La Tua Guida Definitiva al GDPR

Il GDPR, o Regolamento Generale sulla Protezione dei Dati, governa la privacy dei dati in tutta l'UE. È una delle leggi sulla protezione dei dati più rigorose al mondo e le violazioni possono portare a multe significative. Questa guida spiega i principi fondamentali del GDPR ed è stata pensata per aiutare startup e scale-up a comprendere questa complessa legislazione.

Ambito del GDPR

Il GDPR ha una definizione molto ampia per dato personale. In sostanza, qualsiasi dato che può essere collegato a un singolo residente dell'UE è coperto. La definizione ufficiale è:

...qualsiasi informazione riguardante una persona fisica identificata o identificabile ('interessato'); si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all'ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale;

Analizziamo questa definizione.

• Il GDPR si riferisce solo a persone fisiche. In altre parole, i dati relativi a società, organizzazioni o altre entità non rientrano nell'ambito di applicazione.
• I dati sono coperti solo se si riferiscono a una persona vivente: una volta che si muore, i dati non sono più protetti.
• I dati devono essere identificabili: se è possibile rimuovere ogni possibilità di identificazione, i dati non sono più protetti (questo è chiamato anonimizzazione).
• Gli identificatori includono identificatori diretti (nomi, numeri di carta d'identità, indirizzi IP) e identificatori indiretti (cronologia della posizione, età se consente di essere individuato in un gruppo). Inoltre, una combinazione di fattori può contare come identificatore.
• È importante sottolineare che il GDPR si applica in base al luogo di residenza. Qualsiasi residente dell'UE è protetto dal GDPR. Ma i cittadini dell'UE che risiedono al di fuori dell'UE non sono protetti.

Categorie speciali di dati

Alcune categorie di dati ricevono ulteriori protezioni rigorose. Si tratta di dati considerati potenzialmente più sensibili. Questi dati coprono:

• Origine razziale o etnica
• Opinioni politiche
• Convinzioni religiose o filosofiche
• Appartenenza sindacale
• Dati genetici
• Dati biometrici intesi a identificare in modo univoco una persona fisica
• Dati relativi alla salute
• Dati relativi alla vita sessuale o all'orientamento sessuale di una persona fisica

Per impostazione predefinita, non è consentito trattare questi dati. Se si desidera trattare uno qualsiasi di questi dati, è necessario rientrare in una delle basi giuridiche definite per farlo (vedi sotto).

Terminologia chiave del GDPR

Il GDPR ha definito una serie di termini importanti. I termini chiave che dovresti conoscere sono elencati qui. Puoi trovarne altri nel nostro glossario GDPR.

• Trattamento dei dati. Il GDPR ha una definizione estremamente ampia di trattamento dei dati che copre tutte le azioni relative ai dati. Ciò significa creazione, alterazione, accesso, trasferimento o eliminazione dei dati in qualsiasi forma essi possano esistere.
• Titolare del trattamento (data controller). Il titolare del trattamento è l'entità che è responsabile di decidere il motivo della raccolta dei dati personali e di garantirne la conformità ai requisiti del GDPR.
• Responsabile del trattamento (data processor). Un responsabile del trattamento opera per conto del titolare del trattamento. Esegue compiti di trattamento dei dati definiti in conformità con il DPA (data processing agreement - accordo sul trattamento dei dati) che firma con il titolare.
• Base giuridica. Per trattare dati personali, il titolare del trattamento deve stabilire una base giuridica idonea. Queste sono definite nell'Articolo 6 (dati normali) e nell'Articolo 9 (dati di categoria speciale). Per saperne di più, leggi la nostra guida approfondita.

Se operi nel settore della salute digitale, questo potrebbe esserti utile.

Diritti dell'interessato

Il GDPR concede una serie di diritti importanti agli interessati. È essenziale tenerne conto durante la progettazione e la costruzione dei tuoi sistemi. Abbiamo una guida dettagliata qui.

• Diritto ad essere informati. Il titolare del trattamento deve informarti sul perché e sul come utilizzerà i tuoi dati personali. Questo viene solitamente fatto tramite un'informativa sulla privacy.
• Diritto di accesso ai tuoi dati. Puoi richiedere una copia di tutti i dati che un'organizzazione detiene su di te. Questa deve essere fornita entro 30 giorni.
• Diritto di rettifica. Puoi richiedere a un'organizzazione di correggere eventuali errori nei dati che detengono su di te. Devono conformarsi in un tempo ragionevole.
• Diritto all'oblio (right to be forgotten). Puoi richiedere che un'organizzazione elimini permanentemente alcuni o tutti i tuoi dati. Devono conformarsi e devono anche eliminare questi dati da eventuali backup.
• Diritto di limitazione del trattamento. Puoi chiedere restrizioni specifiche sull'uso dei tuoi dati. Ad esempio, chiedere che un medico non condivida determinati dettagli del tuo trattamento con altri.
• Diritto alla portabilità dei dati. Hai il diritto di ricevere una copia completa dei tuoi dati in un formato che ne faciliti il trasferimento a un fornitore alternativo.
• Diritto di opposizione. Puoi opporti al trattamento dei tuoi dati da parte di un'organizzazione per determinati scopi se si basano sull'interesse pubblico/capacità ufficiale o sull'interesse legittimo come base giuridica. Questo è ciò che Meta sta attualmente chiedendo alle persone di fare se desiderano opporsi all'utilizzo dei loro dati per l'addestramento dei modelli di AI.
• Diritti relativi al processo decisionale automatizzato e alla profilazione. Se una decisione importante viene presa in modo puramente automatizzato, puoi richiedere che un essere umano controlli la decisione.

Nota che ci sono circostanze speciali in cui alcuni di questi diritti non si applicano. Ad esempio, spesso le cartelle cliniche sono richieste per legge per essere conservate per un certo periodo, anche se una persona richiede che vengano eliminate.

Trasferimenti di dati

Il GDPR impone regole sui trasferimenti di dati personali al di fuori dell'UE. I trasferimenti sono consentiti solo nei casi in cui la Commissione Europea ha stabilito che i dati riceveranno le stesse protezioni che nell'UE. Se esiste una cosiddetta "Decisione di Adeguatezza" (Adequacy Decision), allora è consentito trasferire i dati liberamente. In alcuni casi, la decisione di adeguatezza si basa sull'allineamento delle leggi nazionali con il GDPR (ad esempio, il Regno Unito). Ma nel caso degli Stati Uniti si basa su un trattato aggiuntivo.In alternativa, è possibile fare affidamento su un meccanismo diverso noto come Clausole Contrattuali Standard (Standard Contractual Clauses). Queste clausole predefinite sono state approvate dalla Commissione Europea in quanto garantiscono un livello di protezione idoneo per qualsiasi trasferimento di dati. Impongono una serie di requisiti legalmente vincolanti sul responsabile del trattamento non UE che riceve i dati.

Documenti importanti del GDPR

Ci sono diversi documenti chiave che consentono di dimostrare la conformità ai requisiti del GDPR.

• Valutazione d'impatto sulla protezione dei dati (DPIA). Questa è una valutazione del rischio specializzata focalizzata sulla protezione dei dati e sulla privacy. Viene utilizzata per garantire che la vostra organizzazione, i prodotti o i servizi siano conformi ai principi di privacy by design e by default del GDPR.
• Accordo sul trattamento dei dati (DPA). Questo è un contratto legale formale tra titolari del trattamento e responsabili del trattamento. Stabilisce esattamente come il [responsabile del trattamento gestirà i dati].
• Informativa sulla privacy (Privacy Notice). Un'informativa sulla privacy è un documento di facile comprensione che illustra i dettagli di come un'azienda o un'organizzazione tratta i dati personali.
• Politica sulla privacy (Privacy Policy). Se la tua azienda gestisce dati personali, dovresti anche avere una politica sulla privacy, che è un documento interno dettagliato che spiega esattamente come gestisci i dati personali come azienda.

Applicazione e multe

Il GDPR è applicato dalle autorità per la protezione dei dati in ogni Paese dell'UE. La legislazione consente multe estremamente elevate fino al 4% del fatturato globale. Consente anche ulteriori azioni di applicazione come l'ordine a un'azienda di interrompere il trattamento dei dati. Le multe possono essere imposte per una serie di motivi, tra cui:

• Base giuridica insufficiente per il trattamento dei dati.
• Problemi relativi ai diritti degli interessati, come la mancata eliminazione dei dati quando richiesto.
• Misure tecniche o organizzative insufficienti per proteggere i dati (tipicamente imposte dopo una violazione dei dati).
• Violazioni accidentali dei dati, come la perdita di una chiavetta USB non protetta contenente dati medici.

Molte multe sono imposte anche per un motivo molto più generale come la "non conformità ai principi generali di trattamento dei dati". Ad oggi, la multa più alta è stata di 1,2 miliardi di euro imposta a Meta Ireland.

Se operate in più di uno Stato dell'UE, è utile sapere che esiste un meccanismo per determinare quale DPA persegue le violazioni del GDPR. Attualmente è in corso una nuova legislazione che migliorerà la cooperazione tra le DPA nella gestione dei casi di applicazione transfrontaliera del GDPR.

Hai bisogno di aiuto? Siamo qui per aiutarti!

Chino.io lavora come tuo partner per aiutarti a risolvere tutti i problemi di privacy, sicurezza e conformità. La nostra combinazione unica di competenza normativa, know-how legale ed esperienza tecnica aiuta a eliminare i rischi di compliance, facendoti risparmiare denaro e tempo.Prenota una chiamata con i nostri esperti per scoprire come possiamo aiutarti a realizzare un'innovazione compliant-by-design.