Per le aziende è tempo di mettersi in regola. Dal 25 maggio 2018 regole più stringenti per le imprese che trattano i dati privati e/o sensibili dei clienti.

Sono entrate in vigore norme più stringenti in tema di Privacy per effetto nel nuovo Regolamento UE 2016/679; questo obbligherà tutte quelle imprese che trattano dati privati e/o sensibili dei propri clienti a rispettare una serie di procedure per la loro conservazione e tutela. Chi non osserverà le nuove disposizioni rischia pesanti sanzioni pecuniarie e, nei casi peggiori, c’è il rischio di arrivare a conseguenze penali.

Cosa è successo a partire dal 25 maggio 2018?

Il nuovo Regolamento UE 2016/679 è stato direttamente applicato in tutti i Paesi dell’Unione Europea e ha sostituito l’attuale Codice della Privacy (Dlgs 196/2003) oggi vigente in Italia. Il Regolamento ha introdotto regole più chiare e semplici in materia di informativa e consenso, puntando a garantire maggiori tutele per i cittadini in maniera omogenea in tutta l’Unione. In Italia questo ruolo viene gestito dal Garante della Privacy. Il regolamento è diventato immediatamente applicabile senza bisogno di essere recepito con provvedimenti nazionali, un testo unico valido in tutti i paesi UE che mira a rendere omogeneo ed elevato il livello di protezione dei dati personali e a favorire la circolazione degli stessi all’interno dell’Unione Europea. Con l’uscita del Regolamento n. 679 non sono stati aboliti i provvedimenti del nostro Garante su Videosorveglianza, Amministratori di Sistema, fidelity card, biometria e tracciamento flussi bancari.

È probabile che il Garante Privacy modificherà o integrerà alcuni provvedimenti per adeguarli alle prescrizioni del Regolamento Europeo n. 679:

• Il Garante Privacy italiano potrà inoltre integrare il Regolamento UE 679 per disciplinare il trattamento di dati personali effettuato per adempiere obblighi di legge italiana ed in particolari ambiti, ad esempio quello dei dati sanitari, oppure per definire in modo più dettagliato gli obblighi per le PMI (ovvero per le imprese con meno di 250 dipendenti).
• Il Regolamento 679 disciplinerà esclusivamente il trattamento di dati personali relativi a persone fisiche non decedute, quindi tutti i trattamenti relativi a persone giuridiche, compresi il nome, la forma della persona giuridica ed i suoi dati di contatto.
• Verranno stabiliti nuovi limiti al trattamento automatizzato dei dati personali e criteri rigorosi per il trasferimento dei dati al di fuori dell’Ue. Entrerà in vigore anche l’obbligo di segnalazione per i casi di violazione dei dati personali (data breach).
• L’informativa andrà resa in forma concisa, trasparente, intelligibile, facilmente accessibile e con un linguaggio semplice e chiaro; le informazioni saranno fornite per iscritto o con altri mezzi (anche in formato elettronico) e, se richiesto dall’interessato, potrà essere fornita anche oralmente, purché sia comprovata con altri mezzi l’identità dell’interessato. Per quanto attiene il consenso, sarà valida qualsiasi manifestazione di volontà libera, specifica, informata e inequivocabile con la quale l’interessato accetta, con dichiarazione o azione positiva inequivocabile, che i dati personali che lo riguardano siano oggetto di trattamento. Viene esclusa ogni forma di consenso tacito oppure raccolto attraverso la presentazione di opzioni già selezionate. Il consenso potrà essere revocato in ogni momento. Il trattamento effettuato fino a quel momento dal titolare sulla base del consenso rimarrà comunque legittimo.

Il nuovo regolamento introduce la portabilità dei dati per favorire una maggiore fluidità del mercato digitale. 

• L’interessato ha il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano grazie al cosiddetto «diritto all’oblio»: il diritto da parte di un interessato ad ottenere la cancellazione dei propri dati personali, anche on line, da parte del titolare del trattamento, qualora ricorrano alcune condizioni previste dal Regolamento: i dati saranno trattati solo sulla base del consenso; se i dati non saranno più necessari per gli scopi rispetto ai quali sono stati raccolti.
• Tra le possibilità che il regolamento permette, c’è il trasferimento dei dati da un titolare del trattamento ad un altro, si potrà cambiare il provider di posta elettronica senza perdere i contatti ed i messaggi salvati, salvaguardando il diritto di essere totalmente dimenticato da chi ha raccolto i dati inizialmente.

Il Data Protection Officer, abbreviato in DPO, rappresenta una nuova figura nel panorama italiano che verrà introdotta dal nuovo Regolamento UE 679. Con il nuovo Regolamento, imprese ed enti avranno più responsabilità, ma potranno beneficiare di semplificazioni ed in caso di inosservanza delle regole saranno previste sanzioni, anche elevate. È importante studiare tempestivamente l’impatto dell’applicazione del nuovo Regolamento sulla propria realtà lavorativa.