Che cos'è il GDPR?
Il Regolamento Generale sulla Protezione dei Dati, o GDPR, unifica le leggi sulla privacy dei dati in tutta l'Unione Europea (UE). Il Parlamento Europeo ha approvato il GDPR il 14 aprile 2016, ed è entrato in vigore il 25 maggio 2018.
Il GDPR ha sostituito la precedente Direttiva sulla Protezione dei Dati dell'UE del 1995. Il GDPR si concentra sul rendere le aziende più trasparenti ed espande i diritti alla privacy dei soggetti dei dati. Ogni volta che viene rilevata una violazione dei dati, il GDPR richiede all'azienda di notificare le autorità di vigilanza e tutte le persone coinvolte entro 72 ore.
È obbligatorio per tutti i cittadini e le aziende dell'UE che elaborano, memorizzano o gestiscono i dati dei cittadini dell'UE conformarsi al GDPR. Questo indipendentemente dal fatto che siano cittadini dell'UE. Il GDPR impone anche sanzioni per la non conformità. Molte organizzazioni utilizzano software di gestione della privacy dei dati per gestire la privacy dei soggetti dei dati e mappare i dati sensibili.
Principi del GDPR
Chiunque elabori dati deve farlo secondo i principi di protezione e responsabilità delineati nell'Articolo 5.1-2. Di seguito sono riportati i sette principi fondamentali del GDPR che guidano le sue regole e regolamenti.
- Liceità, correttezza e trasparenza. I soggetti dei dati devono essere informati esattamente su come verranno utilizzati i loro dati.
- Limitazione delle finalità. I dati possono essere raccolti ed elaborati per scopi legittimi. Ad esempio, l'elaborazione di un contratto in cui è coinvolto il soggetto dei dati.
- Minimizzazione dei dati. Possono essere raccolti solo i dati critici.
- Accuratezza dei dati. Le organizzazioni che raccolgono dati devono garantirne l'accuratezza e la tempestività. I dati devono essere cancellati o modificati su richiesta del soggetto dei dati.
- Limitazione della conservazione. Il GDPR sconsiglia di conservare i dati raccolti più a lungo del necessario.
- Integrità e riservatezza. I dati personali devono essere protetti con misure appropriate. Devono essere sicuri e protetti contro il furto o l'uso non autorizzato.
- Conformità dei dati. I raccoglitori di dati sono responsabili di garantire la conformità al GDPR.
Di seguito sono discussi diversi diritti specifici dei soggetti dei dati secondo i sette principi del GDPR.
- Il diritto all'oblio. I soggetti dei dati possono richiedere che le informazioni personali identificabili (PII) vengano cancellate dall'archivio di un'azienda. Tuttavia, se l'azienda può dimostrare con successo una base legale per conservare i dati, ha il diritto di rifiutare le richieste.
- Il diritto di accesso. I dati memorizzati sono accessibili ai soggetti dei dati per la revisione.
- Il diritto di opposizione. I soggetti dei dati possono rifiutare l'uso o l'elaborazione dei dati personali. Se un'azienda soddisfa le condizioni legali per l'elaborazione dei dati personali, può ignorare il rifiuto. Tuttavia, deve notificare il soggetto e spiegare il suo ragionamento.
- Il diritto di rettifica. È possibile correggere le informazioni personali errate su richiesta dei soggetti dei dati.
- Il diritto alla portabilità. È possibile accedere e trasferire le informazioni personali dei soggetti dei dati a discrezione del soggetto dei dati.
Come conformarsi al GDPR
Il GDPR informa i raccoglitori di dati sui risultati attesi di una gestione dei dati eccellente e responsabile. Tuttavia, non definisce alcuna misura tecnica specifica. Di seguito sono riportate alcune delle migliori pratiche che aiutano le aziende a conformarsi al GDPR.
- È importante chiedere prima di raccogliere dati personali. I soggetti dei dati devono essere partecipanti consapevoli.
- Le organizzazioni devono raccogliere solo ciò di cui hanno bisogno. Sono responsabili della raccolta e dell'uso.
- Le aziende non devono condividere i dati con altri senza il consenso degli utenti e l'approvazione delle autorità di vigilanza.
- È essenziale crittografare tutti i dati personali a riposo e in transito.
- È meglio avere due copie di backup sicure dei dati personali in due località esterne.
- Le aziende dovrebbero essere in grado di modificare o eliminare facilmente elementi specifici di dati personali utilizzando gli strumenti necessari per verificare e documentare le azioni.
Ambito del GDPR
L'ambito di conformità del GDPR è relativamente ampio. Pertanto, che un'azienda sia situata all'interno dell'UE o abbia un ufficio al di fuori dell'UE, è cruciale comprendere come rientrano nel campo di applicazione del GDPR se stanno elaborando i dati dei cittadini dell'UE.
Di seguito sono riportati due modi in cui un'azienda rientra nel dominio del GDPR:
- Ambito Materiale: L'Articolo 2 definisce l'Ambito Materiale del GDPR per l'elaborazione dei dati personali. Secondo l'Ambito Materiale, anche se il centro di elaborazione (un processore) non si trova nell'UE, rientra comunque nel campo di applicazione del GDPR.
- Ambito Territoriale: L'Articolo 3 del GDPR spiega l'ambito territoriale del GDPR e come è ampiamente classificato in due segmenti: Articolo 3(1) e Articolo 3(2). L'ambito territoriale si riferisce a quando le aziende all'interno della regione dell'UE elaborano le informazioni personali dei soggetti dei dati.
Sanzioni GDPR per la non conformità
Le sanzioni per la non conformità sono severe. Diversi criteri vengono valutati per determinare le tariffe appropriate, inclusa la durata della violazione, il numero di soggetti dei dati coinvolti e la gravità della violazione.
Che una violazione dei dati sia causata da negligenza o intenzione influenza anche le sanzioni. Mantenere registri inadeguati della raccolta e dell'elaborazione dei dati personali può portare a una multa di €10 milioni di euro o il 2% del fatturato annuo, con multe fino a €20 milioni o fino al 4% del fatturato annuo per la completa non conformità.
GDPR vs. CCPA
Il GDPR e il California Consumer Privacy Act (CCPA) sono leggi di conformità che proteggono i dati degli utenti da accessi e elaborazioni non autorizzati.
Il CCPA è spesso chiamato "GDPR lite" nelle comunità di conformità. Mentre il GDPR protegge i dati e la privacy dell'UE, il CCPA è la legge sulla protezione dei dati e la privacy per i residenti della California.
Il GDPR richiede alle aziende di avere basi legali per l'elaborazione dei dati, come il consenso. Il CCPA non ha tale requisito ma si concentra sulla creazione di trasparenza e sull'educazione degli utenti sui loro diritti sui dati.
Scopri di più sul software di gestione della privacy dei dati e quanto tempo ci vuole per implementarlo.
Sagar Joshi
Sagar Joshi is a former content marketing specialist at G2 in India. He is an engineer with a keen interest in data analytics and cybersecurity. He writes about topics related to them. You can find him reading books, learning a new language, or playing pool in his free time.
