Cos'è il GDPR (RGPD)?

Introduzione

Le General Data Protection Regulations (GDPR) sono un quadro normativo per le leggi sulla protezione dei dati adottato dall’Unione Europea (UE) nel aprile 2016. Sostituisce la Direttiva UE sulla protezione dei dati del 1995 e rafforza la protezione dei dati personali degli individui all’interno dell’UE. Il GDPR stabilisce i diritti degli individui in relazione ai loro dati personali e gli obblighi delle organizzazioni che elaborano questi dati. Inoltre, stabilisce un unico insieme di regole per la protezione dei dati che si applicano in tutta l’UE, garantendo che i dati personali degli individui siano protetti in modo coerente, indipendentemente dal luogo in cui vengono elaborati. Il GDPR si applica alle organizzazioni che elaborano i dati personali degli individui nell’UE, indipendentemente dalla posizione dell’organizzazione. Si applica inoltre all’elaborazione dei dati personali nel contesto delle attività di un’istituzione di un controllore o di un elaboratore nell’UE, indipendentemente dal fatto che l’elaborazione avvenga o meno nell’UE.

Scopo del GDPR

Lo scopo delle General Data Protection Regulations (GDPR) è proteggere i dati personali degli individui nell’Unione Europea (UE). Il GDPR stabilisce i diritti degli individui in relazione ai loro dati personali e gli obblighi delle organizzazioni che elaborano questi dati. L’obiettivo è dare agli individui maggiore controllo sui loro dati personali stabilendo regole e procedure chiare per la raccolta, l’utilizzo e la conservazione dei dati personali. Il GDPR cerca inoltre di armonizzare le leggi sulla protezione dei dati in tutta l’UE, garantendo che i dati personali degli individui siano protetti in modo coerente, indipendentemente dal luogo in cui vengono elaborati. Inoltre, il GDPR mira ad aumentare la libera circolazione dei dati personali all’interno dell’UE, garantendo allo stesso tempo che i dati personali degli individui dell’UE siano protetti quando vengono trasferiti al di fuori dell’UE. In generale, lo scopo del GDPR è tutelare i dati personali degli individui dell’UE e stabilire un quadro forte e coerente per la protezione dei dati in tutta l’UE.

Ambito del GDPR

L’ambito delle General Data Protection Regulations (GDPR) è ampio, coprendo l’elaborazione dei dati personali da parte delle organizzazioni stabilite nell’Unione Europea (UE) o che offrono beni o servizi agli individui nell’UE o che monitorano il comportamento degli individui nell’UE. Il GDPR si applica all’elaborazione dei dati personali nel contesto delle attività di un’istituzione di un controllore o di un elaboratore nell’UE, indipendentemente dal fatto che l’elaborazione avvenga o meno nell’UE. Ciò significa che anche se un’organizzazione non ha sede nell’UE, ma elabora i dati personali degli individui nell’UE, deve comunque rispettare i requisiti del GDPR.

Inoltre, il GDPR si applica alle organizzazioni che elaborano i dati personali degli individui nell’UE, indipendentemente dalla posizione dell’organizzazione. Ciò significa che anche se un’organizzazione ha sede al di fuori dell’UE, ma elabora i dati personali degli individui nell’UE, deve comunque rispettare i requisiti del GDPR. In generale, l’ambito del GDPR è ampio e si applica alle organizzazioni che elaborano i dati personali degli individui nell’UE, indipendentemente dalla posizione dell’organizzazione o dalla posizione dell’elaborazione.

Principali disposizioni del GDPR

Le General Data Protection Regulations (GDPR) includono diverse disposizioni chiave che mirano a proteggere i dati personali degli individui nell’Unione Europea (UE). Queste disposizioni stabiliscono i diritti degli individui in relazione ai loro dati personali e gli obblighi delle organizzazioni che elaborano questi dati. Alcune delle principali disposizioni del GDPR includono:

Diritto di essere informati

In base al GDPR, le organizzazioni devono essere trasparenti su come utilizzano i dati personali e devono fornire agli individui informazioni chiare e concise sui loro diritti e su come verranno utilizzati i loro dati personali.

Diritto di accesso

Il GDPR conferisce agli individui il diritto di richiedere l’accesso ai propri dati personali e di ricevere una copia di questi dati.

Diritto alla rettifica

Il GDPR conferisce agli individui il diritto di far rettificare i propri dati personali se risultano essere inesatti o incompleti.

Diritto alla cancellazione (“diritto d’oblio”)

Il GDPR conferisce agli individui il diritto di richiedere la cancellazione dei propri dati personali in determinate circostanze, ad esempio se i dati non sono più necessari per lo scopo per cui sono stati raccolti.

Diritto di limitare l’elaborazione

Il GDPR conferisce agli individui il diritto di richiedere che i propri dati personali vengano elaborati solo per determinati scopi o che non vengano elaborati affatto.

Diritto alla portabilità dei dati

Il GDPR conferisce agli individui il diritto di ricevere i propri dati personali in un formato strutturato, comunemente utilizzato e leggibile da macchina e di trasmettere questi dati a un’altra organizzazione.

Diritto di opposizione

Il GDPR conferisce agli individui il diritto di opporsi all’elaborazione dei propri dati personali per determinati scopi, come ad esempio per fini di marketing diretto.

Diritti in relazione alle decisioni automatizzate e al profilamento

Il GDPR conferisce agli individui il diritto di non essere soggetti a una decisione basata esclusivamente sull’elaborazione automatizzata, compreso il profilamento, se produce effetti giuridici che li riguardano o li riguarda significativamente.

In generale, queste principali disposizioni del GDPR mirano a dare agli individui maggiore controllo sui propri dati personali e a stabilire regole chiare per la raccolta, l’utilizzo e la conservazione di questi dati.

Sanzioni per la mancata conformità

Le organizzazioni che non rispettano le General Data Protection Regulations (GDPR) possono essere soggette a sanzioni pecuniarie elevate. Il GDPR stabilisce un sistema a gradini di sanzioni, con la possibilità di sanzioni maggiori per violazioni più gravi. In base al GDPR, le organizzazioni possono essere sanzionate fino al 4% del proprio fatturato globale annuale o 20 milioni di euro (il maggiore dei due importi) per le violazioni più gravi, come l’elaborazione non autorizzata dei dati personali o la mancata segnalazione di una violazione dei dati personali. Per violazioni meno gravi, come la mancata ottenuta del consenso per l’elaborazione dei dati personali o la mancata conservazione dei registri delle attività di elaborazione, le organizzazioni possono essere sanzionate fino al 2% del proprio fatturato globale annuale o 10 milioni di euro (il maggiore dei due importi).

Il GDPR conferisce inoltre alle autorità di vigilanza il potere di imporre una serie di altre sanzioni, come lettere di richiamo, rimproveri e ordini di cessazione dell’elaborazione, oltre alle sanzioni pecuniarie. In generale, il GDPR stabilisce un sistema di sanzioni severe per la mancata conformità, al fine di garantire che le organizzazioni prendano seriamente in considerazione la protezione dei dati personali e incoraggino la conformità ai requisiti del GDPR.

Periodo di transizione e data effettiva

Le General Data Protection Regulations (GDPR) sono state adottate dall’Unione Europea (UE) il 27 aprile 2016 e sono diventate efficaci il 25 maggio 2018. Le organizzazioni hanno avuto un periodo di transizione per adeguare le proprie politiche e pratiche alle esigenze del GDPR. Durante questo periodo di transizione, le organizzazioni erano tenute a revisionare le proprie politiche e pratiche di protezione dei dati, valutare la conformità alle esigenze del GDPR e apportare eventuali modifiche necessarie per garantire la conformità al GDPR.

Il GDPR si applica all’elaborazione dei dati personali da parte delle organizzazioni stabilite nell’UE o che offrono beni o servizi agli individui nell’UE o che monitorano il comportamento degli individui nell’UE. Si applica inoltre all’elaborazione dei dati personali nel contesto delle attività di un’istituzione di un controllore o di un elaboratore nell’UE, indipendentemente dal fatto che l’elaborazione abbia luogo nell’UE o meno. Ciò significa che anche se un’organizzazione non ha sede nell’UE, ma elabora i dati personali degli individui nell’UE, deve comunque rispettare i requisiti del GDPR. In generale, il GDPR è diventato efficace il 25 maggio 2018 e si applica alle organizzazioni che elaborano i dati personali degli individui nell’UE, indipendentemente dalla posizione dell’organizzazione o dalla posizione dell’elaborazione.