Il nuovo Regolamento Generale UE 2016/679 Protezione delle persone fisiche con riguardo al trattamento e circolazione dei dati personali

Gli interessati dal Regolamento UE Tutti coloro che effettuano un trattamento di dati personali: associazioni politiche, culturali, mediche e fondazioni; Banche e finanziarie, società che operano nel settore sanitario; società di ricerca e marketing; società di commercio on line, società che trattano dati per qualsiasi utilizzo I dati trattati possono riguardare le persone fisiche che a diverso titolo interagiscono con l’impresa: ad esempio (i) i dati dei lavoratori anche per l'adempimento degli obblighi stabiliti dalla legge o da contratti collettivi e per la salute e sicurezza sul lavoro (ii) i dati dei clienti nei rapporti di fornitura di beni e servizi (iii) i dati raccolti per finalità di marketing; (iv) i dati raccolti nell’esercizio dell’attività imprenditoriale.

Diritti degli interessati Il regolamento elenca i diritti degli interessati, vale a dire delle persone fisiche i cui dati personali vengono trattati. Tali diritti conferiscono ai singoli un maggiore controllo sui propri dati personali, anche attraverso: le evidenze del chiaro consenso dell'interessato al trattamento dei dati personali; un accesso facilitato dell'interessato ai suoi dati personali; il diritto alla rettifica, alla cancellazione e "all'oblio; il diritto di obiezione, anche riguardo all'uso dei dati personali a fini di "profilazione; il diritto di portabilità dei dati da un prestatore di servizi a un altro

Diritti degli interessati Il nuovo Regolamento UE, stabilisce per i titolari del trattamento (coloro che hanno la responsabilità del trattamento dei dati) l'obbligo di fornire agli interessati informazioni trasparenti e facilmente accessibili sul trattamento dei loro dati.

Conformità Il regolamento specifica gli obblighi generali dei responsabili del trattamento dei dati personali e di coloro che li trattano per loro conto (incaricati del trattamento). Tra questi figura l’obbligo di attuare misure di sicurezza adeguate in funzione del rischio associato alle operazioni di trattamento dei dati effettuate. I titolari del trattamento sono inoltre tenuti, in taluni casi, a comunicare le violazioni di dati personali. Tutte le autorità pubbliche e le imprese che svolgono talune operazioni di trattamento dei dati rischiose dovranno inoltre nominare un Responsabile della Protezione dei dati (DPO).

Controllo e risarcimento Sono previste sanzioni molto severe nei confronti dei titolari del trattamento e dei responsabili del trattamento che violano le norme sulla protezione dei dati. Le sanzioni possono arrivare fino a 20 milioni di EUR o superato detto importo al 4% del loro fatturato globale annuo. Le sanzioni amministrative verranno imposte dalle autorità nazionali preposte alla protezione dei dati. È riconosciuto il diritto degli interessati di promuovere reclamo all’autorità di controllo, nonché il diritto a un ricorso giurisdizionale e il diritto al risarcimento e responsabilità. Gli interessati avranno il diritto di ottenere il riesame da parte di un giudice nazionale delle decisioni adottate dalle rispettive autorità preposte alla protezione dei dati. Ciò avverrà a prescindere dallo Stato membro in cui il responsabile del trattamento dei dati è stabilito.

Trasferimenti dei dati a un paese terzo Il regolamento contempla anche il trasferimento di dati personali verso paesi terzi ed organizzazioni internazionali. A tal fine, esso conferisce alla Commissione la responsabilità di valutare il livello di protezione offerto da un territorio o da un settore di trattamento in un paese terzo. In mancanza di una decisione di adeguatezza della Commissione riguardo a un determinato territorio o settore, il trasferimento di dati personali può comunque avere luogo in casi particolari o quando esistono garanzie adeguate (clausole tipo di protezione dei dati, norme vincolanti d’impresa, clausole contrattuali).

per adeguarsi cosa bisogna fare…. Accountability – la responsabilità del titolare Il sistema degli adempimenti Il titolare del trattamento deve effettuare una risck analisis sul tipo di trattamento che intende effettuare; implementare le misure di sicurezza ed organizzative idonee a tutelare i diritti dell’interessato. Predisporre una informativa adeguata; Redigere un documento interno sulle misure adottate; Adottare un registro delle attività di trattamento; Dove necessario nominare un DPO