La sua azienda è conforme al regolamento generale sulla protezione dei dati?

Dall'entrata in vigore del Regolamento generale sulla protezione dei dati (di seguito "GDPR") nel 2018, la privacy e la protezione dei dati personali costituiscono un nuovo requisito connaturato all’efficacia e alla reddittività dell'attività di impresa. In questo senso, la privacy e la protezione dei dati hanno un significato ampio. La privacy si riferisce alla capacità delle imprese di trattare i dati personali di consumatori, di clienti e collaboratori secondo le proprie istruzioni, garantendo loro "misure tecniche e organizzative" di sicurezza in relazione alle modalità di trattamento tali informazioni. 

Il GDPR stabilisce una serie di diritti, principi e regole che le imprese - quando processano dati personali - devono rispettare. La gamma e la grandezza delle nuove disposizioni basate sulla privacy suggeriscono che qualsiasi azienda coinvolta nel trattamento dei dati personali dovrebbe nominare un professionista della privacy come guida per le questioni relative alla stessa. È importante sottolineare che la privacy e la protezione dei dati sono ora componenti essenziali di qualsiasi business. Inoltre, la reputazione aziendale  può dipendere dalle scelte adottate dall’impresa nell’esercizio della propria attività In queste circostanze, è fondamentale evidenziare le principali aree di conformità che le aziende devono prendere in considerazione. 

QUANDO SI APPLICA IL GDPR?

In primo luogo, è fondamentale sapere se il GDPR si applica o meno alla vostra azienda. In questo senso, la portata territoriale del GDPR impone che quasi tutte le imprese del territorio europeo siano colpite dal regolamento. In particolare, il GDPR si applica al trattamento dei dati personali da parte di organizzazioni che hanno sede nell'UE, anche se i dati vengono memorizzati al di fuori dell'UE. Il GDPR si applica anche alle organizzazioni al di fuori dell'UE se le seguenti condizioni sono soddisfatte: l'organizzazione è coinvolta nell'offerta di beni o servizi alle persone nell'UE o quando l'organizzazione effettua una qualunque attività di trattamento o profilazione on line

Ci sono anche due eccezioni. In primo luogo, il GDPR non si applica per il trattamento che avviene nel contesto di "attività domestica puramente personale". Questo significa, di contro, che il GDPR si applica alle organizzazioni pubbliche e private nell’esercizio della propria attività istituzionale. La seconda eccezione attiene all’attività di trattamento svolta dagli organi di polizia finalizzati alla protezione delle persone fisiche che sono soggetti ad altra normativa comunitaria la Direttiva 2016/680 recepita con legge dai singoli Stati membri.

DEFINIZIONI CHIAVE DEL GDPR

Le aziende devono iniziare a capire qual è il loro ruolo in relazione al trattamento dei dati. In particolare, la vostra azienda è un Titolare o un Responsabile del trattamento dei dati personali (RTD). Questo è cruciale perché i principi di responsabilità sono di solito più severi con il Titolare piuttosto che con il Responsabile. In generale, il Titolare dei dati è il soggetto che decide i mezzi e gli scopi del trattamento dei dati. Al contrario, il Responsabile dei dati è il soggetto che elabora i dati personali sotto le istruzioni del Titolare. Inoltre, nel contesto del GDPR, per dati personali si intende qualsiasi informazione atta a indentificare e qualificare a una persona identificata o identificabile. Per maggiore chiarezza, quando la normativa parla di trattamento si riferisce a qualsiasi operazione effettuata sui dati personali come la raccolta, la conservazione, la strutturazione, la consultazione, la diffusione, ecc.

La persona fisica i cui dati sono oggetto del trattamento viene denominata interessato al trattamento dei dati personali.

QUANDO SI TRATTANO I DATI PERSONALI? 

In generale, affinché il trattamento sia legittimo, i dati personali devono essere trattati sulla base del consenso del soggetto interessato o di un'altra base legittima. In altre parole, il consenso costituisce solo una delle possibili basi legali per il trattamento dei dati. Altre basi legali sono: 

• per dare esecuzione ad un contratto di cui l'interessato è parte;
• per adempiere a un obbligo di legge europea e nazionale di uno stato membro;
• per tutelare un interesse vitale dell’interessato o di terzi;
• per eseguire un compito di interesse pubblico o per l’esercizio di pubblico potere 
• Avere un interesse legittimo rilevante a trattare i dati personali di qualcuno.

È rilevante dire che la base legale per il trattamento dei dati include il consenso e una o più altre basi legali. In questo senso, l'interesse legittimo è lo strumento più flessibile per il trattamento dei dati. Tuttavia, l'azienda deve prendere in considerazione che i diritti e le libertà fondamentali dell'interessato prevalgono sull'interesse legittimo del Titolare dei dati. 

COME SI DEVONO TRATTARE I DATI PERSONALI? 

Il GDPR stabilisce anche il modo in cui l'azienda deve trattare i dati personali. Questo viene fatto attraverso sei principi che le aziende devono includere nelle loro pratiche di privacy. In questo senso, i dati personali devono essere:

• Trattati in modo legale, equo e trasparente;
• Raccolti per scopi specifici, espliciti e legittimi e non ulteriormente trattati in modo incompatibile con tali scopi;
• Adeguati, pertinenti e limitati a quanto necessario in relazione allo scopo per il quale sono trattati;
• Accurati e aggiornati;
• Conservati in una forma che consenta l'identificazione degli interessati per un periodo non superiore a quello necessario;
• Trattati in un modo che garantisca un'adeguata sicurezza.

I professionisti legali sono consapevoli che questi non sono solo vaghi principi. Al contrario, essi costituiscono un elemento fondamentale per una buona pratica di protezione dei dati e costituiscono anche la base per la vostra conformità aziendale. 

Professore dell'Università di Newcastle. Salvatore Fasciana 

Giambrone & Partners è uno Studio Legale Internazionale con sedi a Londra, Milano, Barcellona, Roma, Gran Canaria, Palermo, Napoli, Porto e Sassari. Per avere maggiori informazioni, non esitate a contattarci qui o, in alternativa, scriveteci all’indirizzo info@giambronelaw.com oppure,contattateci telefonicamente ai seguenti recapiti: