Brubru
EU policy intelligence
Il Regolamento (UE) 2016/679, che si applica dal 25 maggio 2018, è il quadro normativo primario dell'UE per la protezione dei dati personali. Ha sostituito la Direttiva sulla protezione dei dati del 1995, ha esteso le norme sulla protezione dei dati dell'UE in tutto il mondo quando sono colpiti i residenti dell'UE, e ha introdotto sanzioni che raggiungono il 4% del fatturato annuale globale.
la legge primaria dell'UE che protegge il diritto fondamentale alla privacy dei dati personali
Il Regolamento generale sulla protezione dei dati (RGPD), Regolamento (UE) 2016/679, è la legge quadro dell'Unione europea che disciplina la raccolta, l'immagazzinamento, l'utilizzo e il trasferimento dei dati personali riguardanti le persone fisiche. Sostituisce la Direttiva 95/46/CE del 1995 e si applica direttamente in tutti i 27 Stati membri senza richiedere legislazione nazionale di attuazione.
Il RGPD ha due finalità dichiarate: proteggere il diritto fondamentale delle persone fisiche alla protezione dei loro dati personali (articolo 1(2)) e garantire che la libera circolazione dei dati personali all'interno dell'Unione non sia limitata o vietata per motivi di protezione dei dati (articolo 1(3)). Questi due obiettivi riflettono la posizione del RGPD all'intersezione tra diritti fondamentali e mercato interno.
Il regolamento si basa sull'articolo 16 TFUE, che impone al Parlamento europeo e al Consiglio di stabilire regole sulla protezione dei dati personali. È inoltre fondato negli articoli 7 e 8 della Carta dei diritti fondamentali dell'UE, che garantiscono il rispetto della vita privata e il diritto alla protezione dei dati personali.
La Direttiva sulla protezione dei dati del 1995 è stata adottata prima che internet divenisse un fenomeno di massa. Negli anni 2010, le implementazioni nazionali frammentate avevano prodotto 28 quadri normativi diversi in tutta l'UE, creando incertezza legale per le imprese, protezione incoerente per gli individui e un panorama normativo in cui i giganti tecnologici americani potrebbero operare nell'UE con poca responsabilità effettiva.
La proposta della Commissione di gennaio 2012 è stata mirata a risolvere questa frammentazione. Seguirono quattro anni di processo legislativo, guidati dall'insistenza del Parlamento europeo su diritti individuali più forti e applicazione più rigorosa. Il RGPD è stato formalmente adottato il 27 aprile 2016, è entrato in vigore il 24 maggio 2016 e si è applicato dal 25 maggio 2018 dopo un periodo di attuazione di due anni. La Direttiva 95/46/CE è stata contemporaneamente abrogata.
Il RGPD ha 99 articoli divisi in 11 capitoli, preceduti da 173 considerando che spiegano l'intento legislativo e forniscono orientamenti interpretativi:
ambito materiale (articolo 2) e ambito territoriale (articolo 3): portata globale per gli interessati dell'UE
Il RGPD si applica al trattamento dei dati personali interamente o parzialmente per mezzo automatizzato, e al trattamento non automatizzato in cui i dati formano o sono destinati a formare parte di un archivio. Questo comprende praticamente tutti i trattamenti digitali di dati, così come i registri manuali strutturati.
Non si applica a: attività al di fuori della legge dell'Unione (ad es. sicurezza nazionale); attività PESC degli Stati membri; attività puramente personali o domestiche di persone fisiche; e il trattamento da parte di autorità competenti per scopi di diritto penale, che cade sotto la Direttiva (UE) 2016/680.
Un'azienda con sede in California, Canada, India o Brasile che vende prodotti o servizi ai consumatori dell'UE, o che monitora il comportamento degli utenti dell'UE online, è soggetta al RGPD completo. Deve designare un rappresentante nell'UE (Art 27), rispettare tutti i diritti dell'interessato ed è esposta all'applicazione dell'autorità di controllo dell'UE e alle sanzioni. Per questo motivo, il RGPD è diventato uno standard di facto globale: le multinazionali trovano più semplice applicare le regole del RGPD a livello globale piuttosto che mantenere tracce di conformità separate.
Articolo 5: i requisiti fondamentali che disciplinano tutto il trattamento dei dati personali
L'articolo 5 espone sette principi che si applicano a tutti i trattamenti di dati personali. La violazione di questi principi comporta la massima sanzione (fino a 20 milioni di EUR o il 4% del fatturato globale). Il settimo principio, la responsabilità, richiede ai titolari del trattamento non solo di conformarsi, ma di essere in grado di provare che si conformano.
| Principio | Cosa significa nella pratica | Articolo chiave |
|---|---|---|
| Liceità, correttezza e trasparenza | Deve esserci una base giuridica per il trattamento (una delle sei dell'Art 6). Il trattamento non deve essere ingannevole. Gli interessati devono essere informati. | Art 5(1)(a), 6, 13-14 |
| Limitazione della finalità | I dati possono essere raccolti solo per finalità specificate, esplicite e legittime. Il trattamento ulteriore deve essere compatibile con tali finalità. La ricerca, l'archiviazione e le statistiche possono essere compatibili in virtù dell'Art 89. | Art 5(1)(b) |
| Minimizzazione dei dati | Solo i dati adeguati, pertinenti e limitati a ciò che è necessario per le finalità possono essere trattati. Non è possibile raccogliere più dati del necessario in via precauzionale. | Art 5(1)(c) |
| Esattezza | I dati devono essere esatti e, ove necessario, tenuti aggiornati. I dati inesatti devono essere cancellati o rettificati senza indebito ritardo, tenendo conto delle finalità per le quali sono trattati. | Art 5(1)(d) |
| Limitazione della conservazione | I dati devono essere conservati in una forma che consenta l'identificazione non più a lungo del necessario. I titolari del trattamento devono stabilire e documentare i periodi di conservazione. L'archiviazione, la ricerca e le statistiche sono eccezioni soggette alle misure di salvaguardia dell'Art 89. | Art 5(1)(e) |
| Integrità e riservatezza | Misure tecniche e organizzative appropriate devono proteggere i dati dal trattamento non autorizzato o illegittimo e dalla perdita, distruzione o danno accidentale. | Art 5(1)(f), 32 |
| Responsabilità | Il titolare del trattamento è responsabile e deve essere in grado di dimostrare la conformità a tutti i principi di cui sopra. La conformità passiva non è sufficiente: la prova deve esistere. Questo principio sostiene l'intera architettura della documentazione del RGPD (registri, valutazioni d'impatto sulla protezione dei dati, politiche, registri di formazione). | Art 5(2), Art 24 |
Articolo 6: una di queste sei deve applicarsi prima che i dati personali siano trattati
Un malinteso comune è che il consenso sia sempre richiesto per trattare i dati personali. In realtà, ci sono sei basi giuridiche alternative. Un titolare del trattamento deve identificare la base corretta in anticipo e non può passare da una all'altra dopo il fatto. Per categorie speciali di dati personali (salute, genetici, biometrici, origine razziale/etnica, opinioni politiche, credenze religiose, appartenenza a sindacati, dati sulla vita sessuale), le ulteriori condizioni dell'articolo 9 devono essere rispettate.
L'interessato ha prestato consenso liberamente dato, specifico, informato e inequivocabile. Deve essere facile da ritirare quanto da dare. Le caselle pre-compilate, il silenzio e l'inattività non costituiscono consenso. I minori di 16 anni (o un'età inferiore non inferiore a 13 stabilita dalla legge dello Stato membro) richiedono il consenso dei genitori per i servizi online.
Art 6(1)(a), 7, 8
Il trattamento è necessario per l'esecuzione di un contratto con l'interessato o per i passi precontrattuali richiesti dall'interessato. Ad esempio, un'azienda di consegna che tratta l'indirizzo del cliente per adempiere un ordine.
Art 6(1)(b)
Il trattamento è necessario per il rispetto di un obbligo legale cui è soggetto il titolare del trattamento. Ad esempio, un datore di lavoro che tratta i dati dei dipendenti per conformarsi alle leggi fiscali, o una banca che conserva i registri delle transazioni secondo le norme antiriciclaggio.
Art 6(1)(c)
Il trattamento è necessario per proteggere gli interessi vitali dell'interessato o di un'altra persona, ad esempio in situazioni mediche di emergenza. Questa base si applica solo quando l'interessato non è in grado di dare consenso fisicamente o legalmente e nessun'altra base giuridica è disponibile.
Art 6(1)(d)
Il trattamento è necessario per l'esecuzione di un compito di interesse pubblico o per l'esercizio dell'autorità ufficiale conferitagli al titolare del trattamento. Questa è la base giuridica primaria per il trattamento da parte degli enti governativi, dei regolatori, dei tribunali e dei servizi pubblici.
Art 6(1)(e)
Il trattamento è necessario per i legittimi interessi del titolare del trattamento o di una terza parte, a condizione che gli interessi non siano prevalenti rispetto agli interessi, ai diritti e alle libertà dell'interessato. Non è disponibile per le autorità pubbliche che agiscono nei loro compiti pubblici. Richiede una prova di bilanciamento in tre fasi: prova di finalità, prova di necessità, prova di bilanciamento.
Art 6(1)(f)
Per i dati personali particolarmente sensibili per natura, come i dati sanitari, i dati genetici, i dati biometrici utilizzati per l'identificazione univoca, l'origine razziale o etnica, le opinioni politiche, le credenze religiose o filosofiche, l'appartenenza sindacale, o i dati sulla vita sessuale o l'orientamento sessuale, c'è un divieto generale del trattamento. Per sollevare tale divieto, non solo deve applicarsi una base giuridica nell'articolo 6, ma una delle dieci condizioni specifiche elencate nell'articolo 9(2) deve essere rispettata. Le più comuni nella pratica sono il consenso esplicito (Art 9(2)(a)), il diritto del lavoro e della previdenza sociale (Art 9(2)(b)), gli interessi vitali quando l'interessato non può consentire (Art 9(2)(c)) e la medicina preventiva o la salute occupazionale (Art 9(2)(h)).
Capitolo III, Articoli 12-23: otto diritti esigibili che puoi esercitare contro qualsiasi titolare del trattamento
I titolari del trattamento devono rispondere a qualsiasi richiesta di esercizio dei diritti dell'interessato entro un mese dal ricevimento, gratuitamente. Il termine può essere esteso di altri due mesi ove le richieste siano complesse o numerose, ma il titolare del trattamento deve informarti dell'estensione entro il primo mese. Ove le richieste siano manifestamente infondate o eccessive, il titolare del trattamento può addebitare una tariffa ragionevole o rifiutare di agire, ma deve sopportare l'onere della prova di tale carattere. Il titolare del trattamento deve fornire anche una copia dei dati personali in trattamento in risposta a una richiesta di accesso.
| Diritto | Articolo | Cosa puoi chiedere | Limitazioni chiave |
|---|---|---|---|
| Diritto di accesso | Art 15 | Conferma che i dati sono trattati; una copia dei dati; informazioni sulle finalità, i destinatari, la conservazione, le decisioni automatizzate, la fonte (se indiretta). | I diritti di altri (segreti commerciali, dati di terzi) possono limitare la copia fornita. |
| Diritto di rettifica | Art 16 | Correzione dei dati inesatti; completamento dei dati incompleti (incluso da dichiarazione supplementare). | Il titolare del trattamento deve notificare i destinatari di qualsiasi rettifica (Art 19). |
| Diritto di cancellazione | Art 17 | Cancellazione dove: i dati non sono più necessari; il consenso è stato ritirato e nessun'altra base legale; i dati sono stati trattati illegittimamente; l'obbligo legale richiede la cancellazione; i dati sono stati raccolti tramite servizi online da minori. | Non si applica ove il trattamento sia necessario per: libertà di espressione; obbligo legale; sanità pubblica; archiviazione/ricerca/statistiche; reclami legali. |
| Diritto di limitazione | Art 18 | Sospensione di tutti i trattamenti (tranne l'archiviazione) mentre: l'esattezza è contestata; il trattamento è illegittimo ma preferisci la limitazione alla cancellazione; i dati sono necessari per i tuoi reclami legali ma non per il titolare del trattamento; hai presentato obiezione e il titolare del trattamento sta verificando i suoi motivi. | Il titolare del trattamento deve informarti prima di sollevare una limitazione. |
| Diritto alla portabilità dei dati | Art 20 | Ricevi i dati che hai fornito in un formato strutturato, comunemente utilizzato e leggibile da macchine. Richiedi il trasferimento diretto da titolare a titolare ove tecnicamente fattibile. | Si applica solo ove il trattamento si basa su consenso o contratto ed è effettuato per mezzo automatizzato. Non si applica al trattamento basato su compito pubblico o obbligo legale. |
| Diritto di opposizione | Art 21 | Opponi in qualsiasi momento al trattamento basato su compito pubblico (Art 6(1)(e)) o interessi legittimi (Art 6(1)(f)), incluso il profiling. Diritto assoluto di opporsi al trattamento per il marketing diretto (nessun override possibile). | Per le obiezioni non relative al marketing, il titolare del trattamento può continuare se può dimostrare motivi legittimi convincenti che prevalgono sui tuoi interessi. |
| Decisioni automatizzate | Art 22 | Non essere soggetto a una decisione basata unicamente su trattamento automatizzato (incluso il profiling) che produce effetti giuridici o similmente ti colpisce significativamente. Diritto alla revisione umana, di esprimere la tua opinione e di contestare la decisione. | Eccezioni: necessario per il contratto con te; autorizzato dalla legge; basato su consenso esplicito. I dati di categoria speciale richiedono una condizione aggiuntiva dell'Art 9(2)(a) o (g). |
Puoi esercitare uno qualsiasi dei diritti di cui sopra contattando direttamente il titolare del trattamento. Il titolare del trattamento deve facilitare le tue richieste e non può richiederti di utilizzare un formato specifico, anche se può richiedere informazioni aggiuntive per verificare la tua identità (Art 12(6)). Ove il titolare del trattamento non agisca sulla tua richiesta, puoi presentare un reclamo all'Autorità nazionale per la protezione dei dati o cercare ricorso giudiziario davanti ai tribunali dello Stato membro in cui il titolare del trattamento è stabilito o dove risiedi (Art 79).
Capitolo IV, Articoli 24-43: l'architettura di conformità per i titolari del trattamento e i responsabili del trattamento
La protezione dei dati deve essere integrata nei sistemi e nei processi sin dall'inizio, non aggiunta successivamente. Ciò significa utilizzare tecniche di pseudonimizzazione e minimizzazione dei dati nella fase di progettazione e assicurare che per impostazione predefinita vengono trattati solo i dati minimi necessari. Il principio si applica a qualsiasi nuova tecnologia, servizio o prodotto che coinvolga dati personali.
I titolari del trattamento devono mantenere un registro scritto di tutte le attività di trattamento, coprendo: il nome e i dettagli di contatto del titolare del trattamento; i dettagli di contatto del DPO; le finalità; le categorie di interessati e dati; i destinatari; i trasferimenti internazionali; i periodi di conservazione; e una descrizione delle misure di sicurezza. I responsabili del trattamento devono mantenere registri analoghi. Le organizzazioni con meno di 250 dipendenti sono esentate a meno che il trattamento non sia occasionale, sia probabile che crei rischio, o coinvolga categorie speciali.
I titolari del trattamento e i responsabili del trattamento devono implementare misure tecniche e organizzative appropriate per garantire un livello di sicurezza appropriato al rischio. Il RGPD elenca esempi (crittografia, pseudonimizzazione, resilienza, backup e recupero, test regolari) ma non impone alcuna tecnologia specifica. Lo standard è basato sui rischi: un'organizzazione sanitaria che tratta migliaia di registri di pazienti è soggetta a uno standard più elevato rispetto a una piccola azienda che tratta solo indirizzi email di dipendenti.
Quando si verifica una violazione dei dati personali (distruzione accidentale o illegittima, perdita, alterazione, divulgazione non autorizzata di o accesso ai dati personali), il titolare del trattamento deve notificare l'autorità di controllo competente entro 72 ore dal momento in cui viene a conoscenza della violazione, a meno che la violazione non sia probabile che causi rischio per i diritti e le libertà degli individui. Ove la violazione sia probabile che causi un rischio elevato, gli interessati interessati devono essere notificati senza indebito ritardo. I responsabili del trattamento devono notificare il titolare del trattamento senza indebito ritardo al momento di venire a conoscenza di una violazione.
Una DPIA è obbligatoria prima di trattamenti che sono probabili che causino un rischio elevato per i diritti e le libertà degli individui. Il RGPD richiede specificamente una DPIA per: profiling sistematico ed esteso con effetti significativi; trattamento su larga scala di dati di categoria speciale o dati penali; e monitoraggio sistematico su larga scala di aree pubblicamente accessibili (ad es. CCTV). Ove la DPIA mostri rischio residuo elevato che non può essere mitigato, il titolare del trattamento deve consultare l'autorità di controllo nazionale prima di iniziare (Art 36).
Un RPD deve essere designato da: tutte le autorità pubbliche (tranne i tribunali nei loro compiti giudiziari); le organizzazioni le cui attività principali richiedono monitoraggio regolare e sistematico su larga scala degli interessati; e coloro le cui attività principali coinvolgono il trattamento su larga scala di dati di categoria speciale o dati penali. Il RPD deve essere indipendente, non può essere licenziato per aver svolto il proprio ruolo, deve riferire al livello dirigenziale più elevato, e deve avere competenze esperte in materia di diritto sulla protezione dei dati e pratica. Un gruppo di società può designare un unico RPD a condizione che sia accessibile da ogni stabilimento.
Ogni engagement di un responsabile del trattamento deve essere disciplinato da un contratto scritto che vincola il responsabile del trattamento e stabilisce: l'oggetto e la durata del trattamento; la natura e la finalità del trattamento; il tipo di dati personali e le categorie di interessati; le istruzioni del titolare del trattamento (il responsabile del trattamento deve trattare i dati personali solo su istruzioni documentate dal titolare del trattamento); gli obblighi di sicurezza; le regole sui sub-responsabili del trattamento; e gli obblighi sulla cancellazione o restituzione dei dati al termine del contratto. Ove un responsabile del trattamento impegni a sua volta un sub-responsabile del trattamento, gli stessi obblighi contrattuali devono fluire.
Capitolo V, Articoli 44-50: l'esportazione di dati personali al di fuori dell'UE/SEE richiede un meccanismo di trasferimento valido
Il principio generale nell'articolo 44 è che i trasferimenti di dati personali a paesi terzi o organizzazioni internazionali sono consentiti solo se sono soddisfatte le condizioni del Capitolo V. L'obiettivo è garantire che il livello di protezione degli individui garantito dal RGPD non sia minato dall'esportazione a una giurisdizione meno protettiva.
Il provvedimento Schrems II della Corte di giustizia dell'UE del 16 luglio 2020 (Causa C-311/18, Garante della protezione dei dati contro Meta Platforms Ireland Limited e Maximillian Schrems) ha annullato la decisione di adeguatezza dello Scudo sulla privacy UE-USA. La Corte ha sostenuto che la legge sulla sorveglianza USA (in particolare la Sezione 702 della FISA e l'Ordine esecutivo 12333) davano alle agenzie di intelligence USA accesso ai dati personali dell'UE in modi che non soddisfacevano gli standard dell'UE. Di conseguenza, i titolari del trattamento che si affidano alle CCS devono effettuare una Valutazione dell'impatto del trasferimento caso per caso per determinare se il quadro giuridico del paese di destinazione mina le protezioni contrattuali. L'Accordo sulla privacy UE-USA (adottato per decisione di adeguatezza il 10 luglio 2023) fornisce una nuova base di adeguatezza per le organizzazioni USA certificate, ma ulteriori sfide legali sono previste.
Capitolo VI-VIII, Articoli 51-84: autorità di controllo, il Comitato europeo per la protezione dei dati, e sanzioni amministrative su due livelli
Ogni Stato membro deve istituire almeno un'autorità di controllo nazionale indipendente (Articolo 51). Le APD devono agire con completa indipendenza e hanno tre categorie di poteri secondo l'articolo 58: poteri di ricerca (accesso ai locali, ai dati e alle informazioni); poteri correttivi (avvertimenti, rimproveri, ordini, divieti di trattamento, sanzioni); e poteri di consulenza e autorizzazione (pareri, codici, BCR, certificazioni).
Il meccanismo sportello unico (articoli 56, 60) significa che per il trattamento transfrontaliero, l'APD dello Stato membro in cui il titolare del trattamento ha il suo stabilimento principale agisce come autorità di controllo principale. Ad esempio, un'azienda con sede in Irlanda si occupa principalmente della Commissione per la protezione dei dati irlandese (DPC) per le attività di trattamento transfrontaliero.
Il Comitato europeo per la protezione dei dati è un organo indipendente dell'UE stabilito dal RGPD, composto dai capi di tutte le 27 APD nazionali e dal Controllore europeo della protezione dei dati. Garantisce l'applicazione coerente del RGPD in tutta l'UE pubblicando linee guida, pareri e decisioni vincolanti su casi transfrontalieri ove le APD non concordano. Il Comitato ha pubblicato linee guida estese su argomenti incluso il consenso, la portabilità dei dati, i trasferimenti internazionali, le violazioni dei dati, le DPIA, il diritto di accesso e molte questioni specifiche per settore. Le linee guida del Comitato non hanno forza di legge ma sono seguite da vicino dalle APD e dai tribunali.
Il regime sanzionatorio del RGPD opera su due livelli. Entrambi i livelli utilizzano la stessa formula "il massimo di" tra il massimo fisso e il massimo percentuale del fatturato, assicurando che le sanzioni siano significative anche per le più grandi società globali.
Nel decidere se imporre una sanzione e l'importo, le APD devono tenere conto di: la natura, la gravità e la durata della violazione; se è stata intenzionale o negligente; le azioni intraprese per mitigare il danno; il grado di responsabilità; le violazioni precedenti; la cooperazione con l'APD; le categorie di dati colpiti; e se l'APD è stata notificata volontariamente.
| Organizzazione | APD | Anno | Sanzione | Motivo |
|---|---|---|---|---|
| Meta (Facebook) | Commissione irlandese per la protezione dei dati | 2023 | 1,2 miliardi di EUR | Trasferimenti di dati personali dell'UE negli USA senza misure di salvaguardia adeguate |
| Amazon | CNPD del Lussemburgo | 2021 | 746 milioni di EUR | Trattamento dei dati personali pubblicitari senza base giuridica adeguata |
| Meta (WhatsApp) | Commissione irlandese per la protezione dei dati | 2021 | 225 milioni di EUR | Fallimenti di trasparenza e informazioni sulla privacy |
| CNIL Francia | 2019 | 50 milioni di EUR | Mancanza di trasparenza, informazioni inadeguate e assenza di consenso valido per gli annunci personalizzati | |
| Clearview AI | Garante italiano | 2022 | 20 milioni di EUR | Trattamento illegittimo di dati biometrici (immagini facciali raschiate da internet) |
Qualsiasi persona che ha subito danno materiale o non materiale a causa di una violazione del RGPD ha il diritto di ricevere il risarcimento dal titolare del trattamento o dal responsabile del trattamento. Sia il danno materiale (perdita finanziaria, costi di furto di identità) che il danno non materiale (angoscia, ansia) sono coperti. I titolari del trattamento e i responsabili del trattamento sono responsabili in solido, con diritti di regresso tra loro. Questo crea un meccanismo di applicazione privata potente insieme all'applicazione pubblica da parte delle APD.
dalla direttiva del 1995 al RGPD e oltre
domande comuni sull'ambito del RGPD, consenso, sanzioni e il quadro dei diritti
Sì, se offri beni o servizi alle persone nell'UE (gratuitamente o a pagamento) o se monitori il comportamento delle persone nell'UE (ad esempio, attraverso analitiche di siti web, cookie o pubblicità comportamentale indirizzata agli utenti dell'UE), il RGPD si applica a te secondo l'articolo 3(2). Devi anche designare un rappresentante scritto nell'UE (articolo 27), a meno che il tuo trattamento non sia occasionale, non coinvolga dati di categoria speciale su larga scala e sia improbabile che causi rischio per i diritti degli individui.
No. Il consenso è una delle sei basi giuridiche dell'articolo 6. In molte situazioni, un'altra base giuridica è più appropriata: il trattamento per l'esecuzione del contratto (Art 6(1)(b)), il rispetto di un obbligo legale (Art 6(1)(c)), o gli interessi legittimi (Art 6(1)(f)) possono fornire una base più stabile e appropriata. Scegliere il consenso quando è applicabile un'altra base giuridica crea problemi: se l'individuo ritira il consenso, devi cessare il trattamento anche se hai un'esigenza commerciale legittima. I titolari del trattamento dovrebbero identificare la base giuridica corretta prima di iniziare il trattamento dei dati.
Secondo l'articolo 4(12), una violazione dei dati personali è una violazione della sicurezza che conduce alla distruzione, perdita, alterazione, divulgazione non autorizzata di o accesso non autorizzato ai dati personali trasmessi, immagazzinati o altrimenti trattati. Ciò copre non solo attacchi informatici e hacking, ma anche l'invio accidentale di un'email contenente dati personali al destinatario sbagliato, la perdita di un'unità USB non crittografata, o un database mal configurato che diventa pubblicamente accessibile. Non ogni violazione richiede notifica all'autorità di controllo: la notifica è richiesta solo se la violazione è probabile che causi rischio per i diritti e le libertà delle persone fisiche (Art 33(1)).
No. Un DPO è obbligatorio solo per: (a) autorità e organismi pubblici (ad eccezione dei tribunali che agiscono nei loro compiti giudiziari); (b) organizzazioni le cui attività principali richiedono monitoraggio regolare e sistematico su larga scala degli interessati; e (c) organizzazioni le cui attività principali coinvolgono il trattamento su larga scala di dati di categoria speciale o dati penali (Art 37(1)). Un medico individuale, avvocato o piccola azienda non è tenuto a designare un DPO. Tuttavia, qualsiasi organizzazione può volontariamente designare un DPO (Art 37(4)), e il Comitato europeo per la protezione dei dati incoraggia questo come buona pratica.
Le APD devono valutare le sanzioni caso per caso, tenendo conto dei fattori elencati nell'articolo 83(2): la natura, la gravità e la durata della violazione; se è stata intenzionale o negligente; il numero di interessati colpiti; il livello di danno; le violazioni precedenti; la cooperazione con l'autorità; le categorie di dati colpiti; e come la violazione è diventata nota. Il massimo su due livelli (10 milioni EUR / 2% o 20 milioni EUR / 4%) agisce come un massimo, non uno standard o un importo atteso. Per le multinazionali grandi, il calcolo del 4% del fatturato globale è il limite vincolante, poiché supererà 20 milioni di EUR.
Un titolare del trattamento (Art 4(7)) è la persona fisica o giuridica, l'autorità pubblica, l'agenzia o l'ente che determina le finalità e i mezzi del trattamento dei dati personali. Un responsabile del trattamento (Art 4(8)) è l'entità che tratta i dati personali per conto del titolare del trattamento, seguendo le istruzioni documentate del titolare del trattamento. La stessa entità può essere titolare del trattamento per alcuni trattamenti e responsabile del trattamento per altri trattamenti. I titolari del trattamento sopportano i principali obblighi di conformità secondo il RGPD. I responsabili del trattamento hanno obblighi direttamente applicabili anche (sicurezza, notifica della violazione al titolare del trattamento, autorizzazione sub-responsabile, registri), e sono direttamente responsabili se eccedono le istruzioni del titolare del trattamento o agiscono illegittimamente.
definizioni chiave dall'articolo 4 e dal quadro del RGPD
riferimenti legislativi e normativi primari per il RGPD
Il testo consolidato ufficiale del Regolamento (UE) 2016/679 è disponibile su EUR-Lex in tutte le lingue ufficiali dell'UE.
Apri su EUR-LexIl Comitato europeo per la protezione dei dati pubblica decisioni vincolanti, linee guida, raccomandazioni e pareri sulla conformità al RGPD. Lettura essenziale per i professionisti della conformità.
Documenti EDPBOgni Stato membro dell'UE ha la sua propria autorità di controllo sulla protezione dei dati. Il Comitato europeo per la protezione dei dati mantiene una directory completa. La tua APD nazionale è il contatto principale per reclami e orientamenti nella tua giurisdizione.
Directory APDLa pubblicazione originale della Gazzetta ufficiale del RGPD. Le pagine 1-88 contengono il Regolamento; le pagine 88-102 contengono la Direttiva sull'applicazione della legge (2016/680) nello stesso numero.
GU L 119Strumenti basati su IA per approfondire la conformità al RGPD, gli emendamenti e l'analisi delle politiche
Brubru fornisce ai professionisti della politica dell'UE strumenti basati su IA per navigare il corpus legale dell'UE completo: chat, controlli di conformità, bozza di emendamenti e monitoraggio legislativo in tutti i 27 Stati membri.