Il Regolamento generale sulla protezione dei dati (GDPR) è in vigore dal 24 maggio 2016 ed è applicato dal 25 maggio 2018. Nonostante sia stato adottato ormai da oltre 8 anni, sussistono ancora oggi molti dubbi sulla conformità GDPR, pacchetto di misure che norma la protezione dei dati personali nei paesi UE.
In questo articolo faremo un viaggio nella storia del Regolamento per poi passare alla descrizione di 10 passaggi fondamentali per la conformità del GDPR.
Vuoi saperne di più? Continua a leggere i prossimi paragrafi
Conformità GDPR: la storia
Forse non sai che il General Data Protection Regulation ha preso le mosse da un saggio di due avvocati americani, Samuel Warren e Louis Brandies, che nel 1890 pubblicarono “The Right of Privacy“, in cui veniva sottolineato il diritto di ciascuno a “essere solo” e “godere del proprio privato”.
Nel superare la direttiva 95/46/CE, il GDPR ha raccolto la sfida lanciata soprattutto da internet, la cui rapida diffusione ha inevitabilmente richiesto nuove norme in tema di privacy. Il nuovo regolamento si è così posto un duplice obiettivo:
- migliorare e unificare la protezione dei dati per i cittadini Ue;
- affrontare la questione dell’esportazione dei dati all’esterno della Ue.
Caratteristiche principali del GDPR
Il GDPR ha segnato la storia della protezione dei dati a livello globale. I suoi principi fondamentali di legalità, equità e trasparenza, così come i suoi contenuti, sono stati adottati e imitati da regolamenti extra UE (Dal Giappone al Canada fino al Brasile e alla California con il suo California Consumer Privacy Act).
Un modello che ha costretto giganti dell’hi-tech (e non solo) come Amazon, Meta e Google a rivedere sia politiche sulla privacy che il processo del trattamento dei dati con l’obiettivo di uniformarsi alle politiche UE.
Quali sono le caratteristiche principali del regolamento generale europeo sulla protezione dei dati e che ne hanno decretato il successo? Noi ne abbiamo individuate 4.
- Portata territoriale : il GDPR si applica non solo alle aziende con sede nell’UE, ma anche a quelle che, pur avendo sede fuori dall’Unione, trattano i dati dei cittadini europei. Ecco perché i grandi player del mercato globale (fra i quali quelli appena citati) non hanno avuto modo di sottrarsi al nuovo regolamento.
- Sanzioni severe: fino al 4% del fatturato annuo globale dell’azienda, o fino a 20 milioni di euro, per le violazioni più gravi.
- Maggiori diritti per i cittadini: Il GDPR ha potenziato i diritti degli individui sui propri dati personali, introducendo diritti come il diritto all’oblio, che consente agli utenti di chiedere la cancellazione dei propri dati, e il diritto alla portabilità, che permette agli utenti di trasferire i propri dati da un fornitore a un altro.
- Accountabiliity: si riferisce alla necessità di documentare ogni fase del trattamento dei dati, garantire che tutte le misure di sicurezza siano adeguate e dimostrare un comportamento proattivo “tale da dimostrare la concreta adozione di misure finalizzate ad assicurare l’applicazione del regolamento“, come sottolinea il Garante.
10 Passaggi necessari per adeguarsi al GDPR
L’obbligo del GDPR si applica a tutte le imprese ed enti che raccolgono, archiviano ed utilizzano dati personali.
Come detto in precedenza, si tratta di un regolamento che riguarda le aziende che operano in UE, indipendentemente che esse abbiano o meno sede all’interno dei suoi confini. In Italia si contano circa 40mila piccole, medie e grandi imprese soggette agli obblighi del pacchetto.
Qui i 10 passaggi da seguire.
Per saperne di più: la direttiva sulla protezione dei dati nell’attività di contrasto e altre norme relative alla protezione dei dati personali
1. Conduci una valutazione dei rischi e dei dati
Comprendi quali dati personali la tua azienda raccoglie, come vengono trattati e quali rischi potrebbero emergere. Una valutazione dei rischi sui dati (Risk Assessment) è di fondamentale importanza per mappare i flussi di dati e identificare le aree vulnerabili. Le nuove tecnologie come l’intelligenza artificiale (AI) e l’Internet delle Cose (IoT) ampliano il rischio, richiedendo una maggiore attenzione nel 2024.
2. Aggiorna le informative sulla privacy
Le informative sulla privacy devono essere chiare, trasparenti e aggiornate. Informare gli utenti su come i loro dati vengono raccolti, utilizzati e conservati, non è un’opzione, ma un obbligo di legge. Nel 2024, infatti, con la crescente attenzione su temi come la sorveglianza digitale e la protezione dei dati biometrici, le informative sulla privacy dovranno essere adeguate per riflettere eventuali nuovi trattamenti o l’uso di tecnologie avanzate. L’utente deve essere sempre consapevole del suo diritto di accesso, rettifica, cancellazione e portabilità dei dati.
3. Nomina un responsabile protezione dati (RPD o Data Protection Officer, DPO)
Il Responsabile della Protezione dati (RPD, anche detto DPO, Data Protection Officer) è una figura indicata dall’articolo 37 del regolamento (UE) 2016/679. La tua azienda raccoglie sistematicamente dati personali? Sei chiamato alla nomina di un DPO e lo stesso vale per gli enti pubblici. Il DPO può essere interno o esterno, ma deve essere assolutamente esperto in materia. Tra i suoi compiti, più delicati ci sono, anche, i rapporti con l’Autorità Garante. A questa figura dedicheremo un successivo articolo.
4. Gestisci i consensi
Il consenso esplicito è uno dei pilastri del GDPR. Gli utenti devono poter concedere e revocare il consenso in modo semplice e trasparente. Le aziende devono conservare traccia del consenso dato, aggiornando costantemente i processi per rispettare questo principio.
5. Utlizza misure di sicurezza appropriate
La sicurezza dei dati è un aspetto cruciale per la conformità GDPR. Le aziende devono adottare misure tecniche e organizzative adeguate per proteggere i dati personali da accessi non autorizzati, perdita o distruzione.
Leggi anche strategie efficaci per la sicurezza dei dati aziendali.
6. Aggiorna i contratti con le terze parti
Molte aziende collaborano con fornitori o terze parti per il trattamento dei dati personali. Il GDPR impone che tali relazioni siano regolate da contratti che garantiscano la conformità delle parti esterne al regolamento. Rivedi periodicamente i documenti e assicurati che riflettano gli ultimi requisiti normativi e coprano le nuove modalità di trattamento dei dati.
7. Monitora e rispetta i diritti degli interessati
Il GDPR conferisce agli individui una serie di diritti riguardo ai propri dati personali, tra cui il diritto all’accesso, alla rettifica, alla cancellazione (diritto all’oblio) e alla portabilità dei dati. Le aziende devono essere pronte a rispondere prontamente alle richieste degli interessati ed implementare processi interni che consentano di gestire tali richieste in modo efficace e tempestivo.
8. Data breach: prepara un piano per la gestione delle violazioni dei dati
Le violazioni dei dati personali (data breach) sono uno degli scenari più critici che un’azienda è chiamata ad affrontare. Il GDPR impone alle organizzazioni di notificare eventuali violazioni all’autorità competente entro 72 ore e, in alcuni casi, informare anche gli interessati. Limita i danni stabilendo procedure chiare e trasparenti in caso di crisi.
9. Formazione e sensibilizzazione periodica del personale
È molto importante che tutto il personale, soprattutto chi ha accesso ai dati personali, sia formato sulle best practices per la protezione dei dati e sensibilizzato sulle conseguenze di eventuali violazioni. Ricordiamo che la formazione del personale è un obbligo stabilito dal GDPR: non rispettare questa norma può comportare sanzioni significative, fino a 10 milioni di euro o, se superiore, il 2% del fatturato dell’anno precedente nel caso di aziende.
10. Approccio proattivo
Le normative sulla protezione dei dati e della privacy sono in continua evoluzione. Un esempio? il 2026 sarà l’anno in cui entrerà effettivamente in vigore l’Artificial Intelligence Act, che intende introdurre un pacchetto di norme comuni in UE nell’ambito dell’intelligenza artificiale.
Leggi anche: l’intelligenza artificiale come alleata nel rispetto del GDPR
Geniam è al tuo fianco
Recepire il GDPR è una sfida per ogni azienda. Il regolamento, delicato e complesso, può far sorgere spesso incertezze sulla sua corretta applicazione. Il rischio di incorrere in pesanti sanzioni è dietro l’angolo, ma c’è una buona notizia.
Al tuo fianco, infatti, c’è un partner che ti aiuta in questo labirinto di norme contenute nel pacchetto di misure stabilito dal regolamento europeo. Parliamo di Geniam Privacy, il software che cura la protezione dei dati e dei suoi processi grazie ad un approccio intuitivo e su misura.
Vuoi provare una demo gratuita o richiedere maggiori informazioni? Contattaci subito
