Scopri di più sul metodo www.studiarediritto.it/lp-stu...
Visita il sito www.studiarediritto.it/
Il GDPR, che vuol dire GENERAL DATA PROTECTION REGULATION, è il regolamento dell'unione europea n. 679/2016 che è entrato in vigore il 25/05/2018.
In questo video cercherò di riassumervi in 6 punti fondamentali il contenuto di questa normativa.
Premessa importante: il GDPR è un regolamento comunitario. Questo vuol dire che è una norma immediatamente applicabile su tutto il territorio dell’UE.
Vediamo insieme gli elementi fondamentali di questa normativa:
PUNTO 1: quando un trattamento è lecito?
A. Il trattamento è lecito quanto io tratto il dato perché l'interessato mi ha espresso il consenso a trattarlo per una o più specifiche finalità;
B. Il trattamento è lecito quanto io tratto il dato perché quel trattamento è necessario all'esecuzione di un contratto di cui l'interessato è parte;
C. Il trattamento è lecito quanto io tratto il dato perché quel trattamento è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento;
D. Il trattamento è lecito quanto io tratto il dato perché è necessario per la salvaguardia degli interessi vitali dell'interessato;
E. Il trattamento è lecito quanto io tratto il dato perché il trattamento è necessario per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri di cui è investito il titolare del trattamento;
F. Il trattamento è lecito infine quando io tratto il dato perché: il trattamento è necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi - ovviamente qui la norma impone di fare un bilanciamento tra legittimo interesse del titolare e quello dell’interessato a che non siano lesi suoi diritti e libertà fondamentali.
PUNTO 2: le principali figure in gioco nel trattamento dei dati
1. Interessato
2. Titolare del trattamento
3. Responsabile del trattamento
4. Contitolare del trattamento
5. Incaricato al trattamento
6. Responsabile della protezione dei dati (detto anche RDP o DPO)
PUNTO 3: l’informativa
L'informativa è una comunicazione rivolta all'interessato che ha lo scopo di informare sulle finalità e sulle modalità dei trattamenti che fa il titolare.
Se il titolare fornisce l'informativa riesce a provare che assicura trasparenza e correttezza nei trattamenti fin da quando ha progettato il singolo trattamento.
L'informativa ha anche lo scopo di permettere che l'interessato possa rendere un valido consenso, se quel consenso è richiesto come base giuridica del trattamento. In questo caso l'informativa non è solo dovuta in base al principio di trasparenza e correttezza, ma è anche una condizione di legittimità del trattamento.
L'informativa deve avere un contenuto minimo che potete trovare negli artt. 13 e 14 del GDPR: deve per esempio indicare le categorie di dati trattati e finalità del trattamento; la base giuridica del trattamento; la natura obbligatoria o facoltativa del conferimento dei dati e le conseguenze di tale rifiuto e cosi via.
L'informativa deve essere concisa, chiara, facilmente accessibile e comprensibile per l’interessato e deve usare se possibile immagini e icone; può anche essere data oralmente però è chiaro che è meglio fornirla in forma tale da provarne l'esistenza.
PUNTO 4: diritti degli interessati
Il GDPR ci dice quali sono i diritti degli interessati in relazione ai loro dati.
1. Il diritto di accesso
2. Diritto di rettifica
3. Diritto di cancellazione o diritto all’oblio
4. Diritto di limitazione del trattamento
5. Diritto alla portabilità dei dati
PUNTO 5: Il principio di accountability
Questo termine inglese significa "responsabilizzazione". In altri termini cambia completamente la prospettiva rispetto al vecchio codice privacy: è il titolare che deve decidere autonomamente le modalità, le garanzie e i limiti del trattamento dei dati personali nel rispetto delle disposizioni normative e alla luce di alcuni criteri specifici indicati nel regolamento.
PUNTO 6: novità degne di nota
Un'importante novità è proprio conseguenza di questo approccio basato sul rischio ed è data dal fatto che non c’è più una lista di misure di sicurezza minime che il titolare deve adottare per considerarsi a posto (come accadeva nel vecchio codice privacy). Il GDPR si limita a dare un elenco aperto ma dice che è il titolare che deve adottare le misure idonee a "garantire un livello di sicurezza adeguato al rischio".
Altra novità importante a partire dal 25 maggio 2018, tutti i titolari dovranno notificare all'autorità di controllo le violazioni di dati personali di cui vengano a conoscenza, entro 72 H e comunque "senza ingiustificato ritardo", soltanto se ritengono probabile che da tale violazione derivino rischi per i diritti e le libertà degli interessati.
Chi fa questa valutazione? Sempre il titolare.
Se vi è piaciuto il video vi invito a mettere un like di supporto e a seguire il mio canale.