Il GDPR non è un costo ma un investimento necessario per la sicurezza dei tuoi dati
Il Regolamento Ue 2016/679 è una risposta, necessaria e urgente, alle sfide poste dagli sviluppi tecnologici e dai nuovi modelli di crescita economica e se affrontato correttamente rappresenta un’occasione per le imprese di iniziare un percorso di riorganizzazione aziendale e di digitalizzazione
Il Regolamento Europeo in materia di protezione dei dati personali (GDPR n. 2016/679), pubblicato sulla Gazzetta Ufficiale dell’Unione Europea il 4 maggio 2016, insieme alla Direttiva in materia di trattamento dati personali nei settori di prevenzione, contrasto e repressione dei crimini, compongono il “Pacchetto protezione dati”, ovvero l’insieme normativo che definisce un nuovo quadro comune in materia di tutela dei dati personali per tutti gli Stati membri dell’Unione Europea.
Tutte le aziende devono garantire la conformità al GDPR
Sono tenute ad adeguarsi tutte le aziende e le organizzazioni (anche se non hanno sede all’interno dell’UE) che offrono beni o servizi a cittadini europei e quindi che ne raccolgono, memorizzano e/o elaborano dati personali o che ne monitorano il comportamento
Il GDPR riguarda qualunque dato riferibile ad una persona che se violato possa cagionarle danno
Nomi, foto, indirizzi e-mail, coordinate bancarie, numeri di documenti di identità, post su siti web, scambio di comunicazioni via email, attività sui social network, informazioni mediche, indirizzi IP associati a un account o un dispositivo specifico di un utente, dati personali raccolti in fase di colloqui o legati alle informazioni necessarie per la conduzione del rapporto di lavoro.
Entrano in questa categoria anche nickname e pseudonimi poiché in molti casi possono essere attribuiti a un individuo in particolare o a una organizzazione.
Nomi di clienti, numeri di telefono, indirizzi, registri di fornitori e informazioni su uno staff rientrano tutti in questa definizione.
Sono le organizzazioni che devono dimostrare la «compliance», non è l’autorità che ha il compito di dimostrare che siano conformi alla normativa
Il titolare del trattamento è tenuto a mettere in atto misure adeguate ed efficaci ed essere in grado di dimostrare la conformità delle attività di trattamento con il Regolamento, compresa l’efficacia delle misure stesse.
Al fine di poter dimostrare la conformità con il presente regolamento, il titolare del trattamento deve adottare politiche interne e attuare misure che soddisfino in particolare i principi della protezione dei dati fin dalla progettazione e della protezione dei dati di default. In questo modo, il titolare, attraverso la valutazione d’impatto, la privacy by design e by default, principi fondamentali del Regolamento, raggiunge un duplice scopo, generare prodotti e servizi sicuri e nello stesso tempo conformi al Regolamento.
Le misure adottate dal titolare del trattamento devono essere “adeguate”
Il titolare del trattamento, considerando le nuove tecnologie a protezione dei dati, la continua evoluzione delle minacce informatiche e l’obsolescenza delle tecnologie, deve adottare misure commisurate ai rischi e in necessario continuo aggiornamento rispetto alla situazione reale
PRIVACY BY DESIGN
Le aziende devono valutare il rischio inerente alle loro attività al momento della progettazione del sistema, quindi prima che il trattamento inizi
PRIVACY BY DEFAULT
Le informazioni personali devono essere raccolte e trattate solo per le finalità previste, per lo stretto tempo necessario per esplicare tali finalità (principio di minimizzazione) e non essere accessibili da un numero indefinito di persone
DATA PROTECTION OFFICER
Introduzione della figura del Data Protection Officer (DPO), obbligatoria nella Pubblica Amministrazione e nelle aziende private che processano dati a rischio, con il compito di vigilare sui processi interni alla struttura e di fungere da consulente
SANZIONI
Impianto sanzionatorio estremamente rafforzato rispetto alla disciplina previgente, nell’ottica di applicare sanzioni che siano “effettive, proporzionate e dissuasive”: sono previste sanzioni amministrative pecuniarie articolate ed economicamente assai gravose (fino a 20 milioni di euro e al 4% del fatturato annuo di gruppo)