PRIVACY 2018

Privacy, il 25 maggio 2018 è stata la data di avvio del GDPR, il testo del nuovo regolamento sulla privacy definito come una vera e propria riforma nell’ambito delle regole sul trattamento dei dati.

Nuovi adempimenti e obblighi per professionisti ed imprese che, in caso di violazione delle nuove regole privacy 2018 saranno sottoposti a pesanti sanzioni amministrative e penali.

Non mancano dubbi, incertezze e problemi di carattere formale e operativo: cosa fare per adeguarsi al GDPR, cosa cambia per professionisti come avvocati e commercialisti (qui la guida del CNDCEC), e quali sono le novità sulla privacy introdotte per tutelare i consumatori?

Particolare attenzione è rivolta alle sanzioni previste dal testo del nuovo regolamento sulla privacy che potranno arrivare fino a 20 milioni di euro o al 4% del fatturato annuo. Ancora non è chiaro, tuttavia, cosa si rischia dal 25 maggio 2018: il decreto di adeguamento dell’Italia al GDPR è in ritardo ma nonostante ciò la Guardia di Finanza ha dichiarato che i controlli saranno avviati da subito.

Ma cos’è il GDPR, General Data Protection Regulation? Con il nuovo regolamento, l’Unione Europea ha voluto introdurre nuove regole in materia di protezione delle persone fisiche in merito al trattamento dei dati personali e alla libera circolazione degli stessi.

• Le novità principali riguardano le regole sul trattamento dei dati personali, che non potrà essere illimitato nel tempo ma funzionale al motivo per il quale sono stati raccolti. Il consenso del consumatore\cliente, inoltre, dovrà essere esplicito e le modalità di utilizzo dei dati dovranno essere spiegate in modo chiaro e semplice.

• Ad aiutare sia le imprese, che i professionisti e i consumatori nell’analisi di cosa cambia e quali sono le novità previste con l’entrata in vigore del testo del GDPR dal 25 maggio 2018 è il Garante per la protezione dei dati personali, con una guida ai punti più importanti della riforma UE.

Privacy 2018: cosa fare?

Il 25 maggio 2018 è ufficialmente non soltanto il giorno della nuova privacy ma anche quello in cui partirà l’attività di controllo della Guardia di Finanza.

Nello specifico, il Comandante del Nucleo Speciale Privacy della Guardia di Finanza ha chiarito che le ispezioni partiranno da subito sugli adempimenti obbligatori e fondamentali per l’adeguamento al GDRP:

• nomina del DPO, il responsabile della protezione dati;

• controlli sulle misure previste in caso di data breach (da intendere non come situazioni estreme ma come tutti quei casi di perdita accidentale e occasionale di dati, come il furto di un pc, di un hardisk e via di seguito);

• registro dei trattamenti: sarà la base dell’attività ispettiva, il punto dal quale la Guardia di Finanza partirà per valutare le misure per la tutela della privacy messe in atto.

Alla base dei nuovi controlli vi è la capacità per l’impresa o il professionista di saper render conto delle valutazioni fatte. In tal senso sarà centrale il ruolo del DPO, il responsabile della protezione dati mentre non è stato chiarito come saranno i controlli sulla privacy nelle PMI in cui non è obbligatoria la nomina.

Alla luce dei chiarimenti forniti, cerchiamo di seguito di capire alcune delle principali novità, che riguarderanno anche le PMI, con degli utili esempi forniti dalla guida alla riforma della Privacy pubblicata dal quotidiano economico-finanziario Italia Oggi.

1. Informativa Tra le principali novità del nuovo regolamento UE sulla privacy vi sono le nuove regole in materia di informativa e consenso: dovrà essere chiara e di facile comprensione e per fare ciò si potrà fare uso anche di icone (che tuttavia dovranno essere le stesse in tutta Europa).

Prendiamo ad esempio il caso di un’agenzia viaggi: l’informativa al trattamento dei dati dovrà spiegare in maniera semplice e con un linguaggio di facile comprensione come saranno utilizzati i dati e per quanto tempo saranno conservati nelle banche dati.

Se tali dati saranno utilizzati con finalità di marketing, ovvero qualora dovessero essere condivisi con altre aziende che si occupano del settore viaggi e tempo libero, nell’informativa privacy dovrà essere indicato in maniera esplicita ai clienti che i propri dati potrebbero essere trasferiti a terzi per finalità di marketing. Nel caso di mancanza di consenso l’agenzia viaggi non potrà comunicare i dati all’azienda terza.

2. Consenso Il consenso al trattamento dei dati personali dovrà essere preventivo e inequivocabile, così come previsto già oggi. Quel che cambia è la modalità per esprimerlo: non varrà mai la regola del chi tace acconsente, il consenso dovrà essere esplicito e mai basato ponendo all’interessato una serie di opzioni già selezionate.

3. Portabilità dei dati Una novità, questa, che interesserà soprattutto i consumatori che secondo quanto previsto dal regolamento privacy consentirà a partire dal 25 maggio 2018 di richiedere il trasferimento dei propri dati personali da un titolare del trattamento ad un altro. Ad esempio si potrà cambiare il provider di posta elettronica senza perdere i contatti e i messaggi salvati, così come ad esempio, nel caso di cambio di gestore dell’energia.

4. Diritto all’oblio e conservazione limitata In merito al diritto all’oblio, il consumatore potrà richiedere la cancellazione dei propri dati personali online nei casi in cui i dati sono trattati solo sulla base del consenso, se i dati non sono più necessari per gli scopi rispetto ai quali sono stati raccolti, se i dati sono trattati illecitamente oppure se l’interessato si oppone legittimamente al loro trattamento.

Privacy, chi è il DPO e quando deve essere nominato

Tra le novità introdotte dal GDPR vi è il DPO (Data Protection Officer - Responabile della protezione dei dati), una figura definita come l’alleato nella tutela dei dati del cliente.

Le funzioni del DPO, e i casi in cui deve essere nominato entro il 25 maggio 2018, tale figura è necessaria nei seguenti casi:

• quando il trattamento è effettuato da un’autorità pubblica o da un organismo pubblico, eccettuate le autorità giurisdizionali quando esercitano le loro funzioni giurisdizionali;

• quando le attività principali del Titolare del trattamento o del Responsabile del trattamento consistono in trattamenti che, per loro natura, ambito di applicazione e/o finalità, richiedono il monitoraggio regolare e sistematico degli interessati su larga scala;

• quando le attività principali del Titolare del trattamento o del Responsabile del trattamento consistono nel trattamento, su larga scala, di categorie particolari di dati personali di cui all’articolo 9 (dati particolari | sensibili) o di dati relativi a condanne penali e a reati di cui all’articolo 10.

PMI esonerate dall’obbligo di tenuta del registro dei trattamenti

Il nuovo regolamento sulla privacy introduce, a partire dal 25 maggio 2018, l’obbligo di tenuta del registro dei trattamenti. Si tratta di un documento all’interno del quale bisognerà indicare le caratteristiche del titolare del trattamento e del responsabile del trattamento: potrà essere utilizzato a fini di controllo ma serve soprattutto all’impresa come strumento di valutazione delle attività poste in essere.

L’obbligo di tenuta del registro riguarda tutti i titolari e responsabili del trattamento dei dati personali, ad esclusione delle PMI con meno di 250 dipendenti.

L’obbligo, tuttavia, si estende anche alle piccole e medie imprese qualora il trattamento dei dati si configuri come un rischio per i diritti e le libertà dell’interessato, qualora il trattamento non sia occasionale o se riguardi particolari tipologie di dati.

____________________________________

Sede Operativa: Via Amerigo Bresci n° 16 Prato (PO) - 59100

Email: sta.ecology.studio@gmail.com

Tel:0574/537245