 |
Se stai cercando di comprendere meglio tutti gli aspetti del GDPR (General Data Protection Regulation), probabilmente ti sarai accorto che leggerlo dall'articolo 1 al 99 è il modo più rapido per farsi venire il mal di testa. Il segreto per renderlo più semplice è capirne la struttura. Il GDPR non è un elenco casuale di regole, ma un percorso logico diviso in 11 Capi.
📋 Indice della Guida
🔗 Ti piace Techelopment? Dai un'occhiata al sito per tutti i dettagli!
📌 Capo I: Principi Generali (Artt. 1 - 4)
Il "perché" e il "per chi" del regolamento.
- Art. 1 (Oggetto e obiettivi): Proteggere i dati personali delle persone fisiche e garantire la libera circolazione di questi dati nell'UE.
- 💡 Esempio: Permettere a un ospedale francese di accedere alla tua cartella clinica se ti senti male mentre sei in vacanza a Parigi, impedendo però che un'azienda privata compri quegli stessi dati a tua insaputa.
- Art. 2 & 3 (Ambito di applicazione): Si applica a qualsiasi trattamento automatizzato (o cartaceo organizzato). Vale per aziende UE, ma anche per aziende extra-UE che offrono servizi o monitorano comportamenti di cittadini nell'UE (principio di extraterritorialità).
- 💡 Esempio: Meta o TikTok (aziende americane/cinesi) devono rispettare rigorosamente il GDPR quando un cittadino italiano si iscrive alle loro piattaforme dall'Europa.
- Art. 4 (Definizioni fondamentali): Le parole chiave da sapere a memoria:
- Dato personale: Qualsiasi info che identifica una persona (nome, IP, geolocalizzazione).
- 💡 Esempio: Anche la targa della tua auto o l'indirizzo IP del tuo computer sono dati personali, perché permettono di risalire a te.
- Trattamento: Qualsiasi operazione sui dati (raccolta, memorizzazione, cancellazione).
- 💡 Esempio: Anche il semplice gesto di un'azienda che inserisce il tuo numero di telefono in un database Excel è considerato "trattamento".
- Titolare (Data Controller): Chi decide perché e come trattare i dati (l'azienda).
- 💡 Esempio: La tua banca. È lei che stabilisce quali dati chiederti obbligatoriamente per aprirti un conto corrente.
- Responsabile (Data Processor): Chi tratta i dati per conto del titolare (es. il servizio di cloud hosting).
- 💡 Esempio: La società esterna proprietaria dei server fisici a cui la banca si appoggia per memorizzare i file dei clienti.
📌 Capo II: I Principi Fondamentali (Artt. 5 - 11)
I comandamenti che chiunque tratti dati deve rispettare.
- Art. 5 (I 6 Principi del trattamento):
- Liceità, correttezza e trasparenza. (💡 Esempio: Non nascondere l'uso che farai dei dati dentro clausole scritte in piccolo).
- Limitazione della finalità (raccogli i dati solo per uno scopo preciso). (💡 Esempio: Se un'app di fotoritocco ti chiede l'accesso alla lista dei contatti, sta violando questo principio).
- Minimizzazione dei dati (raccogli solo lo stretto necessario). (💡 Esempio: Un sito di e-commerce non ha bisogno di sapere il tuo orientamento religioso per spedirti un paio di scarpe).
- Esattezza (i dati devono essere aggiornati). (💡 Esempio: Se un cliente cambia casa, l'azienda deve correggere l'indirizzo per evitare di inviare fatture riservate al vecchio inquilino).
- Limitazione della conservazione (cancella i dati quando non servono più). (💡 Esempio: Un'università non può conservare i dati del tuo conto corrente per 30 anni dopo che ti sei laureato).
- Integrità e riservatezza (sicurezza informatica). (💡 Esempio: Proteggere i computer aziendali con password robuste e crittografia per evitare furti di dati).
Nota: L'articolo introduce anche il principio di Accountability (Responsabilizzazione): il titolare deve dimostrare di aver rispettato questi punti.
- Art. 6 (Basi giuridiche): Non puoi trattare dati "perché sì". Serve una di queste 6 condizioni: Consenso, Contratto, Obbligo di legge, Salvaguardia di interessi vitali, Interesse pubblico, Legittimo interesse. La base giuridica è la giustificazione legale obbligatoria che rende lecito il trattamento dei dati personali. Il GDPR (Art. 6) ne prevede sei principali:
- Consenso: l'utente ha accettato esplicitamente.
- Contratto: i dati servono per eseguire un accordo o un preventivo.
- Obbligo di legge: i dati vanno trattati per rispettare una normativa (es. fatturazione).
- Interesse vitale: serve a salvare una vita umana.
- Interesse pubblico: legato a compiti istituzionali o di pubblica utilità.
- Legittimo interesse: il titolare ha un motivo valido che non lede i diritti dell'utente.
- 💡 Esempio: Spedirti un pacco a casa si basa sul Contratto; emettere la fattura si basa sull'Obbligo di legge; inviarti sconti promozionali sul telefono richiede il tuo Consenso.
La base giuridica risponde alla domanda:
"perché ho il diritto legale di trattare questi dati?"
- Artt. 7 - 10 (Consenso e Dati Particolari): Il consenso al trattamento dei dati è valido solo se è dimostrabile dal titolare e se la richiesta è formulata in modo chiaro e separato da altri testi. L'utente ha il diritto di revocare il proprio assenso in qualsiasi momento e con la stessa facilità con cui lo ha concesso. Infine, il consenso deve essere pienamente libero, il che significa che l'erogazione di un servizio non può mai essere condizionata alla cessione di dati non strettamente necessari (Art. 7). Regole per il consenso dei minori (Art. 8) e divieto generale (con eccezioni) di trattare i dati sensibili (Art. 9 - orientamento politico, religioso, dati sanitari, biometrici) e giudiziari (Art. 10).
- 💡 Esempio: Un datore di lavoro non può chiederti per quale partito voti o se soffri di una determinata patologia, a meno che non sia strettamente necessario per visite mediche aziendali obbligatorie.
📌 Capo III: I Diritti dell'Interessato (Artt. 12 - 23)
Il nucleo del GDPR: cosa posso pretendere io, cittadino, dalle aziende?
- Artt. 13 & 14 (Informativa): Il diritto di sapere chi ha i miei dati e cosa ne fa (l'informativa privacy).
- 💡 Esempio: Quel documento chiaro e trasparente che leggi e firmi quando ti iscrivi in palestra o vai da un nuovo medico.
- Art. 15 (Diritto di accesso): Posso chiedere a un'azienda: "Che dati avete su di me? Sputate il rospo".
- 💡 Esempio: Inviare un'email a un social network chiedendo di ricevere un file contenente tutti i messaggi, i Mi Piace e le ricerche che hai effettuato da quando hai aperto il profilo.
- Artt. 16 & 17 (Rettifica e Oblio): Posso correggere i dati errati o chiederne la cancellazione definitiva (Diritto all'Oblio).
- 💡 Esempio: Chiedere a Google di deindicizzare (rimuovere dai risultati di ricerca) un vecchio articolo di cronaca che parla di un reato da cui sei stato completamente scagionato dieci anni fa.
- Art. 18 & 21 (Limitazione e Opposizione): Posso dire di "congelare" i miei dati mentre vengono svolti degli accertamenti o oppormi in qualsiasi momento all'uso dei miei dati (come il marketing diretto per cui l'azienda deve cessare immediatamente il trattamento per queste finalità).
- 💡 Esempio: Cliccare sul link “Disiscriviti” in fondo a una newsletter commerciale. L'azienda deve smettere subito di scriverti per scopi pubblicitari.
- Art. 20 (Portabilità): Posso chiedere i miei dati in un formato leggibile (es. un file .CSV) per trasferirli a un concorrente (es. da un operatore telefonico all'altro).
- 💡 Esempio: Chiedere al tuo fornitore di energia elettrica di darti lo storico dei tuoi consumi in formato digitale per caricarlo sul sito di un altro fornitore e confrontare le tariffe.
- Art. 22 (Processi decisionali automatizzati): Ho il diritto di non essere giudicato esclusivamente da un algoritmo o da un'IA (profilazione selvaggia) senza intervento umano.
- 💡 Esempio: Se richiedi un prestito online e un software rifiuta la tua pratica in automatico basandosi sul tuo profilo, puoi pretendere che la decisione venga riesaminata da una persona in carne e ossa.
📌 Capo IV: Titolare e Responsabile (Artt. 24 - 43)
Gli obblighi tecnici e pratici per le imprese.
- Art. 25 (Privacy by Design & by Default): La protezione dati va progettata prima di creare un software o un servizio (Design), e le impostazioni di base devono essere sempre le più restrittive possibili (Default).
- 💡 Esempio: Quando scarichi una nuova app, la condivisione della tua posizione GPS e la visibilità pubblica del tuo profilo devono essere disattivate "di fabbrica". Sarai tu ad attivarle se lo vorrai.
- Art. 30 (Registro dei trattamenti): Il "diario di bordo" dove l'azienda scrive che dati ha, perché e dove li conserva, chi vi ha accesso. Obbligatorio sopra i 250 dipendenti (o sotto, se il trattamento è a rischio).
- 💡 Esempio: Un documento interno dell'azienda in cui è mappato tutto: "Trattiamo i dati dei dipendenti (nomi, IBAN) per pagare gli stipendi, li conserviamo sul server X e vi accede solo l'ufficio Risorse Umane".
- Artt. 32, 33 & 34 (Sicurezza e Data Breach): Misure di sicurezza adeguate (Art. 32): Pseudonimizzazione e Cifratura, Riservatezza, Integrità, Disponibilità e Resilienza, Disaster Recovery (Ripristino tempestivo), Testing e Valutazione regolare. In caso di attacco hacker o perdita dati (Data Breach), il titolare deve notificarlo al Garante entro 72 ore (Art. 33) e, se il rischio è alto, anche agli utenti (Art. 34).
- 💡 Esempio: Se i server di un hotel vengono violati e vengono rubate le carte di credito dei clienti, l'hotel ha 3 giorni di tempo per dirlo all'autorità e deve avvisare via email i clienti colpiti affinché blocchino le carte.
- Art. 35 (DPIA - Valutazione di Impatto): Un'analisi dei rischi obbligatoria prima di avviare trattamenti molto invasivi (es. videosorveglianza di massa).
- 💡 Esempio: Un Comune vuole installare telecamere dotate di riconoscimento facciale in tutta la città. Prima di farlo, deve redigere una DPIA per capire l'impatto sulle libertà dei passanti.
- Artt. 37 - 39 (Il DPO - Data Protection Officer): Il Responsabile della Protezione dei Dati. Una figura indipendente, obbligatoria nella PA e nelle aziende che monitorano dati su larga scala, che fa da consulente e da ponte con il Garante.
- 💡 Esempio: In un grande ospedale, il DPO è l'esperto a cui i medici si rivolgono se hanno un dubbio (es. "Possiamo mandare questo referto al paziente via WhatsApp?") ed è colui che vigila sul rispetto delle regole.
📌 Capo V: Trasferimenti Internazionali (Artt. 44 - 50)
Cosa succede se i dati escono dall'Europa?
I dati dei cittadini UE possono essere trasferiti all'estero solo se il paese terzo garantisce tutele adeguate. Gli strumenti principali sono:
- Decisioni di adeguatezza (Art. 45): La Commissione UE dichiara che un paese (es. il Canada) è sicuro.
- 💡 Esempio: L'UE stabilisce che la Svizzera ha leggi sulla privacy forti tanto quanto le nostre. Un'azienda italiana può quindi inviare dati in Svizzera senza dover richiedere permessi speciali.
- Garanzie adeguate (Art. 46): Clausole contrattuali standard (SCC) firmate tra le aziende.
- 💡 Esempio: Se un'azienda italiana usa un software di marketing con server negli USA, deve firmare un contratto contenente queste clausole speciali per obbligare l'azienda americana a trattare i dati secondo gli standard europei.
📌 I Capi "Istituzionali" (Capo VI - XI)
Questa è la parte amministrativa e burocratica. Meno incentrata sui dati e più sul funzionamento delle autorità.
- Capo VI (Artt. 51 - 59) - Autorità di controllo: Istituisce i Garanti Privacy nazionali (in Italia, il Garante per la protezione dei dati personali).
- 💡 Esempio: L'ufficio del Garante Privacy a Roma, che riceve le segnalazioni dei cittadini, fa le ispezioni nelle aziende e decide le sanzioni.
- Capo VII (Artt. 60 - 76) - Cooperazione e coerenza: Regola il meccanismo dello "Sportello Unico" (One-Stop-Shop) e crea l'EDPB (European Data Protection Board), il comitato che unisce tutti i Garanti UE per assicurare che la legge sia applicata nello stesso modo ovunque.
- 💡 Esempio: Se un social network con sede legale in Irlanda commette una violazione che colpisce gli utenti italiani, il Garante italiano e quello irlandese collaborano per emettere una sola sanzione valida per tutta l'Unione.
- Capo VIII (Artt. 77 - 84) - Ricorsi e Sanzioni: Il diritto di fare reclamo al Garante (Art. 77) e le famose sanzioni pecuniarie (Art. 83), che possono arrivare fino a 20 milioni di euro o al 4% del fatturato mondiale annuo dell'azienda.
- 💡 Esempio: Le maxi-multe da centinaia di milioni di euro inflitte negli anni a colossi del web per aver tracciato i cookie pubblicitari degli utenti senza un consenso valido.
- Capi IX, X, XI (Artt. 85 - 99) - Disposizioni specifiche e finali: Regolano i rapporti tra privacy e libertà di espressione (giornalismo), accesso ai documenti pubblici e norme di attuazione.
💡 Consiglio
Non cercare di ricordare i numeri di tutti i 99 articoli. Concentrati sui "Big": Art. 5 (Principi), Art. 6 (Basi giuridiche), Art. 9 (Dati particolari), Art. 17 (Oblio), Art. 25 (Design/Default), Art. 32/33 (Sicurezza e Data Breach) e Art. 37 (DPO). Se hai chiari questi, hai in mano l'80% del GDPR!
Follow me #techelopment
Official site: www.techelopment.it
facebook: Techelopment
instagram: @techelopment
X: techelopment
Bluesky: @techelopment
telegram: @techelopment_channel
whatsapp: Techelopment
youtube: @techelopment
