GDPR introduzione al nuovo Regolamento per la Protezione Dati

2. GDPR Awareness – Corso introduttivo al nuovo Regolamento Generale di Protezione dei Dati – Mag 2018 (c)2018MarcoMarcellini–Next2.0S.r.l. Principi e normativa ● Concetti già presenti nella CARTA DEI DIRITTI FONDAMENTALI DELL'UNIONE EUROPEA (2000-2012) ● Articolo 7 - Rispetto della vita privata e della vita familiare ● Ogni persona ha diritto al rispetto della propria vita privata e familiare, del proprio domicilio e delle proprie comunicazioni. ● Articolo 8 - Protezione dei dati di carattere personale ● 1. Ogni persona ha diritto alla protezione dei dati di carattere personale che la riguardano. ● 2. Tali dati devono essere trattati secondo il principio di lealtà, per finalità determinate e in base al consenso della persona interessata o a un altro fondamento legittimo previsto dalla legge. Ogni persona ha il diritto di accedere ai dati raccolti che la riguardano e di ottenerne la rettifica. ● Il nuovo Regolamento (679/2016) è entrato in vigore il 24 maggio 2016 abrogando la precedente Direttiva 95/46/CE

3. GDPR Awareness – Corso introduttivo al nuovo Regolamento Generale di Protezione dei Dati – Mag 2018 (c)2018MarcoMarcellini–Next2.0S.r.l. Il GDPR non si applica (art. 2) ● ai trattamenti effettuati da persone fisiche per attività personali o domestiche ● ai trattamenti effettuati dalle autorità competenti ai fini di prevenzione o accertamento di reati

4. GDPR Awareness – Corso introduttivo al nuovo Regolamento Generale di Protezione dei Dati – Mag 2018 (c)2018MarcoMarcellini–Next2.0S.r.l. Il GDPR si applica (art. 3-4) ● al trattamento di dati personali, intesi come “qualsiasi informazione riguardante una persona fisica identificata e identificabile (interessato)”, di residenti nell’UE ● al trattamento dei dati personali effettuato da parte di un titolare (persona fisica o giuridica) con sede nell’UE, indipendentemente dal fatto che il trattamento sia effettuato nell’UE

5. GDPR Awareness – Corso introduttivo al nuovo Regolamento Generale di Protezione dei Dati – Mag 2018 (c)2018MarcoMarcellini–Next2.0S.r.l. Terminologia e concetti di base (art. 4) ● L’art.4 contiene tutta la terminologia utilizzata nel resto del Regolamento ● Interessante è il termine “pseudonimizzazione”, intesa come “il trattamento dei dati personali in modo tale che i dati personali non l'utilizzo di informazioni aggiuntive, a condizione che tali informazioni aggiuntive siano conservate separatamente...” ● Altro termine è “profilazione”, ovvero le forme di valutazione degli interessati effettuati in forma automatica

6. GDPR Awareness – Corso introduttivo al nuovo Regolamento Generale di Protezione dei Dati – Mag 2018 (c)2018MarcoMarcellini–Next2.0S.r.l. Le figure coinvolte (art.4) ● Interessato al trattamento: utente, cliente, dipendente, è il proprietario del dato – p.fisica ● Titolare del trattamento (data-controller) ● Responsabile del trattamento (data-processor) ● RPD - Responsabile Protezione Dati (DPO, Data Protection Officer) ● Destinatari: chi riceve comunicazione di dati personali (es. PA) ● Soggetti terzi: tutti i soggetti (p.fisiche o giuridiche) [diversi dall’interessato/titolare/responsabile] con cui vengono condivisi i dati ● Persone autorizzate: i soggetti autorizzati dal Responsabile (incaricati)

7. GDPR Awareness – Corso introduttivo al nuovo Regolamento Generale di Protezione dei Dati – Mag 2018 (c)2018MarcoMarcellini–Next2.0S.r.l. Principi di liceità, correttezza e trasparenza (art. 5) ● L’articolo contiene una serie di restrizioni e obblighi generali: i dati personali devono essere: – raccolti per finalità esplicite e legittime; – limitati allo stretto necessario; – aggiornabili o cancellabili; – conservati per lo stretto necessario e non oltre; – deve esserne garantita la sicurezza e la protezione da perdite, furti, distruzione accidentale;

8. GDPR Awareness – Corso introduttivo al nuovo Regolamento Generale di Protezione dei Dati – Mag 2018 (c)2018MarcoMarcellini–Next2.0S.r.l. Liceità del trattamento (art. 6) ● Si può effettuare il trattamento solo se sussiste almeno una delle seguenti condizioni: 1) L’interessato ha fornito il consenso; 2) Il trattamento è necessario al contratto; 3) Il trattamento è necessario per obbligo legale del Titolare; 4) E’ necessario per salvaguardare gli interessi vitali; 5) Compito di interesse pubblico; 6) E’ necessario per il perseguimento del legittimo interesse del Titolare, a meno che non prevalgano interessi o diritti dell’interessato… specie nel caso di minori;

9. GDPR Awareness – Corso introduttivo al nuovo Regolamento Generale di Protezione dei Dati – Mag 2018 (c)2018MarcoMarcellini–Next2.0S.r.l. Consenso e consenso dei minori (art. 7-8) ● Nel caso il trattamento sia basato sul consenso, questo deve essere dimostrabile. ● La richiesta di consenso deve essere chiaramente distinguibile. ● Il trattamento dei dati dei minori è lecito solo per >=16 anni. Gli Stati membri possono decidere per >=13.

10. GDPR Awareness – Corso introduttivo al nuovo Regolamento Generale di Protezione dei Dati – Mag 2018 (c)2018MarcoMarcellini–Next2.0S.r.l. Dati personali vs dati sensibili e penali (art. 9-10) ● Dati PERSONALI il trattamento è consentito SOLO SE… ● Dati SENSIBILI [ovvero: dati riconducibili a razza, politica, religione, sindacati, genetica, dati biometrici, salute, vita sessuale, non si parla invece di dati sul reddito] il trattamento è VIETATO, a meno che si verifichi uno dei casi previsti dall’art.9 ● esplicito consenso; diritto del lavoro; tutela di interessi vitali; dati resi pubblici dall’interessato; interesse pubblico, sedi giudiziarie; ● e comunque sempre in presenza di misure appropriate...

11. GDPR Awareness – Corso introduttivo al nuovo Regolamento Generale di Protezione dei Dati – Mag 2018 (c)2018MarcoMarcellini–Next2.0S.r.l. I nuovi diritti dell’interessato (art.12-22) ● Il Regolamento stabilisce nuovi e innovativi diritti dell’interessato, non assoluti ma regolamentati uno ad uno: 1) - DIRITTO AD ESSERE INFORMATO; 2) - DIRITTO DI ACCESSO AI DATI; 3) - DIRITTO DI RETTIFICA; 4) - DIRITTO ALLA CANCELLAZIONE (ALL’OBLIO); 5) - DIRITTO ALLA LIMITAZIONE DEL TRATTAMENTO; 6) - DIRITTO ALLA PORTABILITA’ DEL DATO; 7) - DIRITTO DI OPPOSIZIONE AL TRATTAMENTO; 8) - DIRITTO DI OPPOSIZIONE A PROCESSI DECISIONALI AUTOMATIZZATI.

12. GDPR Awareness – Corso introduttivo al nuovo Regolamento Generale di Protezione dei Dati – Mag 2018 (c)2018MarcoMarcellini–Next2.0S.r.l. 1 – Diritto ad essere informato ● Il Titolare ha una serie di obblighi di trasparenza. Deve sempre garantire: – dati di contatto delle figure coinvolte, finalità e basi giuridiche del trattamento, i legittimi interessi perseguiti, eventuali destinatari dei dati (diversi dal Titolare), volontà di trasferimento all’estero; – Deve informare sul periodo di conservazione; – Deve informare sui nuovi diritti; di accesso, di revoca del consenso, di possibilità di reclamo. – Dell’esistenza di obblighi legali e di processi automatizzati di decisione.

13. GDPR Awareness – Corso introduttivo al nuovo Regolamento Generale di Protezione dei Dati – Mag 2018 (c)2018MarcoMarcellini–Next2.0S.r.l. 2 – Diritto all’accesso ● Il Titolare fornisce una copia dei dati personali oggetto del trattamento 3 – Diritto di rettifica ● In tempi ragionevoli, ovvero senza ingiustificato ritardo ● tutto gratuito, a meno che l’interessato faccia richieste infondate o eccessive

14. GDPR Awareness – Corso introduttivo al nuovo Regolamento Generale di Protezione dei Dati – Mag 2018 (c)2018MarcoMarcellini–Next2.0S.r.l. 4 – Diritto all’oblio ● Si può ottenere la cancellazione solo se i dati non sono più necessari, se viene revocato il consenso, se l’interessato si oppone, se c’è stato trattamento illecito ● Tale diritto NON SI APPLICA: per salvaguardare la libertà dell’informazione, per adempimento di obblighi legali, per interessi pubblici o scientifici nel settore sanitario, storico, statistico

15. GDPR Awareness – Corso introduttivo al nuovo Regolamento Generale di Protezione dei Dati – Mag 2018 (c)2018MarcoMarcellini–Next2.0S.r.l. 5 – Diritto di limitazione del trattamento ● E’ l’interruzione del trattamento qualora l’interessato abbia contestato o esercitato altri diritti sui propri dati. 6 – Diritto alla portabilità dei dati ● Solo se il trattamento è basato sul consenso e se il trattamento è basato sull’automazione; ● I dati esportati devono essere in un formato strutturato, di uso comune, leggibili da altro dispositivo automatico.

16. GDPR Awareness – Corso introduttivo al nuovo Regolamento Generale di Protezione dei Dati – Mag 2018 (c)2018MarcoMarcellini–Next2.0S.r.l. 7 – Diritto di opposizione ● In determinate condizioni, quando ad esempio i dati vengono trattati non per motivi legali, o per interessi pubblici, ci si può opporre al trattamento; ● L’articolo 21 cita espressamente i casi in cui i dati sono trattati per “marketing diretto” ● In tal caso, di fronte all’opposizione, si deve interrompere immediatamente il trattamento.

17. GDPR Awareness – Corso introduttivo al nuovo Regolamento Generale di Protezione dei Dati – Mag 2018 (c)2018MarcoMarcellini–Next2.0S.r.l. Opposizione alla profilazione automatica ● E’ un caso particolare, che regolamenta quei servizi che vengono forniti in base alla profilazione operata da meccanismi automatici; ● L’interessato ha il diritto di non essere sottoposto ad una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici ● Questo diritto è applicabile ad esempio alla navigazione personalizzata offerta da taluni siti web o di e-commerce.

18. GDPR Awareness – Corso introduttivo al nuovo Regolamento Generale di Protezione dei Dati – Mag 2018 (c)2018MarcoMarcellini–Next2.0S.r.l. Limitazioni dei diritti (art. 23) ● I diritti degli interessati possono essere limitati dai singoli Stati dell’UE per ragioni di: – difesa, sicurezza nazionale; – indagini e prevenzione di reati, sanzioni penali; – rilevanti interessi pubblici, economico-finanziari di uno Stato; – salvaguardia dell’indipendenza della magistratura; – indagini sulle violazioni della deontologia delle professioni;

19. GDPR Awareness – Corso introduttivo al nuovo Regolamento Generale di Protezione dei Dati – Mag 2018 (c)2018MarcoMarcellini–Next2.0S.r.l. Prime indicazioni pratiche ● Tutto molto bello, ma io, in azienda, cosa devo fare ???

20. GDPR Awareness – Corso introduttivo al nuovo Regolamento Generale di Protezione dei Dati – Mag 2018 (c)2018MarcoMarcellini–Next2.0S.r.l. Stabilire le responsabilità: ● Il titolare del trattamento [data controller]: – p.fisica o giuridica o autorità pubblica che determina la finalità e i mezzi del trattamento dei dati personali; – mette in atto misure tecniche e organizzative adeguate per garantire, ed essere in grado di dimostrare, che il trattamento è effettuato secondo il GDPR; – le misure includono l’attuazione di politiche adeguate in materia di protezione dei dati; – tratta solo i dati necessari;

21. GDPR Awareness – Corso introduttivo al nuovo Regolamento Generale di Protezione dei Dati – Mag 2018 (c)2018MarcoMarcellini–Next2.0S.r.l. Privacy by Design (art.25) ● ovvero la protezione dei dati fin dalla progettazione e protezione, per impostazione predefinita ● Approccio volto a prevenire i rischi ● Privacy come “default” e inserita nella progettazione dei trattamenti e dei sistemi informativi ● Privacy deve essere integrata con la sicurezza ● Trattare sempre solo i dati necessari (minimizzazione) ● “Per impostazione predefinita non siano resi accessibili dati personali a un numero indefinito di persone fisiche senza l'intervento della persona fisica”

22. GDPR Awareness – Corso introduttivo al nuovo Regolamento Generale di Protezione dei Dati – Mag 2018 (c)2018MarcoMarcellini–Next2.0S.r.l. Il responsabile del trattamento ● Il Titolare può delegare uno o più responsabili, con contratto scritto che stabilisca: durata, natura, finalità, tipo di dati personali, categorie di interessati, obblighi e diritti del Titolare. ● Il Responsabile tratta i dati solo su “istruzione documentata” del titolare. ● deve essere autorizzato dal titolare per qualsiasi modifica ● viola il GDPR se determina autonomamente finalità e mezzi del trattamento; in tal caso è considerato un Titolare

23. GDPR Awareness – Corso introduttivo al nuovo Regolamento Generale di Protezione dei Dati – Mag 2018 (c)2018MarcoMarcellini–Next2.0S.r.l. Il Responsabile Protezione Dati (art. 37-39) ● RPD o DPO [data protection officer] è una figura di rilievo del nuovo Regolamento ● la nomina è obbligatoria se: – autorità e organismi pubblici, oppure; – attività principale consiste nel trattamento che richiede il monitoraggio regolare e sistematico degli interessati su larga scala, oppure; – attività principale consiste nel trattamento, su larga scala di dati sensibili (art.9) o penali (art.10)

24. GDPR Awareness – Corso introduttivo al nuovo Regolamento Generale di Protezione dei Dati – Mag 2018 (c)2018MarcoMarcellini–Next2.0S.r.l. Compiti e poteri del DPO ● Requisiti: qualità professionali, conoscenza specialistica della normativa, prassi in materia di protezione dei dati, capacità di assolvere i compiti stabiliti ● Informa e fornisce consulenza; ● sorveglia; ● fornisce pareri sulla valutazione d’impatto; ● coopera con l’attività di controllo; ● funge da punto di contatto con autorità e interessati.

25. GDPR Awareness – Corso introduttivo al nuovo Regolamento Generale di Protezione dei Dati – Mag 2018 (c)2018MarcoMarcellini–Next2.0S.r.l. Strumenti operativi ● Bene, ho stabilito CHI, adesso resta il COME...

26. GDPR Awareness – Corso introduttivo al nuovo Regolamento Generale di Protezione dei Dati – Mag 2018 (c)2018MarcoMarcellini–Next2.0S.r.l. Gli strumenti previsti dal GPDR Adozione di codici di condotta o certificazioni Registri dei trattamenti Valutazione d’impatto Sicurezza dei trattamenti

27. GDPR Awareness – Corso introduttivo al nuovo Regolamento Generale di Protezione dei Dati – Mag 2018 (c)2018MarcoMarcellini–Next2.0S.r.l. Il registro dei trattamenti (art. 30) 1/2 ● Quando è obbligatoria la tenuta del registro ? – per aziende o enti con più di 250 dipendenti; – oppure, quando i trattamenti effettuati possano presentare un rischio per i diritti o le libertà dell’interessato; – oppure, quando il trattamento non sia occasionale; – oppure quando il trattamento includa dati sensibili o penali, di cui agli articoli 9/10 ● Il registro va tenuto in forma scritta, anche in formato elettronico.

28. GDPR Awareness – Corso introduttivo al nuovo Regolamento Generale di Protezione dei Dati – Mag 2018 (c)2018MarcoMarcellini–Next2.0S.r.l. Il registro dei trattamenti (art. 30) 2/2 ● Che informazioni vanno conservate nei registri ? – nomi e dati di contatto delle figure coinvolte; – finalità del trattamento; – descrizione delle categorie di interessati; – descrizione delle categorie di dati personali; – eventuali destinatari ai quali verranno comunicati i dati e se i dati verranno comunicati fuori UE; – ove possibile, i termini di scadenza/cancellazione; – ove possibile, le misure di sicurezza (tecniche e organizzative) adottate

30. GDPR Awareness – Corso introduttivo al nuovo Regolamento Generale di Protezione dei Dati – Mag 2018 (c)2018MarcoMarcellini–Next2.0S.r.l. Sicurezza dei dati personali ● Le misure previste dall’art.32 prevedono la CIFRATURA, la PSEUDONIMIZZAZIONE ● la capacità di assicurare su base permanente la riservatezza dei dati; ● la capacità di ripristinare tempestivamente la disponibilità e l’accesso ai dati; ● una procedura per testare l’efficacia delle misure tecniche ● in generale, misure atte a prevenire rischi di distruzione, perdita, modifica, divulgazione non autorizzata, accesso in modo accidentale o illegale

31. GDPR Awareness – Corso introduttivo al nuovo Regolamento Generale di Protezione dei Dati – Mag 2018 (c)2018MarcoMarcellini–Next2.0S.r.l. Valutazione d’impatto (DPIA) ● Si effettua prima di procedere a trattamenti che prevedano l’uso di nuove tecnologie e in presenza di rischi elevati per le libertà degli interessati; ● è richiesta in caso di trattamenti su larga scala di dati penali, videosorveglianza, profilazione di grandi quantità di persone fisiche; ● e’ prevista la prossima emissione di casistiche obbligatorie;

32. GDPR Awareness – Corso introduttivo al nuovo Regolamento Generale di Protezione dei Dati – Mag 2018 (c)2018MarcoMarcellini–Next2.0S.r.l. Il corretto percorso da intraprendere... INFORMARE START MODULO di CONTATTO CONSENSO SICUREZZA ANALISI SISTEMI INF. REGISTRO TRATT. ANALISI IMPATTO NOTIFICA DATA BREACH ACCORDI SCRITTI CON ALTRI RESPONSABILI GDPR

33. GDPR Awareness – Corso introduttivo al nuovo Regolamento Generale di Protezione dei Dati – Mag 2018 (c)2018MarcoMarcellini–Next2.0S.r.l. Verifica finale ● Un rapido quiz per verificare le conoscenze acquisite:

GDPR introduzione al nuovo Regolamento per la Protezione Dati

Marco Marcellini

GDPR introduzione al nuovo Regolamento per la Protezione Dati