Dal 25 Maggio 2016 è in vigore il nuovo regolamento europeo sul trattamento dei dati personali, che si applicherà a decorrere dal 25 Maggio 2018. Il nuovo regolamento, che sostituisce la Direttiva 95/46/CE, introduce le nuove modalità in materia di tutela e trattamento dei dati personali, quindi l’acquisizione, l’utilizzo e la distribuzione di questi.
La scelta di approvare un nuovo regolamento sulla privacy è stata dettata dall’avvento a livello globale di Internet e dagli sviluppi tecnologici che ne sono derivati, avvenimenti che hanno portato un cambiamento radicale all’interno della nostra società. Se una volta la possibilità di raccogliere e utilizzare i dati personali era limitata, con la diffusione di Internet questa pratica è diventata quotidiana e ha reso quindi necessario lo studio di un nuovo regolamento che potesse tener conto dei cambiamenti e disciplinare l’utilizzo dei dati da parte delle aziende e organizzazioni.
La nuova normativa riguarda tutti coloro che trattano i dati dei cittadini europei. Non verrà applicata solamente all’interno degli stati europei, ma dovrà essere osservata anche dalle aziende internazionali che hanno a che fare con il mercato europeo. Anche le grandi multinazionali come Facebook e Google dovranno quindi sottostare alle nuove disposizioni introdotte dal regolamento.
Gli 8 punti introdotti dal nuovo regolamento per la privacy:
- introduzione del concetto di “accountability”. Con “accountability” si intende l’attribuzione di responsabilità prevista per tutti i soggetti che collaborano nella gestione delle informazioni legate ai dati personali. Chiunque sia coinvolto nei processi di gestione dei dati, da parte di un’azienda o di un’organizzazione, dovrà documentare tutti i passaggi avvenuti in merito all’acquisizione, alla distribuzione e all’utilizzo dei dati. Nuove regole organizzative dovranno essere implementate, così come saranno introdotte procedure definite e forme di controllo e di verifica specifiche. La normativa prevede inoltre sanzioni per chi non rispetta al meglio la gestione dei dati e le modalità relative alla tutela della privacy.
- introduzione di un modulo informativo più chiaro e comprensibile a tutti i soggetti che acconsentono al trattamento dei propri dati. L’attuale informativa, a causa del linguaggio burocratico e difficile da capire, spinge le persone ad esprimere il consenso solamente per inerzia e senza una reale comprensione del contenuto dell’informativa. L’obiettivo del nuovo documento è quello di creare maggior consapevolezza nelle persone per quanto riguarda l’utilizzo dei propri dati.
- nuove modalità per richiedere l’accesso ai propri dati. La nuova normativa mira a rendere più agevoli le modalità per ottenere l’accesso ai propri dati, per modificarli o cancellarli, in maniera totalmente gratuita.
- introduzione del “Privay Impact Assessment”. Il “Privacy Impact Assessment” (o documento di valutazione d’impatto nel trattamento dei dati), è un’analisi del rischio potenziale connesso al trattamento dei dati personali. Tale documento, che le aziende dovranno obbligatoriamente compilare, conterrà tutte le modalità di acquisizione dei dati, quali dati vengono acquisiti, i rischi che ne derivano dall’utilizzo e le soluzioni da mettere in atto per prevenire tali rischi.
- istituzione di un’autorità di controllo indipendente a livello nazionale. L’autorità introdotta dal nuovo regolamento, vigilierà sul rispetto delle norme contenute all’interno del regolamento e riporterà eventuali comportamenti scorretti direttamente al Garante per la Privacy.
- scompare l’obbligo di notifica nei confronti del Garante della Privacy. D’ora in poi le aziende dovranno documentare tutte le azioni di trattamento dei dati personali, comprese le tipologie di azione, le finalità e le metodologie in un registro dei trattamenti.
- introduzione di una nuova figura professionale: il “data protection officer”. La nuova figura, obbligatoria all’interno della Pubblica Amministrazione, avrà la responsabilità di vigilare su tutte le questioni relative alla privacy, sorvegliando sulla corretta applicazione del regolamento europeo. La figura diventerà il punto di riferimento per i cittadini per le problematiche relative alla tutela sulla privacy.
- introduzione del concetto di “privacy by design and by default”. La “privacy by design and by default” prevede l’incorporazione della privacy nella fase iniziale di progettazione di un processo aziendale. In questo modo solamente i dati personali necessari per quella specifica progettazione verranno trattati. L’utente diventa quindi il tassello centrale di ogni nuovo processo aziendale.
