GDPR anno zero: il vademecum di Conflavoro PMI sulla rivoluzione Privacy 679/2016

Diventa operativo il nuovo regolamento europeo per il trattamento dei dati personali. Ma niente panico perché c’è Conflavoro PMI. L’associazione datoriale, infatti, è a disposizione delle piccole e medie imprese che vogliono mettersi in regola anche dopo il 25 maggio, data dalla quale il regolamento sarà effettivo.

Dopo aver organizzato una serie di incontri e convegni, che proseguiranno anche nelle prossime settimane, l’associazione di categoria, nel giorno dell’entrata in vigore delle nuove norme per il trattamento dei dati personali, fornisce un breve, ma utile vademecum per fare il punto della situazione e per permettere alle imprese di capire dove, e se, devono intervenire.

 

Ma quali sono i dati personali che rispondono a questo regolamento? Si tratta di ogni informazione che possa in qualche modo identificare, direttamente o indirettamente, una persona fisica. Non solo il nome e il cognome, dunque, ma anche l’ubicazione, l’identificativo on line o elementi dell’identità fisica, psichica, economica, culturale o sociale.

Per quanto riguarda gli identificativi on line ci si riferisce in particolare a indirizzi Ip, cookies e tag. E se da una parte rimane vietato, salvo limitatissime eccezioni previste dal regolamento, trattare dati personali che rivelino origine razziale o etnica, convinzioni religiose, opinioni politiche, appartenenza sindacale, dati genetici e dati relativi a salute e orientamento sessuale (cosiddetti dati supersensibili), dall’altra anche i restanti dati sono soggetti a limitazioni.

 

Le figure responsabili del trattamento dati

Il nuovo regolamento prevede tre diverse figure legate al trattamento dei dati personali, secondo una struttura a piramide. Al vertice c’è il titolare del trattamento, che decide le finalità di trattamento, impartisce istruzioni e direttive e svolge funzioni di controllo. C’è poi il responsabile del trattamento, preposto dal titolare al trattamento dei dati personali. E, infine, l’incaricato del trattamento, ruolo che può essere ricoperto da una o più persone.

Il titolare, in caso di persona giuridica o di studio associato, è l’azienda o lo studio stesso, mentre in caso di azienda individuale o professionista è la persona fisica. In ogni caso non è necessario nessun atto di nomina o requisiti particolari.

Il responsabile del trattamento può essere interno, di solito una persona di alto profilo che coadiuva il titolare per il rispetto della normativa sulla privacy, o esterno, e in quel caso può essere una persona fisica o giuridica il cui rapporto è regolato da un contratto. C’è, infine, l’incaricato del trattamento che, chiunque esso sia, deve essere obbligatoriamente istruito dal titolare o dal responsabile del trattamento.

 

Il ruolo del DPO – Data Protection Officer

Nel complesso sistema del trattamento dei dati personali ci sono poi altri soggetti, ciascuno con il suo ruolo definito: l’amministratore di sistema, una figura professionale dedita alla gestione di un impianto o alla manutenzione dei suoi componenti, e il responsabile della protezione dei dati (data protection officer), che è il soggetto incaricato di affiancare il titolare e il responsabile del trattamento dati, che può essere un dipendente o un soggetto esterno.

Quest’ultima è una figura di garanzia, facoltativa all’interno dell’azienda, la cui nomina diviene però obbligatoria nei tre casi seguenti.

– Se il trattamento dei dati è effettuato da un’autorità pubblica o da un organismo pubblico (eccettuate le autorità giurisdizionali quando esercitano le loro funzioni).
– Quando le attività principali del titolare del trattamento o del responsabile del trattamento consistono in trattamenti che, per loro natura, abito o finalità, richiedono il monitoraggio regolare e sistematico degli interessati su larga scala.
– Quando, infine, le attività principali del titolare del trattamento o del responsabile del trattamento consistono nel trattamento, su larga scala, di categorie particolari di dati personali o di dati relativi a condanne penali.

I compiti del data protection officer sono di verifica e controllo sull’attuazione e applicazione del regolamento. Parimenti, il DPO si occupa di sorveglianza sul trattamento dei dati, informazione e consulenza circa gli obblighi del regolamento.

 

Questo significa, in sostanza, che i dati devono essere innanzitutto conservati per il periodo strettamente necessario. Il diretto interessato deve poter accedere in ogni momento ai dati conservati per conoscere alcuni fatti. Tra questi abbiamo la finalità del trattamento, le categorie dei dati personali in questione, i destinatari o le categorie di destinatari cui i dati sono stati o saranno comunicati. E ancora: il periodo o i criteri di conservazione, il diritto di proporre reclamo a un’autorità di controllo, le informazioni sull’origine dei dati qualora questi non siano stati raccolti dall’interessato, l’esistenza di un processo decisionale automatizzato quale la profilazione.

Su richiesta, il titolare del trattamento fornisce all’interessato le informazioni richieste entro un tempo stabilito e a titolo gratuito. Una volta ricevute le informazioni, il soggetto che le ha richieste può chiedere la rettifica dei dati. O, eventualmente, la limitazione del trattamento in caso di dati inesatti o, ancora, la loro cancellazione. Questo, in particolare, se si ritiene esaurita la finalità di trattamento o se è stato revocato il consenso. Ma anche se è stata fatta opposizione al trattamento o se si tratta di violazione di legge.

 

Il regolamento prevede anche la tenuta di un registro dei trattamenti, non obbligatorio per le imprese inferiori ai 250 dipendenti. A meno che il trattamento possa presentare un rischio per i diritti e le libertà dell’interessato. O che non sia occasionale. O che includa dati particolari o personali relativi a condanne penali o reati.

Per chi ne è obbligato, il registro deve contenere i nomi e i dati del titolare del trattamento e del responsabile della protezione dei dati. E, ancora, le finalità del trattamento e le misure di sicurezza, una descrizione delle categorie degli interessati e le categorie dei destinatari a cui i dati personali sono stati o saranno comunicati. E, infine, gli eventuali trasferimenti di dati personali verso Paesi terzi e la loro identificazione e i termini ultimi per la cancellazione delle diverse categorie di dati.

 

La valutazione d’impatto

In caso di violazione dei dati personali (Data breach notification) ovvero perdita, distruzione o diffusione indebita degli stessi, corre obbligo di notifica al garante, con le misure di contrasto adottate e l’obbligo di comunicazione all’interessato. In particolari casi è richiesta anche una valutazione di impatto sul trattamento dei dati.

L’ipotesi è quella della valutazione sistematica e globale di aspetti personali basata su trattamenti automatizzati, come la profilazione, e sulla quale si fondano decisioni che hanno effetti giuridici o che incidono analogamente sulle persone fisiche; nei casi di trattamento su larga scala di dati particolari; in quelli di videosorveglianza sistematica e su larga scala di una zona accessibile al pubblico e di altre tipologie di trattamento indicate dall’autorità di controllo.

 

L’informativa privacy nel GDPR…

… e il consenso al trattamento dati

Per rendere legittimo il trattamento dei dati personali, oltre all’informativa, è necessario il consenso. Esso deve arrivare mediante dichiarazione o azione positiva inequivocabile. Serve ad attestare che i dati personali riguardanti l’interessato siano oggetto di trattamento. Ci sono dei casi in cui è obbligatoria anche la notificazione, quando il trattamento ha ad oggetto dati genetici e biometrici.

Un caso riguarda i dati idonei a rivelare stato di salute e vita sessuale. Un altro, i dati volti a definire il profilo o la personalità dell’interessato. Un terzo caso di obbligatorietà è inerente ai dati sensibili registrati in banche di dati. Rigistrazioni da intendersi a fini di selezione del personale per conto terzi o dati sensibili per sondaggi di opinione e ricerche di mercato. E, infine, l’ultimo caso riguarda i dati registrati in banche dati relative al rischio sulla solvibilità economica; dati personali che vengono trasferiti all’estero.

 

Le sanzioni previste e il supporto di Conflavoro PMI

Clicca qua sotto per scaricare il pratico vademecum di Conflavoro PMI e averlo sempre con te