Ne abbiamo sentito parlare spesso negli ultimi quattro anni: il regolamento europeo 2016/679 (GDPR per gli amici) è entrato in vigore a fine Maggio 2018.

In questo post cercherò di spiegare i punti chiave del regolamento, in maniera semplice e senza troppi dettagli soporiferi.

Intanto il nome: “General Data Protection Regulation”, ci dice che si tratta di un Regolamento.

Questo significa che il 25 Maggio del 2018 è diventato di fatto una legge in tutti gli stati membri dell’Unione Europea. Faccio questa precisazione perché a differenza della Direttiva, che chiede agli stati membri di scrivere una legge in una certa direzione, un Regolamento non ha bisogno di alcun ulteriore passaggio.

Il GDPR stabilisce le regole per proteggere i dati personali dei cittadini europei, da non confondere quindi con dati aziendali quali ad esempio: prototipi, progetti, brevetti, bilanci o quant’altro.

In pratica tutti i soggetti (aziende, enti ma anche altri cittadini), anche extra UE, che trattano dati personali di cittadini europei, devono rispettare il regolamento.

Prima di entrare nel vivo e scoprire cosa dice il GDPR, è fondamentale avere chiare alcune definizioni.

Spesso si fa confusione con la traduzione italiana (che effettivamente non è delle migliori), per questo tra parentesi, metto l’equivalente in inglese:

Dati personali (personal data)

L’articolo 4 del GDPR dice: “qualsiasi informazione riguardante una persona fisica identificata o identificabile anche indirettamente mediante riferimento a qualsiasi altra informazione …”

Quindi un nome, un indirizzo ma anche la targa dell’auto, sono tutti dati personali.

Non importa che il dato sia visibile a tutti (pensiamo alla targa della macchina ad esempio) è l’abbinamento del numero di targa alla persona che forma il dato personale.

Un altra parola importante da conoscere è Trattamento (processing).

Con trattamento si intende: “qualsiasi operazione o insieme di operazioni, compiute con o senza l’ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali, come la raccolta, la registrazione, l’organizzazione, la strutturazione, la conservazione, l’adattamento o la modifica, l’estrazione, la consultazione, l’uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l’interconnessione, la limitazione, la cancellazione o la distruzione”

Ma veniamo alle definizioni più importanti, intanto gli attori:

Interessato (data subject)

L’interessato è il proprietario dei dati (ovvero ciascuno è l’interessato dei propri dati personali)

Titolare del trattamento (controller)

il titolare è la persona, la società o l’ente che chiede dati personali per poterli trattare e decide come e perché trattarli. Attenzione non è chi li gestisce ma colui che decide di trattarli.

Responsabile del trattamento (processor)

è la persona fisica, giuridica, pubblica amministrazione o ente che elabora i dati personali per conto del titolare del trattamento

Responsabile della protezione dei dati (Data Protectiom Officer)

Noto anche come DPO, acronimo della definizione inglese, questa figura viene designata dal titolare e dal responsabile del trattamento, per fare da consulente in qualità di esperto in materia (solitamente è un avvocato). In pratica si occupa di aiutare chi deve trattare dati personali, a rispettare il GDPR, fornendo pareri, informando e sorvegliando.

Categorie particolari di dati personali (special categories of personal data)

Prima del GDPR si chiamavano dati sensibili, stiamo parlando di tutti quei dati che riguardano:

l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l’appartenenza sindacale, nonché dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all’orientamento sessuale della persona.

Violazione dei dati personali (personal data breach)

la violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o comunque trattati.

Pseudonimizzazione (pseudonymisation) – incute timore ma l’attività in realtà è semplice

il trattamento dei dati personali in modo che questi non possano più essere attribuiti a un interessato specifico senza l’utilizzo di informazioni aggiuntive.

Immaginate di avere due registri, uno con due colonne: la prima colonna contiene i nomi delle persone e la seconda un codice numerico associato a ciascuno; l’altro registro contiene il codice numerico nella prima colonna e nella seconda colonna, il dato personale da proteggere. Per capire a chi appartiene il dato, è necessario correlare le informazioni presenti sui due registri. Ecco fatto: i dati personali nel secondo registro sono “pseudonimizzati”.

Dopo questa lunga ma necessaria introduzione, scopriamo insieme quali sono i diritti dei cittadini europei in merito ai dati personali.

L’articolo più importante (ce ne sono 99) è naturalmente il primo. In particolare il punto 2, a mio avviso è il cuore del regolamento:

“Il presente regolamento protegge i diritti e le libertà fondamentali delle persone fisiche, in particolare il diritto alla protezione dei dati personali”.

Ma cosa significa esattamente? Quali sono i diritti e le libertà che protegge?

Un intero capitolo del regolamento è dedicato ai “Diritti dell’interessato”; il capitolo si divide in cinque sezioni, andiamo ad analizzarle rapidamente

Trasparenza e Modalità

Questa sezione comprende un solo articolo (il 12) che si intitola: “Informazioni, comunicazioni e modalità trasparenti per l’esercizio dei diritti dell’interessato”.

Sostanzialmente l’articolo dice che il titolare del trattamento (chi raccoglie i dati) deve comunicare con l’interessato in maniera chiara e limpida e deve agevolarlo nelle sue richieste (in relazione ai dati personali in trattati dal titolare) e in generale nell’esercitare i diritti previsti dal regolamento

Informazione e accesso ai dati personali

Qui entriamo nel vivo. Per riassumere: il Titolare ci deve dire, prima di trattare i nostri dati:

chi e perché tratta i nostri dati, per quanto tempo li conserverà e soprattutto ci dirà che possiamo chiedere in qualsiasi momento, di visionare, modificare o cancellare i nostri dati personali in suo possesso.

Rettifica e Cancellazione

E’ nostro diritto chiedere di modificare i nostri dati (rettifica) o chiederne la cancellazione, il famoso “diritto all’oblio”. Di fatto possiamo in ogni momento revocare il consenso al trattamento e chiedere di essere dimenticati (utile per difendersi da alcuni campagne di marketing molto aggressive)

Molto interessante è il Diritto alla portabilità dei dati (articolo 20) che consente all’interessato, di richiedere (al titolare), tutti i dati personali che lo riguardano “in un formato strutturato, di uso comune e leggibile da dispositivo automatico”

Questo articolo, di fatto è quello che ha obbligato Google, Facebook e gli altri giganti del web, a metterci a disposizione un link per richiedere tutti i nostri dati in loro possesso. Funziona e vi consiglio di provare almeno una volta.

Diritto di opposizione e processo decisionale automatizzato relativo alle persone fisiche

Questo fa il paio con l’articolo sul diritto all’oblio ma vale in quei casi in cui non è stato necessario chiederci il permesso di trattare i nostri dati perché il tutto è avvenuto “nel legittimo interesse del titolare o di terzi” (art. 6, par. 1, lett. f)

Limitazioni

Ovviamente l’UE può limitare diritti e obblighi stabiliti dal regolamento per salvaguardare interessi più importanti come la sicurezza nazionale, l’indipendenza della magistratura e dei procedimenti giudiziari, la sicurezza pubblica, la tutela dell’interessato o dei diritti e delle libertà altrui e altre criticità.

Responsabilità del titolare del trattamento e del responsabile del trattamento

Il capitolo quattro descrive gli obblighi del titolare e del responsabile del trattamento dei dati personali. In particolare si descrivono le responsabilità delle due figure al rispetto del regolamento, l’obbligo di proteggere i dati personali che trattano (cifrandoli o applicando la pseudonimizzazione), di tenere un registro dei trattamenti, di valutare l’impatto dei trattamenti prima di procedere.

L’ultimo aspetto che merita di essere trattato è quello delle violazioni dei dati personali (data breach). La sezione 2 del capitolo 4 è dedicata proprio alla sicurezza del trattamento. L’articolo 33 è certamente uno dei più importanti:

Notifica di una violazione dei dati personali all’autorità di controllo

il primo comma è la famosa comunicazione al Garante in caso di “data breach”:

“In caso di violazione dei dati personali, il titolare del trattamento notifica la violazione all’autorità di controllo competente a norma dell’articolo 55 senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libertà delle persone fisiche. Qualora la notifica all’autorità di controllo non sia effettuata entro 72 ore, è corredata dei motivi del ritardo”.

Per concludere, quello che ha reso famoso questo regolamento, sono sicuramente le salatissime sanzioni amministrative e pecuniarie a cui vanno incontro i titolari che non rispettano il regolamento.

Senza entrare troppo nel dettaglio, diciamo che a seconda delle violazioni, le multe possono variare ma sono comunque molto rilevanti. Si parte da multe fino a 10 milioni di euro o (per le aziende) al 2% del fatturato ad esempio per non aver nominato un responsabile del trattamento. Si arriva fino a 20 milioni di euro o al 4% del fatturato per violazioni più gravi, come la mancata notifica di una data breach.

Secondo uno studio di DLA PIPER, a Gennaio 2020 le violazioni di dati personali riscontrate in Europa, dall’entrata in vigore del GDPR, erano circa 160000 con sanzioni comminate per circa 114 milioni di euro. L’Olanda guida la classifica con 40647 data breach, seguita da Germania (37636), Regno Unito (22181), Irlanda (10516) e Danimarca (9806).

Per le sanzioni, sul podio troviamo la Francia con 51 milioni di euro, segue la Germania (24,5 milioni) e l’Austria (18 milioni).

E in Italia come siamo andati? Sempre secondo lo stesso report, dal 25 Maggio 2018 a Gennaio di quest’anno, sono state notificate al Garante 1886 violazioni di dati personali (undicesimo posto in Europa) e comminate multe per 11,55 milioni di euro (quarto posto in Europa).

Alla fine di Maggio attendiamo un nuovo report per l’analisi a due anni esatti dall’entrata in vigore del GDPR.