GDPR

I. Introduzione

Il 20 giugno 2018, l'Italia ha adottato la Legge n. 2018-493 sulla protezione dei dati personali, attuando il Regolamento generale sulla protezione dei dati (GDPR). Questa legge revisiona e consolida la Legge sulla protezione dei dati del 1978.
Il Garante per la protezione dei dati personali (Garante), in quanto autorità di vigilanza nazionale, è responsabile della supervisione, della guida e dell'applicazione del GDPR e delle sue normative di attuazione in Italia.
Pertanto, l'Italia ha messo in atto un sistema di protezione dei dati personali conforme ai requisiti dell'Unione Europea.

II. Ambito di applicazione

Le normative che attuano il GDPR in Italia si applicano a:

qualsiasi titolare o responsabile del trattamento stabilito nel territorio italiano;

qualsiasi organizzazione situata al di fuori dell'Italia che offra beni o servizi a persone fisiche situate in Italia, o monitori il loro comportamento all'interno del territorio italiano.

Indipendentemente dal luogo di trattamento, purché riguardi i dati personali di persone fisiche situate in Italia, la legge si applica.
Copre il trattamento automatizzato così come il trattamento non automatizzato che fa parte di un archivio.
Le attività di natura esclusivamente personale o domestica non rientrano nel suo ambito di applicazione.

III. Principi del trattamento dei dati

Liceità, correttezza e trasparenza: Ogni trattamento deve essere basato su una chiara base giuridica e condotto con piena trasparenza.

Limitazione della finalità: I dati possono essere utilizzati solo per scopi specifici e legittimi.

Minimizzazione dei dati: Devono essere raccolti solo i dati strettamente necessari.

Esattezza: I dati devono essere accurati e regolarmente aggiornati.

Limitazione della conservazione: I dati devono essere conservati solo per il periodo strettamente necessario, quindi cancellati o anonimizzati.

Sicurezza e riservatezza: Devono essere messe in atto misure tecniche e organizzative appropriate per prevenire qualsiasi violazione, alterazione o perdita dei dati.

IV. Diritti degli interessati

In conformità con il GDPR e la legge italiana, gli individui hanno i seguenti diritti:

Diritto all'informazione e all'accesso;

Diritto di rettifica;

Diritto alla cancellazione (diritto all'oblio);

Diritto di limitazione del trattamento;

Diritto alla portabilità dei dati;

Diritto di opposizione.

Per i minori di 15 anni, il trattamento dei loro dati richiede il consenso di un genitore o tutore legale, e le informazioni devono essere loro fornite in un linguaggio chiaro e comprensibile.

V. Obblighi del responsabile del trattamento

I responsabili del trattamento devono:

attenersi scrupolosamente alle istruzioni scritte del titolare del trattamento;

attuare misure di sicurezza appropriate;

assistere il titolare del trattamento nell'adempimento dei propri obblighi, in particolare nella risposta alle richieste degli interessati;

notificare il titolare del trattamento senza indebito ritardo in caso di violazione dei dati, il quale deve quindi informare il Garante entro 72 ore.

I titolari del trattamento devono mantenere un registro delle attività di trattamento ed effettuare una Valutazione d'Impatto sulla Protezione dei Dati (DPIA) in casi di alto rischio.
Certe organizzazioni devono anche designare un Responsabile della Protezione dei Dati (DPO) e registrarsi presso il Garante (Autorità Italiana per la Protezione dei Dati).

VI. Trasferimenti internazionali di dati

Quando è previsto un trasferimento verso un paese non-UE, il titolare del trattamento deve garantire un livello adeguato di protezione. Ciò può essere ottenuto tramite:

una decisione di adeguatezza della Commissione Europea;

o la sottoscrizione di Clausole Contrattuali Standard (SCC).

Dall'invalidazione del "Privacy Shield" il 16 luglio 2020, le aziende italiane devono utilizzare le nuove Clausole Contrattuali Standard adottate il 4 giugno 2021, o qualsiasi altro meccanismo legale.

VII. Controllo e applicazione

Il Garante ha ampi poteri, tra cui:

emettere avvertimenti o diffide formali;

limitare o proibire determinate operazioni di trattamento;

imporre sanzioni pecuniarie fino a 20 milioni di Euro o il 4% del fatturato globale, se superiore.

La legge italiana consente inoltre agli individui di fornire istruzioni sull'uso dei loro dati dopo la loro morte. In mancanza di ciò, il trattamento deve essere conforme alle normative applicabili.
Il quadro italiano per l'attuazione del GDPR mira a garantire i diritti individuali, migliorare la conformità aziendale e promuovere la fiducia nell'ambiente digitale.