Consulenza GDPR in Ticino, Svizzera

L’acronimo sta per General Data Protection Regulation (GDPR) ed è il nuovo Regolamento europeo in materia di protezione dei dati personali in vigore dal 25 maggio 2018.

Disciplina il trattamento dei dati personali da parte di aziende private, amministrazioni pubbliche e altre organizzazioni. (Con “Trattamento” s’intende ogni attività relativa alla raccolta, l’aggregazione, l’estrazione, l’analisi, la conservazione e la condivisione di dati.) Il GDPR impone che i dati personali siano conservati ed elaborati in modo sicuro.

Il GDPR è concepito per proteggere i dati personali di chiunque viva nell’Unione Europea.

L’Unione Europea e i suoi Stati membri sono responsabili dell’applicazione del GDPR. Ogni Paese è tenuto a costituire un’Autorità Garante della Protezione dei Dati (DPA) pubblica e indipendente per applicare il GDPR, gestire i reclami presentati dai singoli individui, comminare sanzioni quando necessario, approvare codici di condotta e aumentare la consapevolezza dei suoi cittadini. I reclami dei singoli individui nei confronti delle aziende troveranno risposta presso le Autorità Garanti della Protezione dei Dati e i tribunali nazionali, congiuntamente alla Corte di giustizia dell’Unione Europea, quando necessario.

1: Riconosce agli individui alcuni nuovi diritti (es. il diritto di spostare i propri dati tra aziende e servizi diversi e il diritto di richiedere una copia dei propri dati conservati dalle aziende) e impone alle aziende/organizzazioni una maggiore trasparenza (es. devono informarvi sulla provenienza dei dati che stanno trattando e per quali finalità sono trattati e devono informarvi se vi stanno profilando).
2: Rende più semplice ed efficace il rispetto della legge (es. sanzionando le aziende o consentendo alle persone di rivolgersi direttamente a un tribunale in caso di violazione).
3: Semplifica le norme applicando la stessa identica legge in tutti gli Stati membri dell’UE ed offre alle aziende una maggiore flessibilità sulle modalità da adottare per garantire il rispetto delle norme.

I dati personali hanno un ruolo centrale nel GDPR, il regolamento non si applica infatti indiscriminatamente a tutti i dati in possesso delle aziende. In pratica con dati personali si intende qualsiasi informazione che possa consentire l’identificazione di un individuo. Poiché essa spesso essere realizzata anche riunendo insieme diversi frammenti di informazione, la definizione di dato personale è di conseguenza piuttosto ampia. Una misura delle scarpe, un hobby o un’immagine, per esempio, potrebbero essere classificati come dati personali nel caso in cui sia possibile risalire a quale persona appartengono questi elementi informativi. È bene tenere presente che non necessariamente è il data controller stesso ad essere messo in grado di eseguire l’identificazione.

Il regolamento è applicato direttamente e indistintamente in tutti i 28 Paesi dell’Unione Europea e interessa tutte le aziende private, le Istituzioni pubbliche e le organizzazioni che detengono e trattano dati personali. Questi soggetti hanno avuto oltre due anni, dal 27 aprile 2016, per adeguarsi al nuovo regolamento. Ma si applica anche alle aziende e alle organizzazioni che operano al di fuori dell’UE: se un’azienda o un’organizzazione tratta i dati personali di individui che vivono nell’UE, deve adeguarsi al GDPR, indipendentemente da dove abbia la sua sede.

Sì. Non appena un’azienda controlla o traccia il comportamento di un utente sul territorio dell’Unione Europea, il regolamento si attiverà a prescindere dalla sede dell’azienda.

1: Alcuni organismi statali, compresi i servizi di sicurezza nazionali, le forze dell’ordine e il sistema giudiziario, saranno disciplinati da normative nazionali distinte.

2: I singoli individui sono esentati se raccolgono dati per “uso personale o domestico”, ad esempio se memorizzano i contatti personali nel proprio telefono.

3: Le chiese e le associazioni religiose possono mantenere i propri corpus normativi a tutela dei dati personali e le relative autorità di controllo indipendenti, a condizione che tali norme siano in linea con il GDPR.

Se non vi adeguate al GDPR, l’Autorità Garante della Protezione dei Dati può sanzionarvi. Potrebbe avvenire come conseguenza di un reclamo presentato da un singolo soggetto o di un controllo deciso dall’Autorità stessa. L’Autorità Garante della Protezione dei Dati deve far sì che la sanzione in ogni singolo caso sia efficace, proporzionata e dissuasiva. La DPA terrà in considerazione, tra le altre cose, la natura e la gravità della violazione, il livello di negligenza associata, se sono state intraprese azioni per mitigare il danno e il bilancio dell’azienda/organizzazione. Le sanzioni possono raggiungere il 4% del fatturato annuale dell’azienda, arrivando fino a 20 milioni di Euro, applicando il valore più elevato tra i due criteri.

I nostri consulenti, al fine di potervi assistere nel miglior modo possibile, hanno effettuato centinaia di ore di corsi di formazione ed hanno superato positivamente decine di esami specifici. Siamo a vostra disposizione per fornirvi delucidazioni sul regolamento GDPR o per supportarvi nel percorso di certificazione.