GDPR e diritti degli interessati

Il General Data Protection Regulation (GDPR) è una normativa dell'Unione europea sulla privacy, entrata in vigore il 25 maggio 2018. Disciplina il modo in cui le organizzazioni raccolgono, conservano, trattano e condividono i dati personali degli abitanti dell'UE, indipendentemente dal luogo in cui ha sede l'organizzazione. Un'azienda statunitense che raccoglie dati dai visitatori di un sito web dell'UE deve rispettare il GDPR. Le violazioni comportano sanzioni fino a 20 milioni di euro o al 4% del fatturato annuo globale, a seconda di quale importo sia maggiore, rendendo il GDPR una delle normative sulla privacy più rilevanti a livello mondiale.

Il GDPR introduce una terminologia specifica. I dati personali sono tutte le informazioni relative a una persona fisica identificata o identificabile (l'interessato). Il titolare del trattamento determina le finalità e i mezzi del trattamento, in genere l'organizzazione che raccoglie i dati. Il responsabile del trattamento tratta i dati per conto del titolare (provider cloud, fornitori di servizi di analisi). Il trattamento comprende qualsiasi operazione eseguita sui dati personali: raccolta, conservazione, modifica, trasferimento o cancellazione. Comprendere questi ruoli è fondamentale perché il GDPR assegna obblighi diversi ai titolari e ai responsabili del trattamento.

Le organizzazioni devono individuare una base giuridica prima di trattare i dati personali. Il GDPR ne definisce sei: consenso (liberamente prestato, specifico, informato e inequivocabile); contratto (necessario per adempiere a un contratto con l'interessato); obbligo legale (previsto dalla legge); interessi vitali (protezione della vita di una persona); compito di interesse pubblico (interesse pubblico o esercizio di pubblici poteri); e legittimo interesse (bilanciato con i diritti dell'interessato). Il consenso deve soddisfare requisiti rigorosi: le caselle preselezionate non sono valide.

L'articolo 5 del GDPR stabilisce sette principi. Liceità, correttezza e trasparenza: i dati devono essere trattati in modo lecito e trasparente. Limitazione della finalità: i dati raccolti per uno scopo non possono essere riutilizzati senza una nuova base giuridica. Minimizzazione dei dati: si deve raccogliere solo ciò che è strettamente necessario. Esattezza: i dati devono essere mantenuti aggiornati. Limitazione della conservazione: i dati non devono essere conservati più a lungo del necessario. Integrità e riservatezza: devono essere applicati controlli di sicurezza adeguati. Responsabilizzazione: le organizzazioni devono essere in grado di dimostrare la conformità.

Il GDPR concede agli individui (interessati) diversi diritti esercitabili. Il diritto di accesso (articolo 15) consente di richiedere una copia di tutti i dati personali che un'organizzazione detiene sull'interessato, insieme ai dettagli sulle finalità del trattamento, sui periodi di conservazione e sui destinatari terzi. Le organizzazioni devono rispondere entro un mese (prorogabile fino a tre mesi per le richieste complesse). Questo diritto viene esercitato tramite una procedura di Subject Access Request (SAR), che la maggior parte delle organizzazioni conformi al GDPR descrive nella propria informativa sulla privacy.

Il diritto alla cancellazione ('diritto all'oblio', articolo 17) consente di richiedere la cancellazione dei propri dati quando non sono più necessari, il consenso è stato revocato o i dati sono stati trattati illecitamente. Il diritto alla rettifica (articolo 16) consente di correggere dati inesatti o incompleti. Nessuno dei due diritti è assoluto: i dati necessari per adempiere a un obbligo legale o difendere pretese legali non devono essere cancellati. Questi diritti pongono notevoli sfide all'architettura dei dati, soprattutto nei sistemi con database replicati o archiviati.

Il diritto alla portabilità dei dati (articolo 20) consente di ricevere i propri dati personali in un formato strutturato e leggibile da una macchina (JSON, CSV) e di trasmetterli a un altro titolare, facilitando il passaggio da un fornitore di servizi a un altro. Il diritto di opposizione (articolo 21) consente di interrompere determinati trattamenti, in particolare per il marketing diretto (che deve cessare immediatamente in caso di opposizione) o per i trattamenti basati sul legittimo interesse (per i quali l'organizzazione deve dimostrare motivi cogenti per proseguire).

L'articolo 33 del GDPR impone alle organizzazioni di notificare alla propria autorità di controllo (l'autorità nazionale per la protezione dei dati, come l'ICO del Regno Unito o il BSI tedesco) entro 72 ore dal momento in cui vengono a conoscenza di una violazione di dati personali che presenta un rischio per i diritti delle persone. Se è probabile che la violazione comporti un rischio elevato per gli interessati, anche questi ultimi devono essere informati direttamente senza ingiustificato ritardo (articolo 34). Il termine di 72 ore è significativamente più breve rispetto ai termini previsti da molte leggi statali statunitensi sulla notifica delle violazioni.

Il GDPR impone ad alcune organizzazioni di nominare un Data Protection Officer (DPO): autorità pubbliche, organizzazioni che trattano dati sensibili su larga scala (sanitari, biometrici o giudiziari) o che effettuano un monitoraggio sistematico su larga scala (come la pubblicità comportamentale). Il DPO deve possedere una conoscenza specialistica della normativa sulla protezione dei dati, deve essere indipendente (non può essere sanzionato per lo svolgimento dei propri compiti di DPO) e funge da principale punto di contatto con l'autorità di controllo. Le organizzazioni non obbligate a nominare un DPO spesso lo fanno volontariamente per dimostrare la propria responsabilizzazione.

Il GDPR limita il trasferimento di dati personali verso Paesi al di fuori dell'UE/SEE, a meno che non siano presenti garanzie adeguate. Le decisioni di adeguatezza riconoscono i Paesi con livelli di protezione equivalenti (Giappone, Canada, Regno Unito dopo la Brexit, Stati Uniti nell'ambito dell'EU-US Data Privacy Framework). In assenza di una decisione di adeguatezza, le organizzazioni utilizzano le Standard Contractual Clauses (SCC) — contratti modello pre-approvati — o le Binding Corporate Rules (BCR) per i trasferimenti infragruppo all'interno delle multinazionali. I trasferimenti internazionali di dati non autorizzati sono una causa frequente di azioni di enforcement ai sensi del GDPR.

Il GDPR prevede due livelli di sanzioni amministrative. Il Livello 1 (inferiore): fino a 10 milioni di euro o al 2% del fatturato annuo globale per violazioni quali la mancata conservazione dei registri, il mancato rispetto degli obblighi di notifica delle violazioni o accordi insufficienti con i responsabili del trattamento. Il Livello 2 (superiore): fino a 20 milioni di euro o al 4% del fatturato annuo globale per violazioni fondamentali — trattamento illecito, assenza di una base giuridica o violazione dei diritti degli interessati. Tra le azioni di enforcement più note figurano le sanzioni contro Google (50 milioni di euro), Meta (1,2 miliardi di euro) e Amazon (746 milioni di euro).

In questa lezione ha imparato che il GDPR disciplina i dati personali degli abitanti dell'UE e si applica a livello globale, con sanzioni fino al 4% del fatturato globale; i sei diritti degli interessati comprendono accesso, cancellazione, rettifica, portabilità, opposizione e limitazione del trattamento; inoltre, la notifica entro 72 ore delle violazioni alle autorità di controllo è obbligatoria per le violazioni che mettono a rischio i diritti delle persone. Nella prossima lezione esamineremo HIPAA, PCI-DSS e i requisiti di conformità specifici dei diversi settori.