Il GDPR nasce da precise esigenze di certezza giuridica, armonizzazione e maggiore semplicità delle norme riguardanti il trasferimento di dati personali dall’ Ue verso altre parti del mondo.
Il nuovo regolamento Privacy applica due principi:
- Privacy by Design
- Privacy By Default
Tali principi base stabiliscono che il consento al trattamento dei dati personali debba essere sempre valido, revocabile ed esplicito. Di fatto, si impone una salvaguardia costante relativa ai dati custoditi da ciascuna impresa fin dalle fasi iniziali di ciascun processo. Inoltre, si introduce la necessità di una nuova figura aziendale (non sempre obbligatoria): il Data Protection Officer (DPO).
Il principio della Privacy By Design
Si tratta di un processo “evolutivo” al tema Privacy degli utenti, dove sono proprio gli utenti al centro di tutto. Qualunque progetto va pensato e realizzato pensando a come garantire la riservatezza e la protezione dei dati personali che vengono toccati nello specifico progetto, individuando a priori eventuali rischi Privacy, tramite un Privacy Impact Assessment (una valutazione di impatto Privacy). Non c’è uno standard fisso e unico per qualunque progetto, ma la tutela deve essere pensata ad hoc per ogni progetto, lungo 3 punti:
- sistemi IT;
- procedure commerciali (adeguate e corrette);
- progettazione strutturale e dell’infrastruttura di progetto.
Sono inoltre 7 i principi chiave di questo nuovo approccio alla Privacy (online e non):
- Occorre un approccio proattivo, non reattivo (quindi a favore della prevenzione);
- Il rispetto della Privacy è un’impostazione di base;
- La tutela della Privacy è una finalità incorporata nella progettazione;
- Sicurezza senza se e senza ma;
- Protezione piena del ciclo vitale dei dati;
- Visibilità e trasparenza nella gestione dei dati;
- Rispetto per la privacy dell’utente.
ll principio della Privacy By Default
Questo principio di fondo, invece, sostiene che le aziende devono trattare i dati personali solo nella misura necessaria per gli scopi previsti e per un tempo strettamente necessario a questi fini. Ancora una volta, dunque, la fase di progettazione è fondamentale e deve considerare questo approccio, avendo bene a mente la garanzia della non eccessività dei dati raccolti.
Quando si dà a un utente la possibilità di registrarsi a un sito web, per prenotare una visita o per iscriversi a una newsletter, etc…, occorre prestare attenzione a quali dati vengono raccolti e perché. Non ci può essere arbitrarietà, ma devono essere esplicitate le modalità di raccolta dei dati, le finalità di ciascun dato raccolto, quali soggetti sono autorizzati ad accedere al database che conserva i dati, quali rischi per la sicurezza potrebbero esserci e quali misure per proteggere tale database verranno adottate.
Data Breach
Si fa ampia menzione di cosa fare in caso di data breach. Ma cosa succede in caso di violazione dei dati gestiti da un’azienda?
Il GDPR è chiaro: ogni azienda deve spiegare e documentare come agirebbe in caso di violazione dei dati; inoltre, sempre in tale caso, va informata l’autorità di vigilanza entro 72 ore dal fatto.
Il già menzionato “PIA” – Privacy Impact Assessment – ha proprio lo scopo di stabilire in anticipo quali rischi ci possono essere nel trattamento dei dati nel particolare business specifico e quali misure vengono messe in campo per ridurre al minimo i rischi. Inoltre, vanno previste anche delle modalità di comunicazione agli utenti in caso di data breach.
I punti chiave per adeguardi al GDPR
In super sintesi, sono 5 i punti chiave che ogni azienda deve affrontare per adeguarsi al GDPR:
- Controllare pienamente l’accesso ai dati, con database strutturati e destrutturati
- Identificazione chiara dei dati personali gestiti (con accesso immediato, profilazione, norme di sicurezza a favore della tutela dei dati)
- Governance dei dati: esplicitazione delle policy, identificazione dei processi di gestione, assegnazione delle responsabilità.
- Strategie di protezione dei dati: anonimizzazione dei record di dati e crittografia.
- Controllo delle procedure applicate, con reportistica interna, verifiche, gestione proattiva del rapporto con gli utenti.
Tutti questi aspetti confluiscono in un Registro delle Attività di Trattamento dei dati, in cui appunto sono spiegate tutte le procedure, le finalità, i software utilizzati, le persone coinvolte, le responsabilità, le misure di sicurezza previste nella gestione dei dati personali trattati.
I Ruoli in azienda nei confronti del tema Privacy GDPR
Oltre al titolare del trattamento dei dati (Data Controller), si potranno trovare nuove figure…
Cosa deve fare il Data Protection Officer? (art. 37 del GDPR)
Il DPO – Data Protection Officer – deve essere nominato per ciascuna filiale fisica di un’azienda (multinazionali avvisate: uno per ogni sede o stabilimento) e avrà la supervisione e il controllo delle modalità di raccolta, gestione e trattamento dei dati.
Un obiettivo fondamentale del DPO è quello di garantire la sicurezza dei dati e dei software che li governano o che li tutelano. In particolare a livello di aggiornamenti software, occorrerà muoversi verso un’automatizzazione dei processi, per poter dimostrare in caso di problemi di vulnerabilità dei dati che si è fatto tutto il possibile per tutelare i dati stessi (riducendo i possibili “breach” dell’infrastruttura). Sempre con la stessa finalità, è buona norma sfruttare i monitoraggi automatici dei software di sicurezza, così da individuare tentativi di accessi dall’esterno (l’idea di fondo è sempre quella di difendere i dati da attacchi esterni): questo vale per i pc in dotazione ai collaboratori di un’azienda, per siti web e app, ma anche per gli smartphone o tablet.
Il DPO deve essere obbligatoriamente nominato nei casi in cui il trattamento dei dati avviene da parte di un ente pubblico o di un’autorità; quando la mole di dati gestiti richiede un monitoraggio regolare e sistematico; quando i dati in questione hanno un carattere particolare (es. dati sensibili) o sono dati giudiziari.
Il Data Processor, alias il “Responsabile del Trattamento”
Il Responsabile del Trattamento – o Data Processor – è una persona fisica o giuridica, l’ente pubblico, il servizio o altro “attore” che gestisce i dati per conto del titolare del trattamento. Quindi può essere anche una persona esterna, un fornitore che viene delegato al trattamento dei dati (ma che deve garantire la compliance con il GDPR).