e certificata dall’autorità competente.
