Il nuovo regolamento sulla privacy: cosa cambierà?

Privacy

Tra pochissimo diventerà obbligatorio adeguarsi alle nuove norme europee in materia di privacy, infatti il 25 maggio 2018 è ormai alle porte ed entro tale termine dovranno essere adeguate le normative interne i ciascuno Stato membro dell’Unione Europea, compresa ovviamente l’Italia.

Con il nuovo regolamento cambieranno le regole per coloro che si trovano a maneggiare dati personali: ad esempio le società di telefonia, le pubbliche amministrazioni e qualsiasi azienda con cui l’utente si troverà a sottoscrivere un contratto contenente i suoi dati personali.

Il nuovo Regolamento sulla privacy imporrà obblighi stringenti ed introdurrà nuove responsabilità volte a garantire maggiori misure di sicurezza a protezione dei dati personali. Il regolamento introduce, infatti, regole più chiare in materia di informativa e consenso, definisce i limiti al trattamento automatizzato dei dati personali, e stabilisce anche criteri (e sanzioni) rigorosi nei casi di violazione dei dati personali.

Il Regolamento andrà a sostituire il Codice della Privacy attualmente in vigore in Italia , riconoscendo importanti ed ampi diritti ai cittadini ed imponendo alle imprese ed alla Pubblica Amministrazione una forte responsabilizzazione. Introdurrà una legislazione in materia di privacy uniforme e valida in tutta Europa affrontando temi innovativi (quali, ad esempio, il diritto all’oblio).

Lo sviluppo tecnologico e la globalizzazione, oltre agli innumerevoli vantaggi, comportano un rischio per la privacy di ognuno e per la protezione dei dati personali la cui condivisione e raccolta è aumentata in modo esponenziale. Per tali ragioni si è reso necessario predisporre un più solido sistema di protezione del diritto alla riservatezza. Secondo la nuova disciplina europea, devono conformarsi alle prescrizioni dettate in punto di privacy tutte le aziende pubbliche e tutte quelle realtà (anche private) in cui il trattamento dei dati presenta rischi specifici. Il Regolamento si applica solo al trattamento di dati personali delle persone fisiche.

La nuova disciplina in tema di trattamento di dati personali prevede un concetto nuovo e sinora sconosciuto: ossia il concetto di scadenza dei dati. Ciò significa che nel momento in cui l’azienda entra in possesso di dati di alcuni utenti, non può tenerli per sempre. Pertanto ogni azienda nella propria informativa privacy dovrà anche specificare il tempo entro il quale il dato sensibile andrà trattato, scaduto il quale il trattamento diventerà illegittimo.

Al fine di garantire la protezione dei dati personali il Regolamento ha introdotto due importanti principi, ovverosia il principio di privacy by default e quello di privacy by design. Il principio di privacy by default fa riferimento alla necessità di tutelare la vita privata dei cittadini – appunto – di default, ovvero come impostazione predefinita dell’organizzazione aziendale. In altri termini, ogni azienda dovrà necessariamente dotarsi di un sistema tale da proteggere adeguatamente i dati personali ed evitare il rischio di una loro violazione.

Il concetto di privacy by design, invece, stabilisce che la protezione dei dati deve avvenire fin dal disegno e/o progettazione di un processo aziendale. Quindi, ogni azienda deve effettuare una cosiddetta valutazione dell’impatto-privacy, cioè una puntuale e documentata analisi dei rischi per i diritti e le libertà degli interessati. Questa analisi deve condurre ad escludere il verificarsi in concreto dei rischi legati al trattamento dei dati personali quali ad esempio la loro distruzione, perdita, modifica e divulgazione non autorizzata.

Per il perseguimento delle finalità sopra descritte, il Regolamento ha introdotto la figura del Responsabile della Protezione dei Dati Personali (detto Dpo). Si tratta di un soggetto in possesso di specifici requisiti come competenza, esperienza, indipendenza, autonomia di risorse, con il compito di garantire la tutela della privacy attraverso la verifica della corretta applicazione del Regolamento, la formazione del personale, la sensibilizzazione, la consulenza ecc.

La nuova legge estende il campo del cosiddetto diritto all’oblio: la norma sancisce il diritto ad ottenere la cancellazione dei propri dati personali dalle notizie e anche dai motori di ricerca qualora il motivo che ha reso legittima la pubblicazione di quel dato non sia più di pubblica utilità (come, per esempio, nell’ipotesi di una persona che è stata assolta da un’accusa di cui i giornali e le testate online avevano dato notizia). Questo diritto si estende anche ai casi in cui un soggetto chiede la cancellazione dei propri dati personali, così revocando il consenso al trattamento concesso per fruire di un determinato servizio. Il diritto all’oblio del cittadino potrà essere limitato solo per garantire la libertà di espressione volta alla tutela di un interesse generale (ad esempio la salute pubblica) o quando i dati trattati in forma anonima dal titolare del trattamento siano necessari per la ricerca storica o per finalità scientifiche o statistiche.

Una delle più grandi novità del regolamento è quella che riguarda i casi di ”data breach“, ossia le violazioni dei dati, per esempio in occasione di attacchi informatici. La norma introduce infatti il diritto per tutti i cittadini, siano essi aziende o persone fisiche, di conoscere la violazione dei dati che le aziende saranno obbligate a comunicare al Garante. Le norme che sanzionano il trattamento illecito di dati personali sono molto severe. Il Regolamento, infatti, ha innalzato sensibilmente la misura delle pene pecuniarie, che potranno arrivare fino ad un massimo di 20 milioni di euro o fino al 4% del fatturato annuo.

di Flavia Trombetta