Privacy e GDPR

Il GDPR (Regolamento Generale sulla Protezione dei Dati) è una normativa dell’Unione Europea entrata in vigore il 25 maggio 2018, che stabilisce regole per la protezione dei dati personali dei cittadini UE. Si applica a tutte le organizzazioni, sia pubbliche che private, che trattano dati personali di individui residenti nell’UE, indipendentemente dalla loro ubicazione geografica.

Le aziende devono:

• Ottenere il consenso esplicito per il trattamento dei dati personali.
• Fornire informative chiare e trasparenti agli interessati.
• Garantire i diritti degli interessati, come accesso, rettifica e cancellazione dei dati.
• Implementare misure di sicurezza adeguate per proteggere i dati.
• Notificare le violazioni dei dati (data breach) alle autorità competenti entro 72 ore.

Tutte le aziende che trattano dati personali devono tenere il Registro delle Attività di Trattamento. Questo documento descrive le operazioni di trattamento dei dati personali effettuate dall’organizzazione ed è fondamentale per dimostrare la conformità al GDPR. Anche le PMI che trattano dati su base occasionale sono tenute a compilarlo se trattano categorie particolari di dati (es. dati sanitari, biometrici) o effettuano trattamenti su larga scala.

La nomina di un DPO è obbligatoria nei seguenti casi:

• Se il trattamento dei dati è effettuato da un’autorità pubblica o da un organismo pubblico (esclusi i tribunali quando esercitano funzioni giurisdizionali).
• Se l’attività principale dell’organizzazione consiste in trattamenti che richiedono il monitoraggio regolare e sistematico degli interessati su larga scala (es. profilazione, marketing online, videosorveglianza estesa).
• Se l’azienda tratta su larga scala categorie particolari di dati (es. dati sanitari, dati genetici, dati biometrici) o dati relativi a condanne penali e reati.

Le sanzioni per la violazione del GDPR possono raggiungere fino a 20 milioni di euro o il 4% del fatturato globale annuo dell’azienda, a seconda di quale sia l’importo maggiore.

È consigliabile, ovviamente, rivolgersi a noi, al fine di:

• Effettuare una valutazione completa dei trattamenti di dati personali.
• Redigere e mantenere aggiornato il Registro delle Attività di Trattamento.
• Formare il personale sulle normative GDPR.
• Implementare misure di sicurezza adeguate.
• Nominare un DPO, se obbligatorio.

Sì. La presenza delle telecamere va sempre segnalata con apposito cartello informativo ben visibile, anche se la registrazione avviene in un’area interna e non accessibile al pubblico. Il cartello deve contenere tutte le informazioni previste dal GDPR e dal Provvedimento del Garante dell’8 aprile 2010. L’assenza del cartello è sanzionabile.

È ammessa solo se prevista da una specifica valutazione d’impatto (DPIA) e regolamentata da un’apposita informativa ai dipendenti. Serve inoltre l’accordo sindacale o l’autorizzazione dell’Ispettorato del Lavoro (come per la videosorveglianza), in quanto può comportare un controllo a distanza del lavoratore.

Sì, ma solo con consenso esplicito e documentato da parte dell’interessato, separato da altri consensi (es. per finalità contrattuali). Il marketing senza consenso, anche via e-mail, SMS o telefonate, è illecito.