GDPR

Regolamento generale sulla protezione dei dati.

Il regolamento generale sulla protezione dei dati (in inglese General Data Protection Regulation), ufficialmente regolamento (UE) n. 2016/679 e meglio noto con la sigla GDPR[1], è un regolamento dell’Unione europea in materia di trattamento dei dati personali e di privacy, adottato il 27 aprile 2016, pubblicato sulla Gazzetta ufficiale dell’Unione europea il 4 maggio 2016 ed entrato in vigore il 25 maggio dello stesso anno ed operativo a partire dal 25 maggio 2018.

Con questo regolamento, la Commissione europea si propone come obiettivi quello di rafforzare la protezione dei dati personali di cittadini dell’Unione europea e dei residenti nell’Unione europea, sia all’interno che all’esterno dei confini dell’Unione europea (UE), restituendo ai cittadini il controllo dei propri dati personali, semplificando il contesto normativo che riguarda gli affari internazionali, unificando e rendendo omogenea la normativa privacy dentro l’UE.

Il testo affronta anche il tema dell’esportazione di dati personali al di fuori dell’UE e obbliga tutti i titolari del trattamento dei dati (anche con sede legale fuori dall’Unione europea) che trattano dati di residenti nell’Unione europea ad osservare e adempiere agli obblighi previsti.

Dalla sua entrata in vigore, il GDPR ha sostituito i contenuti della direttiva sulla protezione dei dati (Direttiva 95/46/CE)[4] e, in Italia, ha abrogato[5] gli articoli del codice per la protezione dei dati personali (d.lgs. n. 196/2003) con esso incompatibili.
Il regolamento si applica al trattamento dei dati personali, ed al trattamento non automatizzato dei dati conservati in un “archivio”, definito (Art. 2 e 4) in modo simile all’espressione “banca di dati”, presente nel codice della privacy italiano (l’Italia si è adeguata alla normativa europea tramite il decreto legislativo n. 101 del 10 agosto 2018). Inoltre, a differenza dell’attuale direttiva, il regolamento si applica anche a imprese ed enti, organizzazioni in generale, con sede legale fuori dall’UE che trattano dati personali di residenti nell’Unione Europea. Ciò anche a prescindere dal luogo o dai luoghi ove sono collocati i sistemi di archiviazione (storage) e di elaborazione (server). Il regolamento non riguarda la gestione di dati personali per attività di sicurezza nazionale o di ordine pubblico (“le autorità competenti per gli scopi di prevenzione, indagine, individuazione e persecuzione di reati penali o esecuzione di provvedimenti penali”). Secondo la Commissione Europea “i dati personali sono qualunque informazione relativa a un individuo, collegata alla sua vita sia privata, sia professionale o pubblica. Può riguardare qualunque dato personale: nomi, foto, indirizzi email, dettagli bancari, interventi su siti web di social network, informazioni mediche o indirizzi IP di computer.”

Il regolamento disciplina il trattamento di dati personali solo delle persone fisiche (ivi compresi quelli di persone fisiche trattati in ambito professionale o associativo o situazioni similari ovvero nei rapporti tra imprese, enti e associazioni) e pertanto i dati di identificazione o di contatto e simili di soggetti aventi personalità giuridica (società di capitali, aziende ed enti pubblici, associazioni e fondazioni)[16] sono esclusi dall’applicazione del codice (questo non vale per le ditte individuali perché identità personale e professionale coincidono). In pratica, il campo di applicazione riguarda i dati personali di persone fisiche trattati in qualsiasi attività (professionale, economica, di interesse pubblico, associativa, ecc.) a esclusione delle sole attività della vita personale o domestica (eccezion fatta per la pubblicazione on line di dati personali di persone fisiche, anche se nell’ambito personale o domestico, in quanto si tratta di divulgazione indistinta).

I dati personali forniti o comunicati non sono solo quelli dell’interessato ma possono essere relativi a persone fisiche terze (rispetto all’interessato e al titolare del trattamento) oppure trattati da soggetti terzi (rispetto all’interessato e titolare oppure rispetto due titolari). Il GDPR definisce terzo “la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che non sia l’interessato, il titolare del trattamento, il responsabile del trattamento e le persone autorizzate al trattamento dei dati personali sotto l’autorità diretta del titolare o del responsabile”. Per il trattamento di dati relativi a terzi o forniti a terzi (comunicazione a destinatari) occorre che l’informativa lo precisi e siano definite le responsabilità nonché attestata la conformità del trattamento da parte dei titolari coinvolti.

A tutti gli stati membri UE si applicherà un insieme unico di regole. Ciascuno stato membro istituirà un’autorità sovrintendente indipendente per dare udienza ai reclami, effettuare indagini, sanzionare le infrazioni amministrative, ecc. Le autorità sovrintendenti in ciascuno stato membro collaboreranno con le altre, fornendo assistenza reciproca e organizzando operazioni congiunte. Qualora una ditta abbia più stabilimenti nell’UE, avrà un’unica autorità sovrintendente come propria “autorità principale”, sulla base dell’ubicazione del proprio “stabilimento principale” (ossia il posto dove hanno luogo le principali attività di gestione). L’autorità principale agirà quale “sportello unico” per supervisionare tutte le attività di gestione dati di quella ditta nell’UE[19][20] (Articoli 46 – 55 del GDPR). Il Comitato europeo della protezione dati (EDPB, European Data Protection Board) coordinerà le autorità sovrintendenti. L’EDPB andrà a sostituire il gruppo di lavoro dell’Articolo 29.

Vi sono eccezioni nel caso di dati elaborati in un contesto di impiego e di dati elaborati a scopo di sicurezza nazionale, che potrebbero ancora essere soggetti ai regolamenti delle singole nazioni (Articoli 2(2)(a) e 82 del GDPR).

Il principio di responsabilità legato al trattamento dei dati personali resta ancorato (come nel Codice per la protezione dei dati personali) ad un concetto di responsabilità per esercizio di attività pericolosa con una valutazione ex ante in concreto ed una sostanziale inversione dell’onere della prova. Per non rispondere del danno commesso derivante dal trattamento dei dati personali occorre sostanzialmente provare di aver fatto tutto il possibile per evitarlo. Il Regolamento aggancia e sviluppa questo tipo di responsabilità verso il concetto di Responsabilizzazione (art. 5 co. 2). Occorre osservare i principi applicabili al trattamento dei dati personali di cui all’articolo 5 adempiendo alle relative obbligazioni ed essere in grado di comprovarlo. In particolare, secondo l’articolo 5, il trattamento dei dati deve essere lecito (5.a), con finalità determinate (come archiviazione, ricerca scientifica, statistica, 5.b), limitato all’uso (“minimizzazione dei dati”, 5.c) ed esatto, aggiornato (5.d).

Similmente al precedente Codice 196/03 rimane la possibilità per il titolare di condividere le responsabilità o le funzioni di trattamento tra[21]:

  • incaricato (vecchia dizione della 196 che sul GDPR è presente come “persone autorizzate al trattamento dei dati personali sotto l’autorità diretta del titolare o del responsabile”);
  • responsabile (anche esterno);
  • con-titolare;
  • altro titolare autonomo.

La scelta tra i casi di responsabile esterno, contitolare o titolare autonomo talvolta non è agevole (alcune situazioni sono oggettivamente complesse, al di là delle semplici definizioni di legge e vi sono linee interpretative diverse tra gli esperti) e determinano situazioni di disaccordo tra organizzazioni.

La definizione di responsabilità tra due titolari o tra titolare e responsabile (in particolare se esterno) è importante per tutelare i dati personali di terzi (cioè persone fisiche terze rispetto al rapporto tra i due soggetti, tipicamente organizzazioni) che si scambiano dati (o qualsiasi altra operazione di trattamento) di persone fisiche (cioè gli interessati).