GDPR (General Data Protection Regulation)

Cos’è il GDPR e a chi si applica

Il regolamento tutela i dati personali, cioè qualsiasi informazione riferita a una persona identificata o identificabile: nome, email, indirizzo IP, dati di acquisto, immagini. Si applica a chi tratta dati di persone che si trovano nell’Unione europea, anche se l’azienda ha sede fuori. Vale quindi per quasi ogni impresa italiana, dall’e-commerce allo studio professionale, e per chi sviluppa o gestisce software che tratta dati.

I principi del trattamento dei dati

• Liceità, correttezza e trasparenza: i dati si trattano con una base giuridica valida e con un’informativa chiara.
• Limitazione delle finalità: i dati si raccolgono per scopi dichiarati e non si usano per altro.
• Minimizzazione: si raccoglie solo ciò che serve.
• Esattezza: i dati devono essere corretti e aggiornati.
• Limitazione della conservazione: si conservano solo per il tempo necessario.
• Integrità e riservatezza: si proteggono con misure di sicurezza adeguate.
• Responsabilizzazione: il titolare deve poter dimostrare di rispettare le regole.

Ruoli: titolare, responsabile e DPO

Il titolare del trattamento decide perché e come i dati sono trattati. Il responsabile del trattamento li tratta per conto del titolare, come un fornitore di cloud o di SaaS, ed è vincolato da un contratto. Il responsabile della protezione dei dati (DPO) è obbligatorio per enti pubblici e per chi tratta dati su larga scala o categorie particolari di dati.

Diritti degli interessati

Le persone possono chiedere di accedere ai propri dati, di correggerli, di cancellarli, di limitarne il trattamento, di riceverli in un formato leggibile da una macchina e di opporsi al trattamento. L’azienda deve rispondere entro un mese. Questi diritti si riflettono nella progettazione dei sistemi, che devono poter trovare, esportare ed eliminare i dati di una persona.

Violazioni dei dati e sanzioni

In caso di violazione dei dati personali, il titolare deve notificarla al Garante per la protezione dei dati personali entro 72 ore da quando ne viene a conoscenza, se c’è un rischio per le persone. Le sanzioni arrivano fino a 20 milioni di euro o al 4% del fatturato mondiale annuo, a seconda della violazione.

GDPR e tecnologie digitali

Il principio di protezione dei dati fin dalla progettazione impone di prevedere la privacy già durante lo sviluppo. Contano la sede dei server, i trasferimenti di dati fuori dall’Unione europea, la conservazione dei registri di accesso e l’uso di strumenti di intelligenza artificiale e di chatbot, che possono ricevere dati personali nelle conversazioni. Per le valutazioni su un caso concreto conviene rivolgersi a un consulente legale o al DPO.