Il GDPR (Regolamento UE 216/679, General Data Protection Regulation-GDPR) è un regolamento dell’Unione Europea che stabilisce le norme per la protezione dei dati personali delle persone fisiche. Entrato in vigore il 25 maggio 2018, il GDPR ha sostituito la precedente direttiva sulla protezione dei dati (Direttiva 95/46/CE) e mira a unificare e rafforzare la protezione dei dati per tutti gli individui all’interno dell’Unione Europea, dettando una normativa minima armonizzata comune.

Principi fondamentali del GDPR

1. Liceità, correttezza e trasparenza: i dati personali devono essere trattati in modo lecito, corretto e trasparente nei confronti dell’interessato.
2. Determinazione, esplicitazione, legittimazione e Limitazione delle finalità: i dati devono essere raccolti per finalità determinate, esplicite e legittime e non ulteriormente trattati in modo incompatibile con tali finalità.
3. Minimizzazione dei dati: i dati personali devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per cui sono trattati.
4. Esattezza: i dati personali devono essere esatti e, se necessario, aggiornati. Devono essere adottate tutte le misure ragionevoli per garantire che i dati che risultino inesatti rispetto all’attività per la quale sono stati trattati siano rettificati o cancellati tempestivamente.
5. Limitazione della conservazione: i dati devono essere conservati in una forma che consenta l’identificazione degli interessati per un periodo di tempo non superiore a quello necessario per le finalità del trattamento.
6. Integrità e riservatezza: i dati devono essere trattati in maniera da garantirne la sicurezza, inclusa la protezione, mediante il ricorso a misure tecnicheed organizzative adeguate, dal trattamento non autorizzato o illecito dalla perdita, dalla distruzione o dal danno accidentale.

Diritti degli interessati

Il GDPR riconosce vari diritti agli interessati, tra cui:

1. Diritto di accesso: gli interessati hanno il diritto di ottenere conferma dell’esistenza o meno di un trattamento dei loro dati personali e di accedere ai propri dati.
2. Diritto di rettifica: gli interessati possono chiedere la rettifica dei dati inesatti o l’integrazione dei dati incompleti.
3. Diritto alla cancellazione (diritto all’oblio): gli interessati possono richiedere la cancellazione dei propri dati personali in determinate circostanze.
4. Diritto alla limitazione del trattamento: gli interessati possono chiedere di limitare il trattamento dei propri dati in determinati casi.
5. Diritto alla portabilità dei dati: gli interessati hanno il diritto di ricevere i dati personali che li riguardano in un formato strutturato, di uso comune e leggibile da dispositivo automatico, e di trasmetterli a un altro titolare del trattamento.
6. Diritto di opposizione: gli interessati possono opporsi al trattamento dei propri dati personali in determinate circostanze.
7. Diritto di non essere sottoposto a decisioni automatizzate: gli interessati hanno il diritto di non essere sottoposti a una decisione basata unicamente su un trattamento automatizzato, inclusa la profilazione, che produca effetti giuridici o che incida in modo significativo sulla persona.

Obblighi dei titolari del trattamento

I titolari del trattamento (aziende e organizzazioni che trattano dati personali) hanno diversi obblighi tra cui:

1. Adottare misure tecniche e organizzative adeguate: per garantire un livello di sicurezza adeguato al rischio.
2. Tenere un registro delle attività di trattamento: che includa informazioni dettagliate sui trattamenti dei dati effettuati.
3. Valutare l’impatto sulla protezione dei dati: in particolare per i trattamenti che possono comportare un rischio elevato per i diritti e le libertà delle persone fisiche.
4. Notificare le violazioni dei dati: alle autorità di controllo e, in alcuni casi, agli interessati.
5. Designare un responsabile della protezione dei dati (DPO): nei casi previsti dal regolamento, ad esempio tale obbligo sussiste per le autorità pubbliche o le organizzazioni privatre che effettuano trattamenti su larga scala di categorie particolari di dati.

Sanzioni

Il GDPR prevede sanzioni amministrative pecuniarie per le violazioni del regolamento, che possono arrivare fino a 20 milioni di euro o al 4% del fatturato mondiale annuo dell’azienda, a seconda di quale dei due importi sia maggiormente e concretamente afflittivo. 

Il GDPR rappresenta un importante passo avanti nella protezione dei dati personali, conferendo maggiori diritti agli individui e imponendo rigorosi obblighi alle organizzazioni che trattano dati. La sua attuazione richiede un impegno continuo per garantire la conformità e proteggere i dati personali in modo efficace.