Il GDPR stabilisce i criteri per il trattamento dei dati, i quali si riflettono nei punti salienti successivamente riportati.
Ma cosa s’intende per “mettere in atto misure tecniche e organizzative adeguate”? Dipende dal rischio che ne deriva dal trattamento dei dati, gli strumenti utilizzati, i processi organizzativi e le risorse impiegate. Il tutto volto a mitigare i rischi che il trattamento dei dati comporta, al fine di garantirne integrità, disponibilità, riservatezza ed autenticità dei dati.
Regolamento Generale sulla Protezione dei dati o “General Data Protection Regulation” e sancito con il Regolamento Europeo 2016/679, delinea gli obblighi per l’informativa, il consenso ed il trattamento automatizzato dei dati personali nonché i casi di violazione (data breach).
Alcuni contenuti del regolamento possono essere così riassunti:
- Valutazione del Rischio e grado di esposizione (Data Protection Impact Assessment).
- Privacy by Design: Il titolare del trattamento deve mettere in atto misure tecniche e organizzative adeguate per garantire che siano trattati solo i dati personali necessari per ogni specifica finalità del trattamento.
- Accesso e riservatezza, rendere i dati non leggibili a terzi per portarli anche al di fuori dei locali aziendali.
- Pseudoanomizzazione dei dati (Art. 6 (4)(e)).
- Ripristino dei dati in caso di data breach.
- Capacità di produrre elementi digitali probanti in caso di controversia.
- Consenso informato (Art. 5-7, 9).
- Portabilità dei dati personali tra titolalri e Diritto all’oblio (Art. 17).
- Profilazione (Art. 22).
- Trasferimento dei dati in paesi terzi (Art. 44).
- Codice di Condotta & Compliance (Art. 40, 41). L’adesione da parte del responsabile del trattamento a un codice di condotta approvato può essere utilizzata come elemento per dimostrare le garanzie sufficienti.
- Nomina del DPO “Data Protection Officer” (solo in alcuni casi specifici, Pubblica amministrazione, trattamento dei dati estensivo e sistematico).
- Responsabilità del titolare del trattamento (Art. 24, 82).
- Data Breach. Obbligo di comunicare eventuali violazioni dei dati entro le 72 ore dal rilevamento delle medesime violazioni.
- Sanzioni (Art. 83).