Fondamenti di GDPR e KVKK

Il GDPR (Regolamento generale sulla protezione dei dati dell'UE, 2018) e la KVKK turca (legge n. 6698, 2016) sono i due quadri normativi trattati in questa lezione. La KVKK è stata fortemente modellata sull'approccio dell'UE, quindi i principi fondamentali sono molto simili.

Entrambi disciplinano il trattamento dei dati personali, riconoscono alle persone diritti ampi e prevedono sanzioni significative.

Entrambe le leggi definiscono i ruoli fondamentali:

• Interessato (KVKK: ilgili kisi): la persona cui si riferiscono i dati
• Titolare del trattamento (KVKK: veri sorumlusu): decide perché e come vengono trattati i dati
• Responsabile del trattamento (KVKK: veri isleyen): tratta i dati per conto del titolare

Il titolare del trattamento resta il principale responsabile, anche quando il lavoro è affidato esternamente a un responsabile del trattamento.

L'articolo 5 del GDPR stabilisce principi che la KVKK rispecchia:

• Liceità, correttezza e trasparenza
• Limitazione della finalità: utilizzare i dati solo per le finalità dichiarate
• Minimizzazione dei dati: raccogliere solo ciò che è necessario
• Esattezza
• Limitazione della conservazione: conservare i dati non più a lungo del necessario
• Integrità e riservatezza (sicurezza)
• Responsabilizzazione: poter dimostrare la conformità

Non può trattare dati personali senza una base giuridica. L'articolo 6 del GDPR ne elenca sei:

• Consenso
• Contratto
• Obbligo legale
• Interessi vitali
• Compito di interesse pubblico
• Legittimi interessi

La KVKK prevede un insieme analogo. Il consenso è solo un'opzione e spesso non è la migliore, perché può essere revocato in qualsiasi momento.

Quando il trattamento si basa sul consenso, questo deve essere:

• Prestato liberamente
• Specifico per una finalità
• Informato
• Inequivocabile, espresso mediante un'azione positiva chiara

Le caselle preselezionate, il consenso accorpato e il silenzio non sono validi. Revocare il consenso deve essere facile quanto prestarlo.

Le persone hanno diritti esigibili:

• Accesso: una copia dei propri dati
• Rettifica: correggere le inesattezze
• Cancellazione (diritto all'oblio)
• Limitazione del trattamento
• Portabilità: ricevere i dati in un formato leggibile da una macchina
• Opposizione, anche alla profilazione

Le richieste devono in genere ricevere risposta entro un termine prestabilito (GDPR: un mese).

La responsabilizzazione richiede documentazione. I titolari del trattamento mantengono un Registro delle attività di trattamento (RoPA) che descrive quali dati vengono trattati, perché, dove vengono trasferiti e per quanto tempo vengono conservati.

In Turchia, i titolari del trattamento che superano determinate soglie devono registrarsi presso VERBIS, il registro dei titolari del trattamento. Questi registri sono la prima cosa che un'autorità di controllo richiede.

L'invio di dati personali al di fuori dell'UE/SEE (o della Turchia) è soggetto a restrizioni. I meccanismi includono:

• Decisioni di adeguatezza (la destinazione offre una protezione equivalente)
• Clausole contrattuali standard (SCCs)
• Consenso esplicito per lo specifico trasferimento

Storicamente, KVKK richiedeva l'approvazione del KVKK Board o il consenso esplicito per i trasferimenti transfrontalieri; verifichi quindi le norme vigenti prima di trasferire dati all'estero.

Gli organi preposti all'applicazione della normativa sono:

• UE: autorità nazionali per la protezione dei dati; sanzioni GDPR fino a 20 milioni di euro o al 4% del fatturato annuo globale
• Turchia: il KVKK Board (Kurul), con sanzioni amministrative e il potere di ordinare l'interruzione del trattamento

Oltre alle sanzioni pecuniarie, le autorità di controllo possono imporre misure correttive e rendere pubbliche le violazioni.

Alcune organizzazioni devono nominare un Responsabile della protezione dei dati (DPO), ad esempio le autorità pubbliche o le organizzazioni che effettuano monitoraggi su larga scala o trattamenti di categorie particolari ai sensi del GDPR.

Il DPO fornisce consulenza sulla conformità, ne monitora l'attuazione e funge da punto di contatto per l'autorità di controllo e gli interessati. Deve operare in modo indipendente.

Quando un titolare del trattamento si avvale di un responsabile del trattamento (un fornitore SaaS, un provider cloud o un subappaltatore), è obbligatorio stipulare per iscritto un accordo sul trattamento dei dati (DPA). L'accordo vincola il responsabile del trattamento a:

• Trattare i dati solo sulla base di istruzioni documentate
• Garantire la riservatezza e la sicurezza
• Affidarsi a sub-responsabili solo previa autorizzazione
• Prestare assistenza per le richieste degli interessati e la segnalazione delle violazioni

La scelta di un fornitore non conforme non trasferisce la responsabilità del titolare del trattamento.

Verifichi la propria comprensione delle basi giuridiche.

Ha approfondito gli aspetti essenziali di GDPR e KVKK:

• I ruoli e la responsabilità di titolare e responsabile del trattamento
• I principi fondamentali, in particolare la limitazione della finalità e la minimizzazione
• Le sei basi giuridiche; il consenso deve essere prestato liberamente e poter essere revocato
• I diritti degli interessati (accesso, cancellazione, portabilità, opposizione)
• I registri RoPA/VERBIS e i trasferimenti internazionali soggetti a restrizioni
• Le autorità di controllo, le sanzioni elevate e il ruolo del DPO

Prossimo argomento: classificazione e minimizzazione dei dati conservati.