GDPR: cos’è il Regolamento europeo sulla privacy e cosa prevede

GDPR: cos’è il Regolamento europeo sulla protezione dei dati personali e quali sono le novità

Il GDPR (General Data Protection Regulation) è il Regolamento (UE) 2016/679, adottato dal Parlamento europeo e dal Consiglio il 27 aprile 2016 e pubblicato nella Gazzetta ufficiale dell’Unione europea il 4 maggio 2016. Si tratta della principale normativa europea in materia di protezione dei dati personali e disciplina le modalità con cui imprese, professionisti, pubbliche amministrazioni e altri soggetti possono raccogliere, utilizzare, conservare e comunicare le informazioni riferibili alle persone fisiche.

Il Regolamento è entrato in vigore il 24 maggio 2016 ed è diventato direttamente applicabile in tutti gli Stati membri dell’Unione europea il 25 maggio 2018, sostituendo la precedente disciplina europea contenuta nella Direttiva 95/46/CE.

L’obiettivo del GDPR è garantire un livello elevato e uniforme di protezione dei dati personali, rafforzando i diritti delle persone e rendendo più responsabili i soggetti che trattano le loro informazioni. La normativa intende inoltre favorire la libera circolazione dei dati all’interno dell’Unione europea, assicurando regole comuni in un contesto caratterizzato dalla diffusione di internet, dei servizi digitali, dei social network e delle nuove tecnologie.

In Italia il GDPR si applica insieme al D.Lgs. 30 giugno 2003, n. 196, noto come Codice in materia di protezione dei dati personali, modificato per adeguarlo alla disciplina europea dal D.Lgs. 10 agosto 2018, n. 101.

Che cosa si intende per dati personali e trattamento dei dati

Il GDPR si applica al trattamento dei dati personali, ossia delle informazioni riguardanti una persona fisica identificata o identificabile. Non sono quindi protetti soltanto i dati anagrafici, ma anche numerose altre informazioni che, direttamente o indirettamente, consentono di individuare una persona.

Rientrano tra i dati personali, ad esempio:

• nome, cognome, indirizzo, codice fiscale e recapiti;
• indirizzi e-mail, numeri di telefono e identificativi online;
• dati relativi alla posizione geografica;
• informazioni bancarie, economiche e professionali;
• fotografie, registrazioni audio e immagini identificative;
• dati relativi alla salute e alla vita privata.

Il Regolamento attribuisce una tutela particolare alle categorie particolari di dati personali, tra cui quelli relativi all’origine razziale o etnica, alle opinioni politiche, alle convinzioni religiose o filosofiche, all’appartenenza sindacale, alla salute, alla vita sessuale e all’orientamento sessuale. Anche i dati genetici e biometrici rientrano in questa categoria quando ricorrono le condizioni previste dall’articolo 9 del GDPR.

Per trattamento si intende qualsiasi operazione compiuta sui dati personali, effettuata con o senza strumenti automatizzati. Sono esempi di trattamento la raccolta, la registrazione, l’organizzazione, la conservazione, la consultazione, la modifica, la comunicazione e la cancellazione dei dati.

Il GDPR non si applica indistintamente a qualsiasi informazione o attività: sono previste specifiche esclusioni, tra cui, a determinate condizioni, i trattamenti effettuati da una persona fisica per attività esclusivamente personali o domestiche.

A chi si applica il GDPR

Il Regolamento riguarda i soggetti pubblici e privati che trattano dati personali nell’ambito delle attività cui si applica la normativa europea. Tra questi rientrano imprese, professionisti, associazioni, enti pubblici, studi professionali e gestori di siti internet.

Il GDPR può applicarsi anche a organizzazioni stabilite al di fuori dell’Unione europea quando ricorrono le condizioni previste dall’articolo 3, ad esempio se offrono beni o servizi a persone che si trovano nell’Unione oppure monitorano il loro comportamento nella misura in cui tale comportamento si svolge nell’Unione.

La disciplina individua diversi ruoli, ai quali corrispondono specifiche responsabilità.

Il titolare del trattamento

Il titolare del trattamento è il soggetto che determina le finalità e i mezzi del trattamento dei dati personali. Può essere una persona fisica o giuridica, un’autorità pubblica, un servizio o un altro organismo.

Un’impresa che raccoglie i dati dei propri clienti per gestire ordini e fatturazione, ad esempio, opera normalmente come titolare del trattamento rispetto a tali attività.

Il responsabile del trattamento

Il responsabile del trattamento è il soggetto che tratta dati personali per conto del titolare. È il caso, ad esempio, di un fornitore informatico che gestisce un servizio cloud o di un’impresa che svolge attività di trattamento per conto di un cliente.

Il rapporto deve essere disciplinato da un contratto o da un altro atto giuridico conforme all’articolo 28 del GDPR, che definisca i compiti del responsabile e le condizioni del trattamento.

L’interessato

L’interessato è la persona fisica alla quale si riferiscono i dati personali. Il GDPR gli riconosce una serie di diritti che gli consentono di conoscere e, nei limiti previsti dalla legge, controllare l’utilizzo delle proprie informazioni.

Quali sono i principi fondamentali del GDPR

L’articolo 5 del Regolamento stabilisce i principi che devono guidare ogni trattamento di dati personali.

Liceità, correttezza e trasparenza. I dati devono essere trattati in modo lecito e corretto, fornendo all’interessato informazioni comprensibili sulle modalità e sulle finalità del trattamento.

Limitazione delle finalità. I dati devono essere raccolti per finalità determinate, esplicite e legittime e non possono essere successivamente utilizzati in modo incompatibile con tali finalità.

Minimizzazione dei dati. Devono essere raccolti soltanto i dati adeguati, pertinenti e necessari rispetto agli scopi perseguiti.

Esattezza. Le informazioni devono essere corrette e, quando necessario, aggiornate. I dati inesatti devono essere rettificati o cancellati senza ingiustificato ritardo.

Limitazione della conservazione. I dati non devono essere conservati più a lungo di quanto sia necessario rispetto alle finalità del trattamento, fatti salvi gli ulteriori presupposti di conservazione previsti dalla legge.

Integrità e riservatezza. Il titolare deve adottare misure adeguate per proteggere i dati da trattamenti non autorizzati o illeciti, dalla perdita, dalla distruzione e dal danneggiamento accidentale.

A questi principi si aggiunge quello di responsabilizzazione, o accountability, previsto dall’articolo 5, paragrafo 2. Il titolare non deve soltanto rispettare le regole, ma anche essere in grado di dimostrare di averle rispettate.

Quali sono le principali novità introdotte dal GDPR

Il Regolamento europeo ha introdotto un modello di protezione dei dati basato non soltanto su adempimenti formali, ma anche sulla valutazione dei rischi, sulla prevenzione delle violazioni e sulla responsabilità concreta di chi tratta le informazioni personali.

Il principio di accountability

Una delle innovazioni più importanti è la responsabilizzazione del titolare del trattamento.

Non è sufficiente predisporre un’informativa o raccogliere una firma: occorre individuare i rischi connessi alle attività svolte, scegliere misure di protezione adeguate e documentare le decisioni adottate.

Gli adempimenti devono essere proporzionati alla natura, all’ambito di applicazione, al contesto, alle finalità del trattamento e ai rischi per i diritti e le libertà delle persone fisiche.

La protezione dei dati fin dalla progettazione e per impostazione predefinita

Gli articoli 25 e 32 del GDPR impongono di considerare la protezione dei dati già nella progettazione dei trattamenti e nella scelta delle impostazioni predefinite.

Il principio della privacy by design richiede di integrare le misure di protezione fin dalle prime fasi di sviluppo di un prodotto, servizio o processo. La privacy by default comporta invece che, per impostazione predefinita, siano trattati soltanto i dati personali necessari per ciascuna specifica finalità.

Questi obblighi possono riguardare, ad esempio, un nuovo software gestionale, un sito di commercio elettronico, un sistema di videosorveglianza o una piattaforma che raccoglie dati degli utenti.

Il consenso al trattamento dei dati personali

Il GDPR disciplina in modo più rigoroso il consenso, che deve essere libero, specifico, informato e inequivocabile, espresso mediante una dichiarazione o un'azione positiva inequivocabile.

Il silenzio, l’inattività o le caselle preselezionate non costituiscono, di per sé, un consenso valido. Quando il trattamento si fonda sul consenso, l’interessato deve inoltre poterlo revocare in qualsiasi momento, con la stessa facilità con cui lo ha prestato.

È importante precisare che il consenso non è l’unica base giuridica che consente di trattare dati personali. L’articolo 6 del GDPR prevede anche altre condizioni di liceità, tra cui l’esecuzione di un contratto, l’adempimento di un obbligo legale, la tutela di interessi vitali, l’esecuzione di un compito di interesse pubblico e il legittimo interesse, nei limiti previsti dalla normativa.

Per esempio, un’impresa può trattare determinati dati necessari per eseguire un contratto senza dover ottenere un consenso separato per quella specifica finalità. Diversamente, l’invio di comunicazioni promozionali può richiedere il consenso, secondo la normativa applicabile in materia di protezione dei dati e comunicazioni elettroniche.

Il diritto alla portabilità dei dati

L’articolo 20 riconosce all’interessato, quando ricorrono le condizioni previste, il diritto di ricevere i dati personali che lo riguardano in un formato strutturato, di uso comune e leggibile da dispositivo automatico e di trasmetterli a un altro titolare.

Il diritto alla portabilità si applica ai trattamenti effettuati con mezzi automatizzati quando si basano sul consenso o su un contratto. Non riguarda indistintamente tutti i dati personali né qualsiasi trattamento.

Il diritto alla cancellazione e il diritto all’oblio

L’articolo 17 riconosce il diritto di ottenere la cancellazione dei dati personali quando sussistono specifici presupposti, ad esempio se i dati non sono più necessari rispetto alle finalità per le quali sono stati raccolti o se il consenso viene revocato e non sussiste un’altra base giuridica per il trattamento.

Questo diritto viene comunemente associato al cosiddetto diritto all’oblio, ma non comporta una cancellazione automatica di qualsiasi informazione su richiesta dell’interessato. Sono previste eccezioni, tra cui quelle relative alla libertà di espressione e di informazione, all’adempimento di obblighi legali e all’accertamento, all’esercizio o alla difesa di un diritto in sede giudiziaria.

Il diritto di accesso, rettifica e limitazione del trattamento

Il GDPR rafforza e disciplina diversi diritti già riconosciuti nella precedente normativa.

L’interessato può chiedere al titolare di sapere se siano trattati dati personali che lo riguardano e ottenere l’accesso a tali dati e alle informazioni previste dall’articolo 15.

Può inoltre richiederne la rettifica quando siano inesatti, l’integrazione quando siano incompleti e, nei casi stabiliti dall’articolo 18, la limitazione del trattamento.

L’interessato può anche opporsi, per motivi connessi alla propria situazione particolare, a determinati trattamenti fondati sull’esecuzione di compiti di interesse pubblico o sul legittimo interesse. Il diritto di opposizione è particolarmente incisivo nel caso di marketing diretto, rispetto al quale l’interessato può opporsi in qualsiasi momento.

Il diritto di essere informati e la trasparenza

Gli articoli 12, 13 e 14 impongono di fornire informazioni chiare, accessibili e comprensibili sul trattamento dei dati personali.

L’informativa deve indicare, tra l’altro, l’identità del titolare, le finalità e le basi giuridiche del trattamento, gli eventuali destinatari dei dati, i tempi di conservazione o i criteri utilizzati per determinarli e i diritti riconosciuti all’interessato.

Quando i dati non sono raccolti direttamente presso l’interessato, devono essere fornite le informazioni previste dall’articolo 14, fatte salve le eccezioni stabilite dal Regolamento.

La notifica delle violazioni dei dati personali

Il GDPR introduce obblighi specifici in caso di violazione dei dati personali, comunemente definita data breach.

Quando si verifica una violazione, il titolare deve valutare tempestivamente i rischi per i diritti e le libertà delle persone coinvolte. Se la violazione presenta un rischio per tali diritti e libertà, deve essere notificata all’autorità di controllo competente senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui il titolare ne è venuto a conoscenza.

Se è probabile che la violazione presenti un rischio elevato, può essere necessario comunicarla anche agli interessati, salvo che ricorrano le condizioni che consentono di non farlo previste dall’articolo 34.

Quali obblighi impone il GDPR alle imprese e ai professionisti

Il GDPR non prevede un identico insieme di adempimenti per tutti i titolari del trattamento. Gli obblighi dipendono dalle caratteristiche delle attività svolte, dai dati trattati e dai rischi che possono derivarne.

L’informativa privacy

Il titolare deve informare gli interessati sulle caratteristiche del trattamento, nel rispetto degli articoli 12, 13 e 14 del GDPR.

L’informativa deve essere aggiornata, facilmente accessibile e redatta con un linguaggio chiaro. La sua funzione non è soltanto formale: permette alla persona di comprendere come vengono utilizzati i propri dati e quali diritti può esercitare.

Il registro delle attività di trattamento

L’articolo 30 prevede, nei casi stabiliti dal Regolamento, l’obbligo di tenere un registro delle attività di trattamento.

Il registro documenta elementi essenziali quali le finalità del trattamento, le categorie di interessati e di dati personali, i destinatari, gli eventuali trasferimenti verso Paesi terzi e, ove possibile, i termini previsti per la cancellazione e una descrizione generale delle misure di sicurezza.

L’obbligo non riguarda indistintamente ogni organizzazione in ogni circostanza: l’esenzione prevista per alcune organizzazioni con meno di 250 dipendenti è subordinata a specifiche condizioni e non opera, tra l’altro, quando il trattamento presenta i rischi indicati dall’articolo 30, paragrafo 5.

La sicurezza dei dati personali

Il titolare e, nei limiti dei rispettivi obblighi, il responsabile devono adottare misure tecniche e organizzative adeguate al rischio.

A seconda del contesto, possono essere necessarie misure come la gestione degli accessi, l’autenticazione, la cifratura, le procedure di backup e ripristino, la formazione del personale e la verifica periodica dell’efficacia delle misure di sicurezza.

Il GDPR non impone una soluzione tecnica identica a tutti: richiede misure adeguate alle caratteristiche e ai rischi del trattamento.

La valutazione d’impatto sulla protezione dei dati

La valutazione d’impatto sulla protezione dei dati, nota come Data Protection Impact Assessment o DPIA, è disciplinata dall’articolo 35.

Deve essere effettuata prima del trattamento quando questo, in particolare per l’utilizzo di nuove tecnologie e tenuto conto della natura, dell’ambito, del contesto e delle finalità, può presentare un rischio elevato per i diritti e le libertà delle persone fisiche.

La DPIA non è quindi un adempimento obbligatorio per qualsiasi trattamento. Serve a individuare e valutare i rischi e a definire le misure necessarie per affrontarli. Nei casi previsti dall’articolo 36, quando permane un rischio elevato non mitigato, è richiesta la consultazione preventiva dell’autorità di controllo.

Il responsabile della protezione dei dati (DPO)

Il GDPR introduce la figura del Data Protection Officer (DPO), denominata in italiano responsabile della protezione dei dati.

La designazione è obbligatoria nei casi previsti dall’articolo 37, in particolare per le autorità e gli organismi pubblici, salvo le eccezioni previste, e quando le attività principali del titolare o del responsabile richiedono un monitoraggio regolare e sistematico degli interessati su larga scala oppure consistono nel trattamento su larga scala di categorie particolari di dati o di dati relativi a condanne penali e reati.

Il DPO informa e fornisce consulenza al titolare, al responsabile e al personale, sorveglia l’osservanza del Regolamento, coopera con l’autorità di controllo e svolge la funzione di punto di contatto. Deve operare con adeguata autonomia e senza ricevere istruzioni nell’esecuzione dei propri compiti.

Non tutte le imprese e non tutti i professionisti sono quindi obbligati a nominare un DPO. La necessità della designazione deve essere valutata in base alle attività effettivamente svolte.

Quali sono le sanzioni previste dal GDPR

Il Regolamento attribuisce alle autorità di controllo, tra cui il Garante per la protezione dei dati personali in Italia, poteri correttivi e sanzionatori.

L’articolo 83 prevede due principali fasce massime per le sanzioni amministrative pecuniarie:

• fino a 10 milioni di euro oppure, per le imprese, fino al 2% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore, per le violazioni indicate dall’articolo 83, paragrafo 4;
• fino a 20 milioni di euro oppure, per le imprese, fino al 4% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore, per le violazioni indicate dall’articolo 83, paragrafo 5.

Gli importi indicati rappresentano massimali, non sanzioni automatiche applicabili a ogni violazione. La determinazione della sanzione deve tenere conto dei criteri previsti dal Regolamento, tra cui la natura, la gravità e la durata della violazione, il grado di responsabilità, le misure adottate per attenuarne le conseguenze e gli eventuali precedenti.

Accanto alle sanzioni amministrative, il GDPR riconosce all’interessato il diritto di proporre reclamo all’autorità di controllo e, alle condizioni previste, di ricorrere alla tutela giurisdizionale e di ottenere il risarcimento dei danni materiali o immateriali subiti a causa di una violazione del Regolamento.

Quali sono le novità del GDPR rispetto alla normativa precedente

Rispetto alla Direttiva 95/46/CE, il GDPR ha introdotto una disciplina direttamente applicabile negli Stati membri, riducendo le differenze derivanti dalle diverse modalità nazionali di recepimento e rafforzando la cooperazione tra le autorità di controllo.

Le innovazioni principali riguardano:

• la responsabilizzazione del titolare del trattamento e l’obbligo di dimostrare la conformità alla normativa;
• la protezione dei dati fin dalla progettazione e per impostazione predefinita;
• la disciplina più strutturata dei diritti degli interessati, tra cui portabilità e cancellazione;
• la valutazione d’impatto per i trattamenti che possono comportare rischi elevati;
• l’introduzione di obblighi specifici in materia di violazioni dei dati personali;
• la designazione del DPO nei casi previsti dal Regolamento;
• il rafforzamento dei poteri delle autorità di controllo e l’introduzione di sanzioni amministrative più incisive.

Non tutte queste disposizioni costituiscono diritti o obblighi completamente nuovi: alcune sviluppano principi già presenti nella normativa precedente, mentre altre introducono strumenti e procedure più dettagliati.

Il GDPR e la normativa italiana sulla privacy

In Italia il Regolamento europeo deve essere letto insieme al Codice della privacy, contenuto nel D.Lgs. n. 196/2003 e modificato, in particolare, dal D.Lgs. n. 101/2018.

Il Codice continua a disciplinare gli aspetti per i quali il GDPR lascia spazio alla normativa nazionale, nel rispetto dei limiti stabiliti dal diritto dell’Unione europea. Le disposizioni italiane integrano quindi il Regolamento, senza sostituirlo.

Il Garante per la protezione dei dati personali è l’autorità nazionale indipendente competente a vigilare sull’applicazione della normativa, trattare i reclami, svolgere indagini e adottare i provvedimenti previsti dalla legge.

Per imprese, professionisti ed enti pubblici, la conformità al GDPR richiede pertanto una valutazione concreta dei trattamenti effettuati, delle basi giuridiche utilizzate, delle informazioni fornite agli interessati, delle misure di sicurezza e degli eventuali adempimenti documentali.

Il rispetto della normativa sulla protezione dei dati personali non si esaurisce nella predisposizione di moduli o informative standard: richiede un sistema di gestione coerente con le attività svolte e aggiornato in funzione dei rischi e delle modifiche dei trattamenti.