PRIVACY - REGOLAMENTO N° 2016/679 IN MATERIA DI «DATA PROTECTION»
REGOLAMENTO
N° 2016/679 IN MATERIA DI «DATA PROTECTION»
E'
stato approvato il 14 aprile 2016 dal Parlamento europeo il
Regolamento n° 2016/679 in materia di «Data Protection» (cd.
«General Data Protection Regulation»), che sostituisce la
precedente Direttiva europea 95/46/CE, attuata in Italia con la L.
675/96 e successivamente con il D.Lgs.
196/2003 (c.d. «Codice Privacy).
Il
testo definitivo del Regolamento, «self-executing» vincolante e
direttamente applicabile, è entrato in vigore il 24 maggio 2016,
tuttavia
i Paesi Membri dell’UE avranno tempo fino al 25 maggio 2018 per
uniformarsi. Predetto atto prevede l’applicazione
delle norme comunitarie in materia di trattamento di dati personali
anche alle società estere che operano nel mercato europeo e che
offrono beni/servizi a soggetti residenti nell’Ue.
Le
principali novità introdotte dal Regolamento
1)
Right
to be forgotten
E’
il diritto di ottenere la cancellazione dei dati personali senza
ingiustificato ritardo in presenza di specifici presupposti. In tale
senso si veda il caso Google Spain vs. Agencia Espanola de Proteccion
de Datos nel quale la Corte di Giustizia dell’Unione Europea ha
sancito il «diritto all’oblio» quale espressione del diritto
alla privacy.
2)
Registro delle attività di trattamento
Obbligo
di adozione di un Registro di tutti i trattamenti effettuati in
azienda. Documento nel quale dovranno essere registrate modalità e
finalità del trattamento, i soggetti ai quali i dati sono comunicati
, le misure di sicurezza adottate e l'eventuale trasferimento dei
dati in un paese terzo.
4)
Data
breach
Obbligo
di comunicare, entro 72 ore, alla DPA ed alla clientela, eventuali
violazioni di sicurezza che comportano la distruzione, la perdita, la
modifica, la divulgazione non autorizzata o l’accesso ai dati
personali trattati. In Italia la precedente normativa con prevedeva
tale obbligo solo per alcuni settori, come per esempio quello
sanitario.
5)
Data
Protection Impact Assessment
In
tutti i casi in cui le operazioni di trattamento presentano rischi
«elevati» per i diritti e le libertà degli interessati dovrà
essere eseguita una previa valutazione dell’impatto sulla privacy.
6)
Data
Protection Officer
Obbligo
per gli operatori che trattano dati sensibili su larga scala di
designare un Data Protection Officer («DPO») che provvederà anche
all’implementazione e l’applicazione del Regolamento.
Il
regolamento prevede anche le misure di sicurezza da adottare e le
sanzioni in caso di inadempimento. In particolare :
Il
Regolamento impone l’adozione
di misure di sicurezza idonee a garantire un livello di sicurezza
adeguato al rischio
dei trattamenti e alla natura dei dati. Gli operatori
dovranno valutare i rischi inerenti al trattamento e introdurre
misure idonee per limitare i rischi. Misure commisurate
all’evoluzione
tecnologica.
La
violazione delle disposizioni statuite prevedono sanzioni
amministrative pecuniarie proporzionale al fatturato totale annuo
dell’esercizio precedente dell'operatore a cui si possono
aggiungere obbligazioni di natura risarcitoria oltre che a quelle
penali.