Il 25 maggio 2018 troverà piena applicazione il nuovo Regolamento Europeo sulla protezione dei dati personali (GDPR), che introduce importanti novità in materia che di seguito vi elenchiamo. Con il nuovo regolamento, l’Unione Europea ha voluto introdurre nuove regole in materia di protezione delle persone fisiche in merito al trattamento dei dati personali e alla libera circolazione degli stessi. Le novità principali riguardano le regole sul trattamento dei dati personali, che non potrà essere limitato nel tempo ma funzionale al motivo per il quale sono stati raccolti. Il consenso del consumatore\cliente, inoltre, dovrà essere esplicito e le modalità di utilizzo dei dati dovranno essere spiegate in modo chiaro e semplice. Le nuove sanzioni infatti, per chi non si adeguerà alle nuove regole sulla privacy, potranno arrivare fino a 20 milioni di euro o al 4% del fatturato annuo. Ad aiutare sia le imprese, che i professionisti e consumatore nell’analisi di cosa cambia e quali sono le novità previste con l’entrata in vigore del GDPR dal 25 maggio 2018 è il Garante per la protezione dei dati personali, con una guida ai punti più importanti della riforma UE. Al seguente link http://ec.europa.eu/justice/smedataprotect/index_it.htm è disponibile una panoramica sulle principali novità introdotte dal GDPR. 1. Informativa … dovrà essere chiara e con un linguaggio di facile comprensione, indicando come saranno utilizzati i dati e per quanto tempo saranno conservati nelle banche dati. 2. Consenso … al trattamento dei dati personali dovrà essere preventivo e inequivocabile, così come già attualmente previsto, ma cambia la modalità per esprimerlo: non varrà mai la regola del chi tace acconsente, il consenso dovrà essere esplicito e mai basato ponendo all’interessato una serie di opzioni già selezionate. Se l’azienda, negli anni precedenti, ha raccolto il consenso dei propri clienti utilizzando il sistema di caselle precompilate dovrà chiedere ai clienti già “consenzienti” l’autorizzazione al trattamento dei dati utilizzando le nuove modalità previste dal GDPR. Il consumatore potrà revocare il proprio consenso in ogni momento e l’azienda sarà obbligata a cancellare tutti i dati raccolti. Il nuovo regolamento sulla privacy prevede, inoltre, modifiche anche alle modalità di raccolta del consenso in caso di minori per la fruizione di servizi su internet e social media: infatti, per chi ha meno di 16 anni, sarà necessario il consenso al trattamento dei genitori o di chi esercita la potestà genitoriale. 3. Portabilità dei dati … novità che interesserà soprattutto i consumatori che, secondo quanto previsto dal regolamento privacy, consentirà a partire dal 25 maggio 2018, di richiedere il trasferimento dei propri dati personali da un titolare del trattamento ad un altro (ad esempio: si potrà cambiare il provider di posta elettronica senza perdere i contatti e i messaggi salvati, così come ad esempio, nel caso di cambio di gestore dell’energia). 4. Diritto all’oblio e conservazione limitata … il consumatore potrà richiedere la cancellazione dei propri dati personali online nei casi in cui i dati sono trattati solo sulla base del consenso, se i dati non sono più necessari per gli scopi rispetto ai quali sono stati raccolti, se i dati sono trattati illecitamente oppure se l’interessato si oppone legittimamente al loro trattamento. Al diritto all’oblio si collega anche la conservazione dei dati dell’utente\cliente che non potrà essere illimita-ta ma la durata del trattamento dovrà essere collegata alla finalità per la quale è stato richiesto il consenso. 5. Violazione dei dati personali (data breach) … in tal caso di il titolare del trattamento dei dati è tenuto a darne comunicazione all’Autorità Garante. Se la violazione dei dati rappresenta una minaccia per i diritti e le libertà delle persone, il titolare dovrà infor-mare in modo chiaro, semplice e immediato anche tutti gli interessati e offrire indicazioni su come intende limitare le possibili conseguenze negative. - Nomina del DPO o RPD Tra le novità introdotte dal GDPR vi è il DPO (Data Protection Officer - Responabile della protezione dei da-ti), una figura definita come un consulente del Titolare nella tutela dei dati del cliente. Le funzioni del DPO, e i casi in cui deve essere nominato entro il 25 maggio 2018, sono contenute all’interno del Regolamento sulla Privacy. L’istituzione di tale figura è necessaria nei seguenti casi: • quando il trattamento è effettuato da un’autorità pubblica o da un organismo pubblico, eccettuate le autorità giurisdizionali quando esercitano le loro funzioni giurisdizionali; • quando le attività principali del Titolare del trattamento o del Responsabile del trattamento consi-stono in trattamenti che, per loro natura, ambito di applicazione e/o finalità, richiedono il monito-raggio regolare e sistematico degli interessati su larga scala; • quando le attività principali del Titolare del trattamento o del Responsabile del trattamento consi-stono nel trattamento, su larga scala, di categorie particolari di dati personali di cui all’articolo 9 (dati particolari | sensibili) o di dati relativi a condanne penali e a reati di cui all’articolo 10. Il Responsabile della protezione dei dati (o DPO) potrà esser nominato internamente o esternamente all’azienda e dovrà esser dotato di competenze giuridiche, informatiche, di gestione del rischio e analisi dei processi. Il suo compito sarà quello di gestire il trattamento dei dati raccolti dall’azienda, nel rispetto della normativa sulla privacy. PMI esonerate dall’obbligo di tenuta del registro dei trattamenti Il nuovo regolamento sulla privacy introduce, a partire dal 25 maggio 2018, l’obbligo di tenuta del registro dei trattamenti. Si tratta di un documento all’interno del quale bisognerà indicare le caratteristiche del titolare del trattamento e del responsabile del trattamento: potrà essere utilizzato a fini di controllo ma serve soprattutto all’impresa come strumento di valutazione delle attività poste in essere. L’obbligo di tenuta del registro riguarda tutti i titolari e responsabili del trattamento dei dati personali, ad esclusione delle PMI con meno di 250 dipendenti. L’obbligo, tuttavia, si estende anche alle piccole e medie imprese qualora il trattamento dei dati si configuri come un rischio per i diritti e le libertà dell’interessato, qualora il trattamento non sia occasionale o se riguardi particolari tipologie di dati.