Il GDPR è il Regolamento (UE) 2016/679, la legge europea sulla protezione dei dati personali. L’acronimo sta per General Data Protection Regulation, in italiano «Regolamento generale sulla protezione dei dati». È in vigore dal 24 maggio 2016 e si applica in tutti i Paesi dell’Unione dal 25 maggio 2018.
Stabilisce come imprese, professionisti ed enti possono raccogliere e usare i dati delle persone, quali diritti hanno le persone e cosa deve dimostrare chi tratta i dati. In questa guida trovi il significato, i principi e gli obblighi concreti per un’azienda.
In sintesi
GDPR
General Data Protection Regulation: il regolamento europeo che protegge i dati personali.
Norma
Regolamento (UE) 2016/679
Si applica dal
25 maggio 2018
In Italia
Codice privacy aggiornato dal D.Lgs. 101/2018
Autorità
Garante per la protezione dei dati personali
Chi riguarda
Chiunque tratti dati di persone nell’UE
Sanzioni
Fino a 20 milioni di euro o il 4% del fatturato
Cosa significa GDPR
GDPR = General Data Protection Regulation. In italiano si parla di «Regolamento generale sulla protezione dei dati» o, più semplicemente, di «regolamento privacy europeo». Il testo ufficiale è pubblicato su EUR-Lex e contiene 99 articoli e 173 considerando.
Essendo un regolamento e non una direttiva, il GDPR vale direttamente e allo stesso modo in tutti gli Stati membri. In Italia il vecchio Codice privacy (D.Lgs. 196/2003) è rimasto in vigore, ma è stato adeguato dal D.Lgs. 101/2018 per coordinarlo con il regolamento.
Dato personale
Qualsiasi informazione che identifica una persona o la rende identificabile: nome, email, telefono, IP, targa, immagine, codice cliente.
Trattamento
Qualsiasi operazione sui dati: raccolta, registrazione, consultazione, uso, invio, conservazione, cancellazione. Anche solo archiviare un file è un trattamento.
Dati particolari
Salute, origine etnica, opinioni politiche, religione, iscrizione sindacale, dati genetici e biometrici, vita e orientamento sessuale (art. 9): regole più severe.
A chi si applica il GDPR
Il GDPR si applica a chiunque tratti dati personali nell’ambito di un’attività professionale o economica: aziende di ogni dimensione, liberi professionisti, associazioni, enti pubblici. Vale anche per le imprese extra UE che offrono beni o servizi a persone nell’Unione o ne monitorano il comportamento (art. 3).
Non si applica ai trattamenti per fini esclusivamente personali o domestici, come la rubrica del proprio telefono, né ai dati di persone decedute o ai dati davvero anonimi. Una PMI con pochi dipendenti è quindi pienamente coinvolta: tratta almeno dati di clienti, fornitori e personale.
I 7 principi del GDPR
- Liceità, correttezza e trasparenza: serve una base giuridica e le persone devono sapere cosa succede ai loro dati.
- Limitazione della finalità: i dati raccolti per uno scopo non si usano per scopi incompatibili.
- Minimizzazione: si raccolgono solo i dati necessari.
- Esattezza: i dati vanno tenuti aggiornati e corretti.
- Limitazione della conservazione: si conservano solo per il tempo necessario.
- Integrità e riservatezza: misure di sicurezza adeguate contro accessi, perdite e alterazioni.
- Responsabilizzazione (accountability): il titolare deve rispettare i principi e saperlo dimostrare.
Accountability è la parola chiave del GDPR: non esiste una lista di adempimenti uguale per tutti. Ogni azienda valuta i propri rischi, sceglie le misure e conserva le prove delle decisioni prese.
Le basi giuridiche: quando si possono trattare i dati
Ogni trattamento deve poggiare su una delle sei basi giuridiche dell’art. 6. Il consenso è solo una di queste, e spesso non è quella giusta:
Contratto
Dati necessari per un contratto con la persona o per misure precontrattuali.
Obbligo di legge
Per esempio fatturazione, buste paga, adempimenti fiscali.
Consenso
Libero, specifico, informato e revocabile: tipico per newsletter e marketing.
Legittimo interesse
Interesse dell’azienda bilanciato con i diritti delle persone, da documentare.
Interessi vitali
Protezione della vita della persona o di un terzo.
Interesse pubblico
Compiti di interesse pubblico o pubblici poteri, tipico degli enti.
I diritti delle persone (interessati)
- Accesso (art. 15): sapere quali dati sono trattati e ottenerne copia.
- Rettifica (art. 16) e cancellazione o «oblio» (art. 17).
- Limitazione del trattamento (art. 18) e portabilità dei dati (art. 20).
- Opposizione (art. 21), per esempio al marketing diretto.
- Non essere sottoposti a decisioni solo automatizzate con effetti rilevanti (art. 22).
L’azienda deve rispondere entro un mese, prorogabile di due mesi per richieste complesse. Tutti i termini sono raccolti nella guida alle scadenze GDPR.
Cosa prevede il GDPR per le aziende: gli obblighi concreti
01
Mappare i trattamenti
Capire quali dati si trattano, perché, dove sono e chi li vede. Il registro dei trattamenti (art. 30) è obbligatorio quasi sempre, anche sotto i 250 dipendenti quando i trattamenti non sono occasionali.
02
Informare
Dare le informative (artt. 13-14) a clienti, dipendenti, fornitori e utenti del sito.
03
Definire i ruoli
Titolare, responsabili esterni con contratto (art. 28), persone autorizzate e, se obbligatorio, il DPO (art. 37).
04
Proteggere i dati
Adottare misure di sicurezza adeguate al rischio (art. 32): accessi, backup, cifratura, aggiornamenti, formazione.
05
Gestire gli incidenti
Saper riconoscere un data breach e notificarlo al Garante entro 72 ore quando c’è un rischio per le persone (art. 33).
06
Valutare i rischi elevati
Fare la DPIA (art. 35) prima di trattamenti a rischio elevato, come videosorveglianza estesa, geolocalizzazione o profilazione.
La sicurezza dei dati è anche sicurezza informatica: se la tua impresa rientra nella direttiva NIS2, gli obblighi si sommano. Un quadro delle misure tecniche è nella pagina cybersecurity per aziende.
Sanzioni: cosa si rischia
L’art. 83 prevede sanzioni amministrative fino a 10 milioni di euro o il 2% del fatturato mondiale annuo per violazioni come la mancata sicurezza o la mancata notifica di un breach, e fino a 20 milioni o il 4% per violazioni dei principi, delle basi giuridiche e dei diritti degli interessati. Si applica l’importo più alto.
In Italia le sanzioni sono irrogate dal Garante Privacy, che valuta gravità, durata, collaborazione e misure adottate. Le persone possono inoltre chiedere il risarcimento dei danni (art. 82).
Domande frequenti sul GDPR
Cos’è il GDPR in parole semplici?
È la legge europea che stabilisce come si possono raccogliere e usare i dati delle persone. Chi tratta dati deve farlo in modo trasparente, sicuro e solo per scopi precisi, e deve poterlo dimostrare.
Qual è l’acronimo di GDPR?
General Data Protection Regulation, in italiano Regolamento generale sulla protezione dei dati: è il Regolamento (UE) 2016/679.
Cosa si intende per accountability nel GDPR?
È il principio di responsabilizzazione (art. 5, par. 2 e art. 24): il titolare deve rispettare il GDPR e saper dimostrare di farlo, con registri, procedure, valutazioni e decisioni documentate.
Che differenza c’è tra GDPR e Codice privacy?
Il GDPR è il regolamento europeo, direttamente applicabile. Il Codice privacy (D.Lgs. 196/2003, aggiornato dal D.Lgs. 101/2018) è la legge italiana che lo integra su aspetti lasciati agli Stati, per esempio i rapporti di lavoro e alcune sanzioni.
Il GDPR vale anche per le piccole imprese e i professionisti?
Sì. Si applica a chiunque tratti dati personali per attività professionali o economiche. Alcuni obblighi, come il DPO, dipendono dal tipo di trattamento e non dalle dimensioni.
Da quando è in vigore il GDPR?
È entrato in vigore il 24 maggio 2016 ed è applicabile dal 25 maggio 2018 in tutti i Paesi dell’Unione europea.
Consulenza GDPR
La tua azienda è in regola con il GDPR?
Verifichiamo registro, informative, nomine, misure di sicurezza e procedure per data breach e richieste, e ti lasciamo un piano chiaro di priorità.
