Il Regolamento UE numero duemilasedici barra seicentosettantanove, noto come GDPR, è il regolamento generale sulla protezione dei dati personali. È entrato in applicazione il venticinque maggio duemiladiciotto. In quanto regolamento europeo è direttamente applicabile in tutti gli Stati membri, senza bisogno di recepimento.
I SOGGETTI
L'interessato è la persona fisica a cui si riferiscono i dati personali. Il titolare del trattamento è la persona fisica o giuridica che determina le finalità e i mezzi del trattamento dei dati personali. Il responsabile del trattamento è la persona fisica o giuridica che tratta i dati personali per conto del titolare. Il DPO, Data Protection Officer, in italiano Responsabile della Protezione dei Dati, è la figura che vigila sull'osservanza del regolamento all'interno dell'organizzazione.
Il DPO è obbligatorio quando il trattamento è effettuato da un'autorità pubblica o da un organismo pubblico. È obbligatorio anche quando le attività principali del titolare o del responsabile richiedono un monitoraggio regolare e sistematico degli interessati su larga scala, oppure quando consistono nel trattamento su larga scala di categorie particolari di dati.
I PRINCIPI
I dati personali devono essere trattati in modo lecito, corretto e trasparente nei confronti dell'interessato. Devono essere raccolti per finalità determinate, esplicite e legittime. Devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati: questo è il principio di minimizzazione. Devono essere esatti e aggiornati. Devono essere conservati per un periodo non superiore a quello necessario. Devono essere trattati in modo da garantire un'adeguata sicurezza.
I DIRITTI DELL'INTERESSATO
L'interessato ha il diritto di accesso ai propri dati. Ha il diritto di rettifica dei dati inesatti. Ha il diritto alla cancellazione, il cosiddetto diritto all'oblio. Ha il diritto alla portabilità dei dati. Ha il diritto di opposizione al trattamento.
IL CONSENSO
Il consenso dell'interessato deve essere libero, specifico, informato e inequivocabile. Il consenso dei minori di sedici anni deve essere autorizzato dal titolare della responsabilità genitoriale, ma gli Stati membri possono stabilire un'età inferiore, purché non inferiore a tredici anni.
LE CATEGORIE PARTICOLARI
Sono vietati il trattamento di dati personali che rivelino l'origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, l'appartenenza sindacale, i dati genetici, i dati biometrici, i dati relativi alla salute, i dati relativi alla vita sessuale o all'orientamento sessuale, salvo le eccezioni previste dal regolamento.
IL GARANTE
In Italia l'autorità di controllo è il Garante per la protezione dei dati personali. Le sanzioni per le violazioni più gravi del GDPR possono arrivare fino a venti milioni di euro o fino al quattro per cento del fatturato mondiale annuo totale dell'esercizio precedente, se superiore.
QUIZ DA CONCORSO
Domanda: Chi determina le finalità e i mezzi del trattamento? Risposta corretta: il titolare del trattamento.
Domanda: Il GDPR è un regolamento o una direttiva? Risposta corretta: un regolamento, direttamente applicabile.
Domanda: Qual è la sanzione massima prevista dal GDPR? Risposta corretta: venti milioni di euro o il quattro per cento del fatturato mondiale annuo.