Privacy: cosa cambia per il trattamento dati personali dal 25 Maggio 2018

Il 14 Aprile 2016 è stato approvato definitivamente il Regolamento Europeo in materia di protezione dati (GDPR, General Data Protection Regulation). La nuova norma abroga integralmente la direttiva Privacy 95/46/CE ed entrerà in vigore il 25 Maggio 2018.

Il regolamento introduce una serie di novità in materia di obblighi, diritti e conseguenti rischi rilevanti per le aziende dal punto di vista economico (sanzioni fino al 4% del fatturato worldwide) e di immagine (possibili conseguenze di un incidente informatico che metta a rischio l’integrità o la riservatezza dei dati).

Riguarda anche te?

Sono tenuti ad adeguarsi agli adempimenti previsti dalla normativa tutti i Soggetti Pubblici e Privati che effettuano il trattamento di dati personali archiviati in forma elettronica e/o cartacea. Tra questi, aziende, avvocati, commercialisti, organismi sanitari, istituzioni scolastiche, comuni e tutti coloro che trattano dati personali, anche mediante l’ausilio di strumenti elettronici.

La risposta, quindi è… Sì, riguarda anche TE!

Si farebbe prima ad indicare chi non è coinvolto: QUASI NESSUNO!

Cosa cambia rispetto al precedente D. Lgs. 196/03?

La maggior parte delle Organizzazioni si trova nella condizione di dover soddisfare nuove esigenze:

• Nomine di figure professionali specifiche
• Istituzione di un registro di trattamento dati
• Analisi dei rischi

In tema di “figure professionali”, il Regolamento cita una nuova funzione, quella del DPOData Protection Officer Figura introdotta dal Regolamento generale sulla protezione dei dati 2016/679, è un professionista con conoscenze specialistiche della normativa e delle prassi in materia di protezione dati. Viene designato obbligatoriamente quando: • un trattamento è effettuato da un'autorità pubblica o da un organismo pubblico (ad eccetto delle autorità giurisdizionali nell'esercizio delle loro funzioni); • i trattamenti consistono e richiedono il monitoraggio regolare e sistematico degli interessati su larga scala; • quando il trattamento riguarda, su larga scala, dati....

Chi è il DPO? Sarà sempre obbligatorio nominarlo? Quanto costerà?

Innanzitutto, tranquillizziamo tutti precisando subito che il legislatore dà, per fortuna, la possibilità di individuare questa figura sia esternamente e sia internamente tra i propri dipendenti.

È importante, comunque, conoscere bene i contenuti e gli ambiti di applicazione del nuovo regolamento.

Il DPOData Protection Officer Figura introdotta dal Regolamento generale sulla protezione dei dati 2016/679, è un professionista con conoscenze specialistiche della normativa e delle prassi in materia di protezione dati. Viene designato obbligatoriamente quando: • un trattamento è effettuato da un'autorità pubblica o da un organismo pubblico (ad eccetto delle autorità giurisdizionali nell'esercizio delle loro funzioni); • i trattamenti consistono e richiedono il monitoraggio regolare e sistematico degli interessati su larga scala; • quando il trattamento riguarda, su larga scala, dati..., Data Protection Officer, ha il compito di assicurare la protezione del patrimonio informativo aziendale e dei dati personali trattati.

Per quanto concerne i requisiti richiesti dal regolamento, il Data Protection Officer dovrà essere messo in condizioni di assoluta indipendenza e, in totale assenza di conflitti di interesse, dovrà possedere adeguate risorse umane e finanziarie, competenze informatiche e un’ottima conoscenza della normativa sulla privacy. Tale incarico potrà essere affidato sia ad un dipendente interno dell’azienda sia ad una figura esterna tramite un contratto di servizi.

La nomina del DPO è obbligatoria:

• se il trattamento è svolto da un’autorità pubblica o da un organismo pubblico, con l’eccezione delle autorità giudiziarie nell’esercizio delle funzioni giurisdizionali;
• se le attività principali del titolare o del responsabile consistono in trattamenti che richiedono il monitoraggio regolare e sistematico di interessati su larga scala (ad esempio tracciamento e profilazioneSi definisce profilazione qualsiasi forma di trattamento automatizzato di dati personali consistente nell’utilizzo di tali dati personali per valutare determinati aspetti personali relativi a una persona fisica, in particolare per analizzare o prevedere aspetti riguardanti il rendimento professionale, la situazione economica, la salute, le preferenze personali, gli interessi, l’affidabilità, il comportamento, l’ubicazione o gli spostamenti di detta persona fisica. su Internet anche per finalità di pubblicità comportamentale, utilizzo tessere fedeltà esercizi commerciali come le farmacie; occuparsi del funzionamento di una rete di telecomunicazioni; tracciamento dell’ubicazione; i programmi di fidelizzazione; utilizzo di un sistema di videosorveglianza; reindirizzamento di messaggi di posta, attività di marketing basate sull’analisi dei dati raccolti, automobili intelligenti, dispositivi per la domotica; ecc.)
• se le attività principali del titolare o del responsabile consistono nel trattamento su larga scalaQuando un’attività è su larga scala? Il concetto di “larga scala” è del tutto generico per cui, anche se il Regolamento fornisce alcune indicazioni, restano molteplici zone grigie di cui probabilmente avremo chiarimenti quando le attività saranno a regime. In linea di massima si intende per trattamenti su larga scala la gestione di una notevole quantità di dati personali a livello regionale, nazionale o sovranazionale e che potrebbero incidere su un vasto numero di interessati e che potenzialmente presentano un... di categorie particolari di dati (ad esempio dati sanitari) o di dati personali relativi a condanne penali e reati.

Cosa si intende per larga scala?

Il Regolamento non fornisce una definizione specifica di “trattamento su larga scalaQuando un’attività è su larga scala? Il concetto di “larga scala” è del tutto generico per cui, anche se il Regolamento fornisce alcune indicazioni, restano molteplici zone grigie di cui probabilmente avremo chiarimenti quando le attività saranno a regime. In linea di massima si intende per trattamenti su larga scala la gestione di una notevole quantità di dati personali a livello regionale, nazionale o sovranazionale e che potrebbero incidere su un vasto numero di interessati e che potenzialmente presentano un...“, anche se alcune indicazioni sono fornite al considerando 91 (ossia il testo che precede la parte dispositiva del regolamento), intendendo per trattamenti su larga scala la gestione di una notevole quantità di dati personali a livello regionale, nazionale o sovranazionale e che potrebbero incidere su un vasto numero di interessati e che potenzialmente presentano un rischio elevato. Esiste, però, un’ampia zona di attenzione in cui si collocano attività per cui risulta impossibile precisare la quantità di dati oggetto di trattamento o il numero di interessati.

Ad ogni modo, nel definire i propri trattamenti ed i relativi campi di azione è buona norma considerare:

• il numero di soggetti interessati dal trattamento, rispetto alla popolazione di riferimento;
• il volume dei dati e/o le diverse tipologie di dati oggetto di trattamento;
• la durata dell’attività di trattamento;
• l’estensione geografica dell’attività di trattamento.

Altro aspetto fondamentale della nuova gestione del trattamento dati personali è legata alla precisa identificazione di tutti i trattamenti eseguiti da un’Organizzazione e relativa analisi dei possibili rischi.

In quest’ottica, Blumatica sta implementando un innovativo sistema di gestione che permetterà di adeguare qualunque tipo di Organizzazione ai nuovi requisiti privacy, rivolgendosi sia al consulente che presta il proprio servizio ad un numero indefinito di aziende sia alla grande Organizzazione che intende gestire all’interno il trattamento dati.

Una check list di autovalutazione consentirà di individuare tutte le operazioni da fare per allinearsi ai nuovi requisiti normativi.

Scopri il nostro software per il trattamento dati personali e privacy GDPR

Francesca De Santis

Responsabile Ricerca e Sviluppo Area Sicurezza