Cos'è in breve il GDPR?

Recentemente si è sentito parlare ampiamente del GDPR (in italiano RGPD: Regolamento Generale sulla Protezione dei Dati), in breve si tratta di una normativa a livello europeo che va a rafforzare e standardizzare i processi di trattamento e protezione dei dati personali.

Quando entrerà in vigore?

Dopo 4 anni di analisi e strutturazione, il GDPR è stato approvato e messo in atto dal Parlamento Europeo nell’aprile 2016, la normativa ha un periodo di transizione di due anni e non avrà bisogno di ulteriori legislazioni per entrare in azione. Le imprese hanno quindi tempo fino a maggio 2018 per mettersi in regola.

Quali imprese devono sottostare al GDPR?

Indipendentemente se la sede dell’impresa è all’interno o all’esterno dell’Europa, dovrà comunque sottostare alle direttive del GDPR se:

1. Offre prodotti o servizi all’interno dell’Unione Europea;
2. Gestisce dati personali o monitora il comportamento di soggetti all’interno dell’Unione Europea.

Cosa si intende per dati personali?

Qualsiasi informazione relativa ad una persona che la possa identificare direttamente o indirettamente (nome, foto, indirizzo email, informazioni bancarie, post sui social, informazioni mediche, indirizzo IP).

Come si potranno ottenere i dati personali?

I dati personali si potranno ottenere sempre nella stessa maniera, tuttavia bisognerà richiedere il consenso descrivendo il motivo della raccolta dati in maniera esplicita e non ambigua. Bisognerà quindi sempre specificare chiaramente e brevemente il motivo della raccolta dei dati ed il modo in cui verranno utilizzati, senza utilizzare termini giuridici o condizioni lunghe e complicate. Per i soggetti con età inferiore a 16 anni, ci sarà inoltre bisogno del consenso dei parenti o tutori. gli stati membri possono decidere però di abbassare questa soglia di età fino ai 13 anni.

Come bisognerà gestire i dati?

I dati dovranno essere, in ogni momento:

• Protetti: ovviamente bisogna evitare furti di informazioni. In caso di breccia nei sistemi di sicurezza andranno informati:
  • i soggetti di cui sono stati rubati i dati entro 72 ore
  • il fornitore dei dati nel minor tempo possibile
• Accessibili: si deve dare alla persona la possibilità di visionare i dati raccolti su di essa
• Cancellabili: bisogna fornire la possibilità di far cancellare tutti i dati raccolti, impedendo di continuare ad utilizzarli per qualsiasi fine.

Come adeguarsi al GDPR?

Per adeguarsi, i professionisti del settore solitamente mostrano un processo suddiviso in 9 passaggi. Anche se i passaggi sono a volte diversi, si tratta sempre di:

• Comprendere come vengono trattati i dati personali prima dell'adeguamento
• Comprendere cosa viene richiesto dalla nuova normativa
• Comprendere il gap tra trattamento dati esistente e trattamento dati da raggiungere
• Stilare un piano di adeguamento
• Adeguarsi alla normativa: documentando i processi, realizzando le infrastrutture ed i documenti necessari ed introducendo in azienda la figura del Data Protection Officer
• (Non viene mai menzionato ma credo sia sempre importante esplicitarlo) Continuare a seguire la norma nel futuro

Cosa succede a chi non si adegua?

Chi non si adegua o infrange le regole della normativa incorre a sanzioni economiche decisamente pesanti. La sanzione massima, utilizzata solo per i casi più gravi, è pari al valore maggiore tra il 4% del fatturato annuo o 20 milioni di euro. Le penali hanno vari scaglioni, per esempio le imprese che non informano di eventuali fughe di dati, la sanzione è pari al 2% del fatturato annuo.

In conclusione

Se hai sede in Europa o hai interazioni con il pubblico europeo, adeguarsi alla nuova normativa è obbligatorio. Le azioni di adeguamento sono poche ma importanti e la non adempienza alle nuove norme non conviene minimamente se si pensa all’entità delle sanzioni. In caso tu non ti sia ancora adeguato, ti consigliamo di iniziare a fare gli opportuni preparativi il prima possibile. Se hai domande sull’argomento, scrivici nei commenti o mandaci una email.

Ulteriori risorse:

http://eur-lex.europa.eu/eli/reg/2016/679/oj
https://en.wikipedia.org/wiki/General_Data_Protection_Regulation
http://eur-lex.europa.eu/legal-content/EN/LSU/?uri=CELEX:32016R06...
https://www.iubenda.com