GDPR

I. Introduzione

Il 20 giugno 2018, l'Italia ha adottato la Legge n. 2018-493 sulla Protezione dei Dati Personali, attuando il Regolamento Generale sulla Protezione dei Dati (GDPR). Questa legge rivede e consolida la Legge sulla Protezione dei Dati del 1978.
Il Garante per la protezione dei dati personali (Garante), in qualità di autorità di controllo nazionale, è responsabile della supervisione, della guida e dell'applicazione del GDPR e dei relativi regolamenti attuativi in Italia.
L'Italia ha quindi messo in atto un sistema di protezione dei dati personali conforme ai requisiti dell'Unione Europea.

II. Ambito di applicazione

Le normative che attuano il GDPR in Italia si applicano a:

qualsiasi titolare o responsabile del trattamento stabilito nel territorio italiano;

qualsiasi organizzazione situata al di fuori dell'Italia che offra beni o servizi a persone fisiche situate in Italia, o che monitori il loro comportamento all'interno del territorio italiano.

Indipendentemente dal luogo di trattamento, purché riguardi i dati personali di persone fisiche situate in Italia, la legge si applica.
Riguarda sia il trattamento automatizzato che quello non automatizzato che fa parte di un archivio.
Le attività di natura esclusivamente personale o domestica non rientrano nel suo ambito.

III. Principi del trattamento dei dati

Liceità, correttezza e trasparenza: tutti i trattamenti devono essere basati su una chiara base giuridica e condotti con piena trasparenza.

Limitazione della finalità: i dati possono essere utilizzati solo per scopi specifici e legittimi.

Minimizzazione dei dati: devono essere raccolti solo i dati strettamente necessari.

Esattezza: i dati devono essere accurati e regolarmente aggiornati.

Limitazione della conservazione: i dati devono essere conservati solo per il periodo strettamente necessario, quindi cancellati o anonimizzati.

Sicurezza e riservatezza: devono essere messe in atto misure tecniche e organizzative appropriate per prevenire qualsiasi violazione, alterazione o perdita di dati.

IV. Diritti dell'interessato

In conformità con il GDPR e la legge italiana, gli individui hanno i seguenti diritti:

Diritto all'informazione e all'accesso;

Diritto di rettifica;

Diritto alla cancellazione (diritto all'oblio);

Diritto di limitazione del trattamento;

Diritto alla portabilità dei dati;

Diritto di opposizione.

Per i minori di 15 anni, il trattamento dei loro dati richiede il consenso di un genitore o tutore legale, e le informazioni devono essere fornite loro in un linguaggio chiaro e comprensibile.

V. Obblighi del responsabile del trattamento

I responsabili del trattamento devono:

rispettare rigorosamente le istruzioni scritte del titolare del trattamento;

attuare misure di sicurezza appropriate;

assistere il titolare del trattamento nell'adempimento dei propri obblighi, in particolare nel rispondere alle richieste degli interessati;

notificare al titolare del trattamento senza indebito ritardo in caso di violazione dei dati, il quale deve quindi informare il Garante entro 72 ore.

I titolari del trattamento devono mantenere un registro delle attività di trattamento ed effettuare una valutazione d'impatto sulla protezione dei dati (DPIA) in caso di rischio elevato.
Certe organizzazioni devono inoltre designare un Responsabile della protezione dei dati (DPO) e registrarsi presso il Garante (Autorità Garante per la protezione dei dati personali).

VI. Trasferimenti internazionali di dati

Quando è previsto un trasferimento verso un paese non UE, il titolare del trattamento deve garantire un livello di protezione adeguato. Ciò può essere ottenuto tramite:

una decisione di adeguatezza della Commissione Europea;

o la sottoscrizione di Clausole Contrattuali Standard (SCC).

Dopo l'invalidazione del "Privacy Shield" il 16 luglio 2020, le aziende italiane devono utilizzare le nuove Clausole Contrattuali Standard adottate il 4 giugno 2021, o qualsiasi altro meccanismo legale.

VII. Controllo e applicazione

Il Garante ha ampi poteri, tra cui:

emettere avvertimenti o diffide;

limitare o proibire determinate operazioni di trattamento;

imporre sanzioni pecuniarie fino a 20 milioni di Euro o il 4% del fatturato globale, se superiore.

La legge italiana consente inoltre agli individui di fornire istruzioni sull'uso dei propri dati dopo la loro morte. In mancanza di ciò, il trattamento deve essere conforme alle normative applicabili.
Il quadro italiano per l'attuazione del GDPR mira a garantire i diritti individuali, migliorare la conformità aziendale e promuovere la fiducia nell'ambiente digitale.