Il regolamento generale sulla protezione dei dati (GDPR, General Data Protection Regulation) entrerà in vigore a partire dal 25 maggio 2018. Tutte le aziende che gestiscono dati di proprietà di cittadini europei dovranno aderirvi, indipendentemente dalla loro ubicazione.

Il GDPR è volto a unificare e migliorare le norme sulla protezione dei dati dei cittadini UE. Per conformarsi al GDPR, le organizzazioni dovranno migliorare la gestione di persone e processi, monitorando il loro utilizzo dei dati.

Le nuove tecnologie e la globalizzazione hanno avuto un forte impatto sul modo in cui la maggior parte delle aziende lavorano: quasi tutte le organizzazioni oggi gestiscono infatti i dati personali degli utenti. Tali dati potrebbero essere sfruttati in modi potenzialmente dannosi per gli utenti, come dimostrato dalla recente impennata degli attacchi informatici, che ha interessato non solo le piccole aziende, ma anche grandi realtà imprenditoriali.

Cosa sono i dati personali? Qualsiasi informazione può essere usata per identificare il soggetto interessato: nome, indirizzo e-mail, post sui social media, informazioni sanitarie, luogo di residenza, coordinate bancarie, indirizzo IP, cookie, etc.

Quali sono i cambiamenti di cui essere al corrente?

• Sanzioni:
  la mancata conformità con il GDPR comporterà elevate sanzioni pecuniarie fino al 4% del fatturato annuo globale o pari a 20 milioni di euro, a seconda di quale dei due importi sia superiore.

• Applicabilità extraterritoriale:
  il GDPR si applica a tutte le aziende e le organizzazioni che gestiscono dati personali di cittadini dell'UE, indipendentemente dalla loro ubicazione.

• Privacy by design:
  la protezione dei dati non potrà più essere considerata un compito supplementare, ma dovrà essere una funzionalità predefinita dei sistemi utilizzati dalle aziende.

• Consenso:
  il GDPR prevede che le aziende si facciano carico di chiedere agli interessati il consenso per la gestione dei loro dati e la possibilità di revocarlo.

• Diritto di accesso e diritto all'oblio:
  fornire agli interessati una copia dei dati e le informazioni su dove vengono memorizzati; oltre a cancellare o interrompere su richiesta la condivisione dei dati con terze parti.

• Portabilità dei dati:
  Le persone interessate avranno il diritto di trasferire i propri dati da un titolare del trattamento a un altro; le aziende dovranno essere in grado di condividere i dati in un formato di uso comune.

• Responsabili della protezione dei dati:
  le organizzazioni che gestiscono dati personali saranno tenute a nominare un RPD. Tale figura potrà essere un membro dello staff, una persona assunta allo scopo o un contraente esterno.

• Notifiche di violazione:
  le aziende avranno l'obbligo di informare sia i clienti sia i titolari del trattamento dei dati in caso di violazione dei dati, entro 72 ore dal momento in cui tale violazione si è verificata.