GDPR: le domande più frequenti degli imprenditori

Hai sentito sicuramente parlare del GDPR ma non sei sicuro se il Regolamento Generale per la Protezione del Dato personale coinvolge anche il tuo business e quali sono le misure da adottare affinchè la tua azienda non incorra in sanzioni.

Se ti trovi in questa situazione, continua a leggere le risposte alle domande più frequenti relative al GDPR!

Cosa è il GDPR? Spiegazione brevissima

IL GDPR è un regolamento europeo che entrerà in vigore a maggio 2018.

Si applica a tutte le aziende che fanno un trattamento di dati, sia in modo manuale sia automatizzato.

Il GDPR prevede molte più sanzioni e adempimenti da svolgere.

Il GDPR mi riguarda?

Si, se la tua azienda raccoglie e tratta i dati di cittadini europei.

Il GDPR si applica a tutte le organizzazioni situate all'interno dell'UE che trattano ed elaborano dati personali di individui residenti nell'Unione Europea.

Ma non solo. Si applica anche alle organizzazioni situate al di fuori dell'UE se offrono beni o servizi a soggetti interessati dell'Unione Europea.

Il GDPR riguarda dunque tutte le società che trattano e conservano i dati personali degli interessati residenti nell'Unione Europea, indipendentemente dalla sede della società.

Quando entrerà in vigore il GDPR?

Il regolamento generale sulla protezione dei dati è stato approvato e pubblicato sulla Gazzetta Ufficiale Europea il 4 maggio 2016.

La data ultima per adeguarsi al GDPR è il 25 maggio 2018.

Cosa si intende per dato personale?

IL GDPR ha rivisto la definizione di dato personale, ampliandone il significato.

Con dato personale si intende qualsiasi informazione relativa ad una persona fisica che permette, direttamente o indirettamente, di identificarla.

Alcuni esempi di dato personale: nome, cognome, foto, indirizzo email, dettagli bancari, post sui siti web di social network, informazioni mediche, dati genetici, dati biometrici, l' indirizzo IP del computer e tanti altri.

Quali sono le sanzioni se non mi adeguo al GDPR?

Le organizzazioni possono essere multate fino al 4% del fatturato globale annuale per aver violato il GDPR o 20 milioni di euro.

Questa è la sanzione massima che può essere imposta per le violazioni più gravi, ad esempio se l'azienda elabora i dati senza avere il consenso del cliente.

Ho raccolto degli indirizzi email e numeri di telefono durante un evento. Cosa posso farne?

La prima distinzione da fare è comprendere se si tratta di un'email di una persona fisica o di una persona giuridica.

Per una persona giuridica posso fare un trattamento del dato senza incorrere in particolari criticità.

Per la persona fisica al primo contatto utile dovrò condividere l'informativa ex art. 13 (ovvero l'informativa in cui viene specificato le finalità del trattamento, le modalità, se il conferimento dati è facoltativo o obbligatorio, se i dati saranno comunicati a terze parti, il nome del titolare del trattamento dati).

In questo modo l'acquisizione non perfettamente regolare del dato personale viene messa a norma.

Una volta ottenuto il consenso, posso mandare newsletter e comunicazioni?

Si, a patto che il consenso ottenuto abbia determinate caratteristiche. Il consenso deve infatti essere libero, esplicito, consapevole, informato.

Nel consenso deve risultare in modo esplicito che tale consenso era finalizzato all'invio della newsletter.

Il garante prevede un consenso esplicito per ogni tipologia di attività: ad esempio, se si vuole inviare la newsletter, ci dovrà essere il consenso con la richiesta "vuoi ricevere la mia newsletter"; se voglio trasmettere i dati personali a terze parti ci dovrà essere scritto una formula tipo "acconsenti a cedere i tuoi dati ai miei partner o soggetti terzi".

Si devono raccogliere tutti i consensi necessari distinti tra loro.

La mia azienda deve nominare il DPO?

Secondo l'articolo 37, il DPO (Data Protection Officer) deve essere nominato se sussite una di queste condizioni:

se il trattamento è svolto da un'autorità pubblica o da un organismo pubblico, con l'eccezione delle autorità giudiziarie nell'esercizio delle funzioni giurisdizionali
se le attività principali del titolare o del responsabile consistono in trattamenti che richiedono il monitoraggio regolare e sistematico di interessati su larga scala
se le attività principali del titolare o del responsabile consistono nel trattamento su larga scala di categorie particolari di dati o di dati personali relativi a condanne penali e reati

Se la tua azienda non rientra in una di queste tre casistiche, non hai necessità di nominare il DPO. Sarà poi una tua scelta decidere di nominarlo anche se non vi è l'obbligo.

Cosa deve fare l'azienda per essere compliant e non incorrere in sanzioni?

proteggere i dati personali dei clienti così da impedire accessi non autorizzati
munirsi di strumenti tecnologici che monitorino e prevengano attacchi informatici
controllare in modo sistematico l'accesso ai dati e tracciare tale accesso

Quale tecnologia devo adottare?

La GDPR stabilisce una serie di standard e di requisiti da rispettare ma non sabilisce le tecnologie e i processi da utilizzare.

Ogni società è dunque libera di individuare le misure tecniche e organizzative più idonee per essere conforme al regolamento.

ALYFA consiglia soluzione di crittografia, storage, disaster recovery e gestione dell'archiviazione. Se non hai ancora adottato gi strumenti per metterti in regola, contattaci.