Negli ultimi anni si è molto parlato di tutela dei dati personali e sulle implicazioni dal punto di vista del lavoro quotidiano delle aziende delle complesse normative ad essa collegate. Si è iniziato a parlare della questione nel lontano 1996 fino all'approvazione dell'ormai noto Codice Privacy con il Decreto Legislativo n. 196 nel 2003. Tuttavia, in un mondo ormai iperconnesso dove è molto semplice e veloce trasferire enormi moli di dati fuori dai confini nazionali, è evidente che pensare ad una legislazione per singolo Stato non è più possibile. A tal proposito, l'UE ha iniziato un dibattito durato a lungo su come uniformare le diverse normative nazionali: a fine 2015 è stato approvato definitivamente il nuovo General Data Protection Regulation (GDPR), Regolamento valido in tutti gli Stati aderenti all'Unione Europea.
Il prossimo 25 maggio 2018 sarà definitivamente operativo il nuovo GDPR, Regolamento UE 2016/679, pubblicato sulla Gazzetta Europea il 4 maggio 2016, che sostituirà tutte le normative nazionali attualmente vigenti uniformando il trattamento dei dati personali a livello europeo.
Dall'approvazione, infatti, sono stati concessi 2 anni di tempo a tutti i Titolari di Trattamento di Dati Personali per adeguarsi a quanto previsto dal Regolamento stesso. Il tempo a disposizione sta quindi per scadere. E no, non ci saranno e non possono esserci deroghe a tale data per la natura dello strumento giuridico utilizzato, il Regolamento appunto, che non deve essere recepito dallo Stato membro, ma che entra automaticamente in vigore alla data stabilita.
E se nella vostra azienda non avete fatto ancora nulla, be’ siete precisamente nelle stesse condizioni del 93% delle aziende italiane (fonte Garante Privacy del gennaio 2018).
Tuttavia, le sanzioni previste saranno molto salate: immagina di essere multato con una sanzione pecuniaria di 10 milioni di euro o del 2% del tuo fatturato globale annuo, a seconda di quale sia il maggiore, per la mancata conformità al GDPR....
L’obiettivo principale del GDPR è proteggere i diritti di proprietà individuale dei cittadini UE e, rispetto alla precedente legislazione sulla privacy, la nuova legislazione amplia sensibilmente la definizione di ciò che costituisce i dati personali e privati fino a includere non solo la documentazione finanziaria, della pubblica amministrazione e medica ma anche le informazioni di natura genetica, culturale e sociale. Con il GDPR le aziende devono ottenere il consenso esplicito di una persona prima di poter utilizzarne i dati personali e devono altresì onorare il loro "diritto all’oblio", inteso come il diritto ad avere i propri dati personali eliminati dall’azienda che li detiene, su richiesta.
Le aziende sono anche tenute a soddisfare diversi altri requisiti per dimostrare la propria conformità continua al GDPR, nominando una persona responsabile delle questioni GDPR per l’azienda (il cosiddetto "responsabile della protezione dei dati"), segnalando qualsiasi incidente di violazione della sicurezza e archiviando i dati personali all’interno dei confini fisici della UE. Quest’ultima prescrizione rispecchia la preoccupazione della UE per il fatto che gli altri paesi al di fuori della UE possano non disporre di standard altrettanto elevati per la privacy dei dati dei cittadini e che i dati archiviati al di fuori della UE siano maggiormente a rischio di vigilanza da parte di agenzie governative di spionaggio e criminali.