GDPR
EsseBi Insurance Broker ha pensato a soluzioni specifiche per adeguarsi al Regolamento Europeo GDPR, General Data Protection Regulation.
Cosa indica il GDPR?
Il GDPR è Il Regolamento Europeo (UE) 2016/679, concernente la tutela delle persone fisiche con riguardo al trattamento dei dati personali e la libera circolazione di dati, è entrato in vigore il 24-05-2016 e diventerà direttamente applicabile in tutti gli stati membri a partire dal 25 maggio 2018.
Il GDPR prevede una sola normativa e una sola autorità di vigilanza. Significa che le imprese faranno riferimento ad una singola Autorità (Europea) di Vigilanza.
Questo nuovo Regolamento GDPR è un insieme di norme e obblighi volti a rendere più efficaci le operazioni dirette alla tutela e alla protezione dei dati personali.
Introduce nuove figure come il data protection officer (DPO), nuovi documenti come la Valutazione d’impatto sulla protezione dei dati (DPIA), nuove linee per l’attuazione di data protection e nuove norme relative alla violazioni di dati personali (data breach).
In sostanza in materia di privacy o meglio in generale per la data protection, non sarà più sufficiente adempiere al minimo indispensabile degli obblighi di materia ma sarà necessaria una vera e propria attività sistematica composta da misure idonee e documentabili.
Cosa cambia rispetto a prima?
Con il GDPR vengono rafforzati i diritti degli individui e la protezione dei dati. Questo si traduce nella possibilità di accedere più facilmente agli stessi, nel diritto a essere informati su come i propri dati vengono processati e gestiti, nel diritto a trasferire i propri dati tra diversi fornitori in formato aperto. Inoltre ogni individuo che non vuole più che i propri dati vengano trattati, e dimostra come non ci sia motivo per conservarli, può esigere la loro cancellazione (diritto all’oblio). In linea di massima, il GDPR si differenzia dai precedenti standard di privacy dell’Unione Europea per questi fattori:
- Ambito territoriale – In precedenza, quello dell’ambito territoriale era un campo più ambiguo. Tutte le società che operano in Europa, a prescindere del paese dove siano stabilite, dovranno adeguarsi alle nuove normative. Anche le aziende extraeuropee che offrono beni e servizi ai cittadini europei dovranno assolutamente conformarsi alle nuove prescrizioni, a prescindere da dove hanno la sede fisica o da dove risiedono i loro server. Dunque fa fede il principio della cittadinanza dei dati dell’interessato. Per quanto riguarda la Brexit, anche in caso di futura uscita dall’UE, le aziende britanniche dovranno comunque conformarsi al principi sanciti dal Regolamento in relazione al trattamento dati dei cittadini comunitari.
- Ottenimento del consenso -L’ottenimento del consenso deve essere esplicito: non è ammesso il consenso tacito o presunto. Con “esplicito” non s’intende la forma scritta, anche se è consigliabile.
- Introduzione del DPO – Il DPO è incaricato di assicurare una corretta gestione dei dati personali
- Sanzioni – Le violazioni possono essere punite con vari gradi di sanzioni, arrivando a cifre molto importanti. Le sanzioni per infrazioni gravi del GDPR, come la mancata acquisizione del consenso, possono arrivare al 4% del fatturato annuo o 20 milioni di euro. Imprese ed enti, quindi, in virtù dell’introduzione del principio di responsabilizzazione dei titolari del trattamento (accountability), saranno maggiormente colpiti. Cfr. art 83 del GDPR.
Quali soggetti sono coinvolti?
- Titolare del trattamento
- Responsabile del Trattamento- Data Processor
- Persona autorizzata al trattamento
- DPO Data Protection Officer
A chi si rivolge e cosa bisogna fare per adeguarsi?
Si applica a qualsiasi organizzazione, in qualsiasi paese, che raccoglie, conserva o tratta i dati personali di residenti dell’Unione europea.
Quindi è fondamentale per ogni azienda adeguarsi a questa normativa compiendo i passi necessari per non incorrere in sanzioni, per mettersi in regola con il GDPR è necessario redigere il documento di attestato di rischio del proprio sistema. Il Risk Assessment dovrà definire che tipo di dati trattiamo, per quanto tempo, con quale finalità, con quali mezzi (elettronici o cartacei) e altro. In base a quanto raccolto, si stabiliscono le misure di sicurezza da adottare.
In punti:
- VALUTAZIONE DELLA COMPLIANCE ( raccolta e analisi delle informazioni sull’org.ne aziendale);
- CREAZIONE DEL REGISTRO DEI TRATTAMENTI ( sotto la responsabilità del titolare del trattamento);
- STESURA/MODIFICA DELLA DOCUMENTAZIONE ( la documentazione deve necessariamente essere sempre aggiornata);
- INDIVIDUAZIONE DEI RUOLI E DELLE RESPONSABILITA’;
- DEFINIZIONE DELLE POLITICHE DI SICUREZZA E VALUTAZIONE DEI RISCHI – espressione del concetto di accountability;
- PROCESSO DI DATA BREACH – verifica dell’adozione di tutte le procedure idonee a scoprire eventuali violazioni;
- VALUTAZIONE D’IMPATTO SULLA PROTEZIONE DEI DATI PERSONALI – consente di valutare gli aspetti relativi alla protezione dei dati, prima che questi vengano trattati;
- IMPLEMENTAZIONE DEI PROCESSI DELL’ESERCIZIO DEI DIRITTI DELL’INTERESSATO – assicurarsi di aver adottato tutte le procedure idonee a scoprire eventuali violazioni;
- INDIVIDUAZIONE E NOMINA DI UN DPO – Data Protection Officer – la sua responsabilità principale è quella di osservare, valutare e organizzare la gestione del trattamento dei dati personali. Si tratta di uno tra i principali obblighi previsti, perché richiederà alle aziende di inserire nel proprio organigramma la figura del DPO, cioè una figura professionale in grado di valutare e gestire il trattamento dei dati personali allora scopo di far rispettare le normative europee. Il DPO potrà essere sia un consulente esterno che un dipendente dell’azienda interessata.
