{"id":736,"date":"2018-03-21T08:11:47","date_gmt":"2018-03-21T08:11:47","guid":{"rendered":"http:\/\/www.assicuratoriassociati.it\/blog\/?p=736"},"modified":"2018-03-21T08:11:47","modified_gmt":"2018-03-21T08:11:47","slug":"gdpr-tutto-quello-che-ce-da-sapere","status":"publish","type":"post","link":"https:\/\/www.assicuratoriassociati.it\/blog\/news\/gdpr-tutto-quello-che-ce-da-sapere\/","title":{"rendered":"GDPR: tutto quello che c&#8217;\u00e8 da sapere"},"content":{"rendered":"<ol>\n<li>A chi si applica il GDPR<\/li>\n<li>GDPR: i principi applicabili al trattamento<\/li>\n<li>Il consenso dell&#8217;interessato al trattamento<\/li>\n<li>I diritti dell&#8217;interessato<\/li>\n<li>Il DPO \u2013 Data Protection Officer<\/li>\n<li>I registri delle attivit\u00e0 di trattamento<\/li>\n<li>GDPR: cosa fare per adeguarsi<\/li>\n<\/ol>\n<p><strong>A chi si applica il GDPR<\/strong><\/p>\n<p>Nell&#8217;analizzare il nuovo regolamento la prima cosa da fare \u00e8 quella di individuarne il campo di applicazione.<\/p>\n<p>Il GDPR, in particolare, avr\u00e0 un impatto su<strong>\u00a0tutti i professionisti e le imprese<\/strong>\u00a0che, a prescindere da dove si trovino, vengano in contatto con i dati personali dei cittadini europei.<\/p>\n<p><strong>Campo di applicazione materiale<\/strong><\/p>\n<p>Pi\u00f9 tecnicamente, le nuove norme interessano tutti i professionisti e le imprese che trattano i dati personali delle (sole) persone fisiche in maniera interamente o parzialmente automatizzata o in maniera non automatizzata se i dati sono contenuti in un archivio o sono destinati a figurarvi.<\/p>\n<p>Restano tuttavia\u00a0<strong>esclusi dal campo di applicazione del GDPR<\/strong>:<\/p>\n<ul>\n<li>i trattamenti di dati personali che non rientrano nel campo di applicazione del diritto UE;<\/li>\n<li>i trattamenti di dati personali che sono effettuati dagli Stati membri nell&#8217;esercizio di attivit\u00e0 rientranti nell&#8217;ambito della politica estera e di sicurezza comune;<\/li>\n<li>i trattamenti di dati personali che sono effettuati da una persona fisica nell&#8217;esercizio di attivit\u00e0 a carattere esclusivamente personale o domestico;<\/li>\n<li>i trattamenti di dati personali che sono effettuati dalle autorit\u00e0 competenti con finalit\u00e0 di prevenzione, indagine, accertamento o perseguimento di reati o esecuzione di sanzioni penali, comprese la salvaguardia contro minacce alla sicurezza pubblica e la prevenzione delle stesse.<\/li>\n<\/ul>\n<p><strong>Campo di applicazione territoriale<\/strong><\/p>\n<p>Cos\u00ec definito il campo di applicazione materiale del Regolamento, va detto che lo stesso \u00e8 circoscritto anche a livello territoriale, in quanto riguarda esclusivamente il trattamento dei dati personali effettuato nell&#8217;<strong>ambito delle attivit\u00e0 poste in essere dal titolare del trattamento o da un responsabile del trattamento di uno stabilimento nell&#8217;Unione<\/strong>, anche se il trattamento \u00e8 eseguito al di fuori dell&#8217;Unione.<\/p>\n<p>Il GDPR, inoltre, si applica al trattamento dei dati personali di interessati che si trovano nell&#8217;Unione da parte\u00a0<strong>del titolare o del responsabile del trattamento che non \u00e8 stabilito nell&#8217;Unione<\/strong>, quando lo stesso riguarda:<\/p>\n<ul>\n<li>l&#8217;offerta di beni o la prestazione di servizi a tali interessati nell&#8217;Unione o<\/li>\n<li>il monitoraggio del comportamento tenuto dagli interessati all&#8217;interno dell&#8217;Unione.<\/li>\n<\/ul>\n<p>Infine, l&#8217;applicazione del Regolamento si estende anche al trattamento dei dati personali effettuato dal titolare non stabilito nell&#8217;Unione ma in un luogo che \u00e8 soggetto, in virt\u00f9 del diritto internazionale pubblico, al diritto di uno Stato membro.<\/p>\n<p><strong>GDPR: i principi applicabili al trattamento<\/strong><\/p>\n<p>In forza del Regolamento in vigore dal 25 maggio 2018, i dati personali:<\/p>\n<ul>\n<li>devono essere trattati nel rispetto dei principi di\u00a0<strong>liceit\u00e0<\/strong>(come esattamente individuata dall&#8217;articolo 6 del Regolamento),\u00a0<strong>correttezza e trasparenza<\/strong>;<\/li>\n<li>devono essere raccolti per\u00a0<strong>finalit\u00e0 determinate, esplicite e legittime<\/strong>e trattati in maniera compatibile con tali finalit\u00e0;<\/li>\n<li>devono rispondere al principio di\u00a0<strong>minimizzazione<\/strong>e, quindi, essere adeguati, pertinenti e limitati a quanto necessario per rispettare le finalit\u00e0 del trattamento;<\/li>\n<li>devono essere\u00a0<strong>esatti\u00a0<\/strong>e, quindi, eventualmente aggiornati;<\/li>\n<li>devono essere conservati in maniera da consentire l&#8217;identificazione degli interessati solo per il\u00a0<strong>tempo necessario al conseguimento delle finalit\u00e0\u00a0<\/strong>del trattamento e per periodi pi\u00f9 lunghi solo per fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica, statistici;<\/li>\n<li>devono essere trattati in maniera tale che sia garantita una loro adeguata sicurezza.<\/li>\n<\/ul>\n<p><strong>Il consenso dell&#8217;interessato al trattamento<\/strong><\/p>\n<p>Tra i vari aspetti di carattere generale della nuova normativa, occorre inoltre soffermarsi sulle previsioni che regolamentano il consenso dell&#8217;interessato al trattamento.<\/p>\n<p>Infatti, il GDPR stabilisce che l&#8217;onere di dimostrare che l&#8217;interessato ha prestato il proprio consenso al trattamento grava sul titolare, il quale deve avere cura di fornire una\u00a0<strong>richiesta di consenso chiara<\/strong>. La richiesta, laddove la dichiarazione da far sottoscrivere all&#8217;interessato riguardi anche altre questioni, deve inoltre essere agevolmente\u00a0<strong>distinguibile dalle altre materie<\/strong>, comprensibile, facilmente accessibile e fatta con un linguaggio semplice e chiaro.<\/p>\n<p><strong>Revoca del consenso<\/strong><\/p>\n<p>Nel caso in cui l&#8217;interessato revochi il proprio consenso (cosa possibile in qualsiasi momento con la stessa facilit\u00e0 prevista per dare il consenso), il\u00a0<strong>trattamento effettuato prima della revoca resta comunque lecito\u00a0<\/strong>e di tale circostanza l&#8217;interessato deve essere informato prima di esprimere il proprio consenso.<\/p>\n<p><strong>I diritti dell&#8217;interessato<\/strong><\/p>\n<p>L&#8217;interessato del trattamento \u00e8 tutelato dal Regolamento con la previsione di diversi diritti, ovverosia:<\/p>\n<ul>\n<li>il diritto alla\u00a0<strong>trasparenza<\/strong>circa le modalit\u00e0 con le quali sar\u00e0 eseguito il trattamento;<\/li>\n<li>il diritto di ricevere dal titolare o dal responsabile del trattamento delle\u00a0<strong>specifiche informazioni<\/strong>circa i propri dati;<\/li>\n<li>il diritto di accedere ai propri dati e di chiederne<strong>la rettifica o la cancellazione<\/strong>\u00a0(cd. diritto all&#8217;oblio);<\/li>\n<li>il diritto a che il trattamento dei propri dati, in specifici casi e a specifiche condizioni, sia limitato;<\/li>\n<li>il diritto di\u00a0<strong>opporsi<\/strong>al trattamento per specifici e documentati motivi;<\/li>\n<li>il diritto alla\u00a0<strong>portabilit\u00e0<\/strong>dei dati personali.<\/li>\n<\/ul>\n<p><strong>La portabilit\u00e0 dei dati personali<\/strong><\/p>\n<p>Con particolare riferimento a tale ultimo aspetto, va detto che il diritto a trasferire i propri dati da un titolare del trattamento a un altro non \u00e8 tuttavia esercitabile se i dati sono contenuti in<strong>\u00a0archivi di interesse pubblico<\/strong>\u00a0(ad esempio nelle anagrafi) o se gli stessi vogliono essere spostati in paesi extra Ue o in organizzazioni internazionali che non rispondono agli\u00a0<strong>standard di sicurezza<\/strong>\u00a0in materia di tutela.<\/p>\n<p><strong>Il diritto all&#8217;oblio<\/strong><\/p>\n<p>Un particolare approfondimento lo merita poi il cd. diritto all&#8217;oblio, che \u00e8 il diritto dell&#8217;interessato a che il titolare del trattamento cancelli senza ingiustificato ritardo i suoi dati personali. Tale diritto, infatti, \u00e8 esercitabile nelle seguenti ipotesi:<\/p>\n<ul>\n<li>i dati personali\u00a0<strong>non sono pi\u00f9 necessari<\/strong>rispetto alle finalit\u00e0 della raccolta o del trattamento;<\/li>\n<li>l&#8217;interessato ha\u00a0<strong>revocato il consenso\u00a0<\/strong>su cui si fonda il trattamento e quest&#8217;ultimo non ha altro fondamento giuridico;<\/li>\n<li>l&#8217;interessato si\u00a0<strong>oppone al trattamento<\/strong>e non sussiste alcun motivo giuridico per procedervi comunque;<\/li>\n<li>i dati personali sono stati\u00a0<strong>trattati illecitamente;<\/strong><\/li>\n<li>i dati personali devono essere cancellati per adempiere a un\u00a0<strong>obbligo legale<\/strong>cui \u00e8 soggetto il titolare del trattamento;<\/li>\n<li>i dati personali sono stati raccolti relativamente all&#8217;<strong>offerta di servizi della societ\u00e0 dell&#8217;informazione<\/strong>.<\/li>\n<\/ul>\n<p><strong>Il DPO \u2013 Data Protection Officer<\/strong><\/p>\n<p>Il Regolamento ha introdotto poi una nuova figura, che assume un ruolo di primo piano nel nuovo sistema della privacy: il DPO \u2013 Data Protection Officer, al quale viene affidato il compito di garantire che le imprese e gli enti\u00a0<strong>gestiscano i dati personali trattati in maniera corretta<\/strong>.<\/p>\n<p>Il DPO (o responsabile della protezione dei dati), deve essere necessariamente nominato dal titolare e dal responsabile del trattamento nei seguenti casi:<\/p>\n<ul>\n<li>quando il trattamento \u00e8 effettuato da un&#8217;<strong>autorit\u00e0 pubblica<\/strong>o un\u00a0<strong>organismo pubblico<\/strong>\u00a0diverso dalle autorit\u00e0 giurisdizionali nell&#8217;esercizio delle loro funzioni;<\/li>\n<li>quando le attivit\u00e0 principali poste in essere dal titolare o dal responsabile del trattamento richiedono (per la loro natura, per il loro ambito di applicazione e\/o per le loro finalit\u00e0) il\u00a0<strong>monitoraggio regolare e sistematico degli interessati su larga scala<\/strong>;<\/li>\n<li>quando le attivit\u00e0 principali poste in essere dal titolare o dal responsabile del trattamento consistono nel trattamento, su larga scala, di\u00a0<strong>categorie particolari di dati personali o di dati relativi a condanne penali e a specifici reati<\/strong>.<\/li>\n<\/ul>\n<p>DPO pu\u00f2 essere sia un\u00a0<strong>dipendente<\/strong>\u00a0del titolare o del responsabile del trattamento, che un\u00a0<strong>soggetto esterno<\/strong>\u00a0chiamato ad assolvere i suoi compiti in base a un contratto di servizi. La scelta va fatta comunque tra soggetti che abbiano delle qualit\u00e0 professionali adeguate e che quindi conoscano in maniera specialistica la normativa e la prassi in materia di protezione dei dati personali e che siano in grado di assolvere i compiti affidati dal Regolamento al responsabile della protezione dei dati.<\/p>\n<p><strong>I compiti del DPO<\/strong><\/p>\n<p>Nel dettaglio, al responsabile della protezione dei dati sono affidati dei compiti ben precisi che lo rendono una figura che, sebbene non vada a sostituire nella loro centralit\u00e0 il titolare e il responsabile del trattamento, assume un\u00a0<strong>ruolo chiave ai fini della tutela e della protezione dei dati personali<\/strong>.<\/p>\n<p>Il DPO, infatti, deve:<\/p>\n<ul>\n<li>dare un adeguato\u00a0<strong>supporto informativo e consulenziale<\/strong>al titolare del trattamento, al responsabile del trattamento e ai dipendenti incaricati del trattamento;<\/li>\n<li><strong>sorvegliare<\/strong>che il Regolamento sia adeguatamente osservato e che siano rispettate anche le altre disposizioni dell&#8217;Unione o interne in materia di privacy e le politiche sulla protezione dei dati personali adottate dal titolare o dal responsabile del trattamento;<\/li>\n<li>essere disposto a fornire, su eventuale richieste, un\u00a0<strong>parere in merito alla valutazione d&#8217;impatto<\/strong>sulla protezione dei dati e sorvegliarne lo svolgimento in conformit\u00e0 con il Regolamento;<\/li>\n<li>cooperare con l&#8217;<strong>autorit\u00e0 di controllo<\/strong>e fungere da punto di contatto per quest&#8217;ultima con riferimento alle questioni connesse al trattamento;<\/li>\n<li>effettuare, se necessario, delle\u00a0<strong>consultazioni\u00a0<\/strong>relative al trattamento.<\/li>\n<\/ul>\n<p><strong>I registri delle attivit\u00e0 di trattamento<\/strong><\/p>\n<p>Altro aspetto di particolare rilievo del GDPR \u00e8 rappresentato dall&#8217;introduzione di due registri fondamentali nella gestione dei dati personali.<\/p>\n<p>Innanzitutto, ogni titolare del trattamento e, ove applicabile, il suo rappresentante sono onerati della tenuta di un\u00a0<strong>registro delle attivit\u00e0 di trattamento\u00a0<\/strong>svolte sotto la propria responsabilit\u00e0 nel quale vanno riportati:<\/p>\n<p>il nome e i contatti del titolare del trattamento e, ove applicabile, del contitolare del trattamento, del rappresentante del titolare del trattamento e del DPO;<\/p>\n<ul>\n<li>le finalit\u00e0 del trattamento;<\/li>\n<li>la descrizione delle categorie di interessati e delle categorie di dati personali;<\/li>\n<li>le categorie di destinatario cui sono stati o saranno comunicati i dati personali raccolti;<\/li>\n<li>gli eventuali trasferimenti di dati personali verso un paese terzo o un&#8217;organizzazione internazionale, con l&#8217;identificazione di tali soggetti e, ove necessaria, la documentazione delle garanzie adeguate;<\/li>\n<li>i termini ultimi previsti per la cancellazione delle diverse categorie di dati (ove possibile);<\/li>\n<li>la descrizione generale delle misure di sicurezza tecniche e organizzative (ove possibile).<\/li>\n<\/ul>\n<p>Il responsabile del trattamento e, ove applicabile, il suo rappresentante sono invece onerati della tenuta di un\u00a0<strong>registro delle categorie di attivit\u00e0 svolte per conto di un titolare del trattamento<\/strong>.<\/p>\n<p>In esso vanno riportati:<\/p>\n<ul>\n<li>il nome e i dati di contatto del responsabile o dei responsabili del trattamento, di ogni titolare del trattamento per conto del quale si agisce, del rappresentante del titolare del trattamento o del<\/li>\n<li>responsabile del trattamento e, ove applicabile, del DPO;<\/li>\n<li>le categorie dei trattamenti che sono stati effettuati per conto di ogni titolare del trattamento;<\/li>\n<li>gli eventuali trasferimenti di dati personali verso un paese terzo o un&#8217;organizzazione internazionale e, se del caso, la documentazione delle garanzie adeguate;<\/li>\n<li>una descrizione generale delle misure di sicurezza tecniche e organizzative (ove possibile).<\/li>\n<\/ul>\n<p>Entrambi i registri devono essere tenuti in\u00a0<strong>forma scritta, anche in formato elettronico<\/strong>.<\/p>\n<p><strong>GDPR: cosa fare per adeguarsi<\/strong><\/p>\n<p>Per adeguarsi alle previsioni del GDPR \u00e8 quindi necessario eseguire alcune fondamentali azioni.<\/p>\n<p>Innanzitutto, bisogna provvedere a predisporre i<strong>\u00a0registri delle attivit\u00e0 di trattamento<\/strong>.<\/p>\n<p>Inoltre \u00e8 fondamentale\u00a0<strong>dotarsi di un Data Protection Officer<\/strong>, se si \u00e8 tra i soggetti tenuti a provvedervi.<\/p>\n<p>Chiaramente occorre poi<strong>\u00a0stendere o adeguare la documentazione<\/strong>\u00a0in materia di trattamento dei dati personali, per renderla completa e aggiornata alla luce delle prescrizioni introdotte dal Regolamento in vigore dal 25 maggio 2018, provvedendo anche a definire le politiche di sicurezza e di valutazione dei rischi. Il tutto senza dimenticare di individuare i diversi ruoli e le responsabilit\u00e0 dei\u00a0<strong>soggetti che effettuano il trattamento<\/strong>.<\/p>\n<p>Il mancato adeguamento e il mancato rispetto delle norme in materia di privacy introdotte dal GDPR pu\u00f2 comportare l&#8217;applicazione di\u00a0<strong>sanzioni di carattere sia amministrativo che penale<\/strong>.<\/p>\n<div class=\"lazysocialbuttons\" data-float=\"left\" data-buttons=\"google,twitter,facebook\" data-twshareurl=\"https:\/\/www.assicuratoriassociati.it\/blog\/news\/gdpr-tutto-quello-che-ce-da-sapere\/\" data-twtext=\"\" data-shareurl=\"https:\/\/www.assicuratoriassociati.it\/blog\/news\/gdpr-tutto-quello-che-ce-da-sapere\/\" data-fbhideflyout=\"false\" data-backgroundtype=\"light\"><\/div>","protected":false},"excerpt":{"rendered":"<p>A chi si applica il GDPR GDPR: i principi applicabili al trattamento Il consenso dell&#8217;interessato al trattamento I diritti dell&#8217;interessato Il DPO \u2013 Data Protection Officer I registri delle attivit\u00e0 di trattamento GDPR: cosa fare per adeguarsi A chi si applica il GDPR Nell&#8217;analizzare il nuovo regolamento la prima cosa da fare \u00e8 quella di [&hellip;]<\/p>\n<div class=\"lazysocialbuttons\" data-float=\"left\" data-buttons=\"google,twitter,facebook\" data-twshareurl=\"https:\/\/www.assicuratoriassociati.it\/blog\/news\/gdpr-tutto-quello-che-ce-da-sapere\/\" data-twtext=\"\" data-shareurl=\"https:\/\/www.assicuratoriassociati.it\/blog\/news\/gdpr-tutto-quello-che-ce-da-sapere\/\" data-fbhideflyout=\"false\" data-backgroundtype=\"light\"><\/div>","protected":false},"author":5,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[9,14,6],"tags":[],"class_list":["post-736","post","type-post","status-publish","format-standard","hentry","category-compagnie-di-assicurazioni","category-giurispridenza","category-news"],"_links":{"self":[{"href":"https:\/\/www.assicuratoriassociati.it\/blog\/wp-json\/wp\/v2\/posts\/736","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.assicuratoriassociati.it\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.assicuratoriassociati.it\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.assicuratoriassociati.it\/blog\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/www.assicuratoriassociati.it\/blog\/wp-json\/wp\/v2\/comments?post=736"}],"version-history":[{"count":1,"href":"https:\/\/www.assicuratoriassociati.it\/blog\/wp-json\/wp\/v2\/posts\/736\/revisions"}],"predecessor-version":[{"id":737,"href":"https:\/\/www.assicuratoriassociati.it\/blog\/wp-json\/wp\/v2\/posts\/736\/revisions\/737"}],"wp:attachment":[{"href":"https:\/\/www.assicuratoriassociati.it\/blog\/wp-json\/wp\/v2\/media?parent=736"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.assicuratoriassociati.it\/blog\/wp-json\/wp\/v2\/categories?post=736"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.assicuratoriassociati.it\/blog\/wp-json\/wp\/v2\/tags?post=736"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}