Dal 25 maggio 2018 è entrato in vigore il nuovo regolamento sulla protezione dei dati applicabile in tutti gli Stati membri: è il GDPR (General Data Protection Regulation, in italiano Regolamento Generale sulla Protezione dei Dati). In estrema sintesi, l'Unione Europea ha alzato gli standard richiesti per la raccolta, l’archiviazione e l’utilizzo delle informazioni riguardanti gli utenti e l’Italia si sta dunque adeguando alla nuova normativa.

Cos’è cambiato e come essere in regola con la normativa GDPR?

Come spiega il Sole 24 Ore, il GDPR interessa tutte le aziende che gestiscono qualsiasi tipo di dato personale. Dalle informazioni sui propri dipendenti alla profilatura dei clienti per conto terzi: «La Gdpr coinvolge tutte le aziende che trattatano dati - spiega Luca Galetti, consulente della società P4I - Il che può significare le informazioni in mano alle risorse umane sul proprio organico o l’analisi di dati per attività di marketing “targettizzato”, mirato su misura a seconda del cliente».

Il GDPR sarà applicato a tutte le imprese che offrono servizi o prodotti all’interno del mercato Ue. Avrà quindi effetto anche se le imprese che possiedono i dati hanno sede al di fuori dei confini dell’Unione Europea, ma offrono servizi o prodotti all’interno dell’Europa. Tutte le aziende sono quindi tenute a rispettare le nuove regole sulla privacy, e in caso di violazione dei dati rischieranno pesanti sanzioni.

In sintesi le novità che ha introdotto il GDPR rispetto alla precedente normativa sulla privacy  contenuta nella Direttiva Ce 95/46 (chiamata Data Protection Directive), riguarda principalmente 5 ambiti:

1. Ambito territoriale: la nuova legge si applica ai dati di tutti i cittadini dell’Unione Europea e va rispettata da tutte le imprese (Europee e non) che offrono servizi o prodotti all’interno del mercato UE.
2. Diritto all’oblio: Il nuovo testo introduce il diritto all’oblio, inteso come il diritto alla cancellazione dei dati di una persona fisica. L’interessato ha infatti il diritto di ottenere la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo e il titolare del trattamento ha l’obbligo di cancellare senza ingiustificato ritardo i dati personali.
3. Ottenimento del consenso: il consenso al trattamento dei dati deve essere esplicito: il consenso tacito o presunto non è ammesso. Una novità del GDPR riguarda il consenso espresso da parte dei minori: il loro consenso è valido a partire dai 16 anni di età, prima di tale età saranno i genitori o i tutori ad esprimerlo per conto del minore.
4. Introduzione del DPO: il DPO, cioè Data Protection Officer (in italiano Responsabile della Protezione dei Dati) è incaricato di assicurare una corretta gestione dei dati personali e dovrà essere una figura indipendente, riferire al vertice, avere risorse umane e finanziarie adeguate.
5. Data Breach: il GDPR obbliga alla notifica in caso di data breach (se le aziende subiscono fughe di informazioni sensibili, devono comunicarlo entro 72 ore).
6. Sanzioni: in caso di violazione della privacy, con il GDPR le sanzioni possono essere anche molto salate. Per chi infrange il GDPR (come la mancata acquisizione del consenso) la multa può arrivare fino al 4% del fatturato annuo o a 20 milioni di euro.