Come cambia la privacy nelle aziende

Il debutto della nuova normativa europea sulla protezione dei dati personali apporta qualche rilevante novità in materia di policy e organizzazione interna delle aziende. Ma quali sono le novità introdotte dal regolamento comunitario? E quali le differenze rispetto all’odierno codice?

Cerchiamo di occuparci del tema in maniera consapevole, al fine di prevenire eventuali violazioni e conseguenti sanzioni, con una breve panoramica sulle innovazioni che entreranno in vigore il prossimo 25 maggio.

Chi è il titolare del trattamento

Cominciamo con un breve focus sul titolare del trattamento. L’attuale codice sulla privacy prevede che i soggetti coinvolti dal trattamento dei dati personali siano il titolare del trattamento stesso (cioè colui che svolge il trattamento e ne determina le finalità e modalità), il responsabile (cioè l’incaricato al trattamento dal titolare) e gli incaricati al trattamento, che ricoprono un ruolo di supporto al responsabile.

Ebbene, con il nuovo regolamento UE sparisce la figura dell’incaricato, sostituita da quella dei soggetti autorizzati, sulla cui funzione vi sono ancora dei margini di chiarimenti richiesti (non è dunque ben chiaro se siano assimilabili in tutto e per tutto agli incaricati, o meno). Rimangono invece immutati il responsabile e il titolare, così come la figura del Garante in qualità di organo di controllo.

La new entry è rappresentata dal responsabile per la protezione dei dati

La new entry è invece rappresentata dal responsabile per la protezione dei dati, che diverrà una figura di consulenza e di consiglio per i titolari del trattamento.

I principi del trattamento dati

Novità in vista anche per quanto concerne i principi ispiratori della disciplina. Se quelli attuali sono rappresentati da necessità, liceità, correttezza, adeguatezza, trasparenza e pertinenza nel trattamento dei dati personali, i nuovi fanno riferimento a accountability (ovvero l’obbligo per il titolare di adottare le misure necessarie perché le norme del regolamento siano rispettate, con la responsabilità di dimostrarlo) e alla privacy by design e by default (ovvero il principio secondo cui la tutela della privacy deve fare parte dei sistemi sin dalla progettazione).

Obblighi nel trattamento dei dati

Anche gli obblighi per il trattamento dei dati personali subiscono qualche variazione di rilievo. Agli attuali (informare l’interessato, raccogliere il consenso se previsto e avere l’autorizzazione per trattare dati sensibili; notificare al Garante particolari tipi di trattamenti; adottare misure minime di sicurezza), si aggiungono infatti alcune regole specifiche per incarichi e deleghe, la nomina del responsabile per la protezione dei dati, la tenuta del Registro dei trattamenti, l’organizzazione interna e sistemi tarati a priori per l’adempimento degli obblighi.

Diritti degli interessati

Si arricchiscono in maniera rilevante anche i diritti degli interessati. Quelli attuali vengono confermati nella possibilità di accedere ai dati di riferimento, nella richiesta di cancellazione, nella trasparenza e nella possibilità di ricorso, oltre a quelli ancora più consolidati di informazione e informativa. Si aggiungono a quanto sopra anche il diritto all’oblio e il diritto di ricevere i propri dati in maniera immediata e informa intelligibile.

Cosa si rischia

Le sanzioni per la violazione delle norme comunitarie sono piuttosto pesanti. Le sanzioni amministrative hanno un massimo pari al maggiore importo tra 20 milioni di euro e il 4% del fatturato annuo del gruppo responsabile. In aggiunta a ciò, gli Stati possono prevedere anche sanzioni di natura penale.