ll 24 maggio 2016 è entrato in vigore il nuovo Regolamento Generale Europeo sulla Protezione dei Dati Personali n. 2016/679 (il cosiddetto GDPR) che in 99 articoli riscrive la disciplina della Privacy a livello europeo.

Nuovo Regolamento Europeo sulla Protezione dei Dati Personali 2016

Il nuovo Regolamento Generale Europeo sulla Protezione dei Dati Personali, affronta temi come il diritto d’accesso facilitato e la portabilità dei dati personali, così come il diritto di opposizione, di rettifica, di cancellazione ed il diritto all’oblio. Prende inoltre in esame la gestione della sicurezza dei dati personali in funzione del diritto di riservatezza.

Il GDPR è già operativo in tutti i Paesi membri ed in Italia sostituisce l’attuale Codice della Privacy (D.Lgs. 196/2003).

Entro i prossimi 18 mesi (25 maggio 2018) tutti dovranno risultare conformi al GDPR per non incorrere in pesanti sanzioni.

Il GDPR presenta elementi di semplificazione ma anche oneri ulteriori:
– definisce il concetto di misure tecniche ed organizzative adeguate (es. pseudonimizzazione) volte a mettere in pratica con efficacia i principi di protezione dei dati (es. non eccedenza dei dati da trattare);

– introduce la metodologia della valutazione preventiva d’impatto (Privacy Impact Assessment) e la gestione del rischio e delle correlate misure di sicurezza (non più limitate alle sole “misure minime di sicurezza” come da all. B D.Lgs. 196/2003);
 
– definisce i nuovi ruoli aziendali connessi alla protezione dei dati personali: “data controller” vs l’attuale “titolare” e “data processor” vs l’attuale “responsabile” ed “incaricato”. Tutte le nuove figure, in caso di inadempienza al regolamento, avranno responsabilità dirette di fronte alla Legge;

– introduce la nuova figura di controllo del Data Protection Officer (DPO) che, in assenza di conflitti di interesse ed in piena indipendenza (es. nomina esterna), si occuperà di:

• verificare l’attuazione e l’applicazione del Regolamento,
• fornire pareri sulla valutazione d’impatto (PIA),
• fungere da contatto diretto per qualsiasi problema degli interessati rispetto all’esercizio dei loro diritti e verso il Garante;

– introduce l’obbligo di comunicazione al Garante ed agli Interessati in caso di violazione dei dati personali (data breach);

– definisce un meccanismo sanzionatorio che prevede, nel peggiore dei casi, fino a 20.000.000 euro, o fino al 4% del fatturato mondiale totale annuo sull’esercizio precedente;

– introduce le necessarie garanzie di tutela dei dati personali fin dalla progettazione di un sistema di trattamento (privacy by design) che per impostazione predefinita (privacy by default)