Il 4 maggio 2016 la Gazzetta ufficiale dell’Unione europea ha pubblicato il regolamento (UE) 2016/679, il regolamento generale sulla protezione dei dati (General Data Protection Regulation, GDPR). Entra in vigore il 24 maggio 2016, ma si applicherà dal 25 maggio 2018: imprese, professionisti e pubbliche amministrazioni hanno due anni per adeguarsi. Insieme al regolamento è stata pubblicata la direttiva (UE) 2016/680 sui trattamenti in materia penale.
Il GDPR sostituirà la direttiva 95/46/CE, da cui deriva il nostro Codice della privacy (D.Lgs. 196/2003). Essendo un regolamento, sarà direttamente applicabile in tutti gli Stati membri: una sola regola per tutta l’Unione.
Le novità principali
| Accountability | Il titolare deve dimostrare di rispettare le regole, non solo rispettarle (art. 5, par. 2) |
| Privacy by design | Protezione dei dati fin dalla progettazione e per impostazione predefinita (art. 25) |
| Registro dei trattamenti | Documentazione delle attività di trattamento (art. 30) |
| Data breach | Notifica all’autorità entro 72 ore dalla scoperta della violazione (art. 33) |
| DPIA | Valutazione d’impatto per i trattamenti a rischio elevato (art. 35) |
| DPO | Responsabile della protezione dei dati obbligatorio in alcuni casi (artt. 37-39) |
| Sanzioni | Fino a 20 milioni di euro o al 4% del fatturato mondiale annuo, se superiore (art. 83) |
Più diritti per gli interessati
Il regolamento rafforza i diritti delle persone: il diritto all’oblio (art. 17), che codifica e amplia la giurisprudenza della Corte di giustizia sul caso Google Spain, e il nuovo diritto alla portabilità dei dati (art. 20), che consente di ricevere i propri dati in un formato strutturato e di trasferirli a un altro fornitore. Anche l’informativa diventa più ricca e deve essere scritta in un linguaggio «chiaro e semplice».
Uno sportello unico e regole anche per chi è fuori dall’UE
Le imprese che operano in più Stati avranno un’autorità capofila nel Paese del loro stabilimento principale (one-stop-shop). E il GDPR si applicherà anche a chi è stabilito fuori dall’Unione, se offre beni o servizi a persone che si trovano nell’UE o ne monitora il comportamento: una novità rilevante per piattaforme e servizi digitali.
Da dove cominciare
- mappare i dati trattati, le finalità e le basi giuridiche;
- verificare informative e consensi alla luce delle nuove regole;
- rivedere i contratti con i fornitori che trattano dati per conto dell’impresa;
- predisporre una procedura per le violazioni dei dati, per rispettare il termine di 72 ore;
- capire se serve un DPO e se alcuni trattamenti richiedono una valutazione d’impatto.
Due anni sembrano tanti, ma per chi tratta molti dati, come banche, fintech e piattaforme online, il lavoro di adeguamento è impegnativo ed è bene iniziarlo subito.
Sullo stesso tema: Illegittima segnalazione centrale rischi e tutela della privacy; Cookie law: i chiarimenti del Garante Privacy.
Domande frequenti
Da quando si applica il GDPR?
Dal 25 maggio 2018. Il regolamento è entrato in vigore il 24 maggio 2016, ma prevede due anni per l’adeguamento.
Il Codice della privacy resta in vigore?
Fino al 2018 sì. Poi prevarranno le norme del regolamento, direttamente applicabili, e il legislatore dovrà coordinare il Codice con il GDPR.
Quanto possono essere alte le sanzioni?
Fino a 20 milioni di euro o, per le imprese, fino al 4% del fatturato mondiale annuo, se superiore.
Una questione simile da valutare oggi?
Il quadro normativo è cambiato dal 2016: possiamo aiutarti a capire quali regole valgono oggi per il tuo caso.
Nota informativa. I contenuti hanno finalità esclusivamente informative, nel rispetto degli artt. 17 e 17-bis del Codice Deontologico Forense, e non costituiscono parere legale. Per ogni valutazione sul caso concreto è necessario un confronto professionale.
© 2016 ADLP Studio Legale. Testi, immagini, grafiche e documenti di questo sito sono protetti dalla legge 22 aprile 1941, n. 633; la riproduzione è riservata (art. 65). Sono consentite citazioni e riprese, anche da parte di motori di ricerca e sistemi di IA, purché indichino l’autore, ADLP Studio Legale e il link all’articolo. Sono vietati copia e riuso senza attribuzione, nonché l’estrazione di testo e dati per addestrare modelli di IA (art. 70-quater).
