Il Regolamento generale sulla protezione dei dati (UE 2016/679) è entrato in vigore il 25 maggio 2018, aggiungendo nuovi elementi e miglioramenti significativi al regime di protezione dei dati esistente.
Il Data Protection Act (DPA) 2018, entrato in vigore il 23 maggio 2018, ha recepito il GDPR, aggiungendo al contempo disposizioni per la legislazione del Regno Unito volte ad estendere il GDPR ad ambiti quali i servizi di sicurezza e gli enti governativi, che non erano coperti esclusivamente dal GDPR.
Dopo la Brexit (dopo la fine del periodo di transizione della Brexit dal 1° gennaio 2021 in poi), il GDPR del Regno Unito è la versione mantenuta del Regolamento UE in virtù della sezione 3 dell'Azione di recesso dell'Unione europea del 2018 e come modificato dal Regolamento sulla protezione dei dati, sulla privacy e sulle comunicazioni elettroniche (modifica ecc.) (uscita dall'UE) del 2020.
Il GDPR del Regno Unito tutela i diritti dei cittadini del Regno Unito in relazione ai loro dati, mentre il GDPR dell'UE tutela i diritti dei cittadini dell'UE. Per le organizzazioni che gestiscono dati di cittadini sia del Regno Unito che dell'UE, si applicano entrambi i GDPR.
I principi e i requisiti del GDPR dell'UE continuano ad applicarsi nel Regno Unito con la sua versione post-Brexit. Qui esamineremo i principali ambiti di applicazione e alcune definizioni.
Titolari e responsabili del trattamento
Il GDPR si applica sia ai titolari del trattamento che ai responsabili del trattamento dei dati. I titolari del trattamento stabiliscono come e perché i dati personali vengono trattati. Il responsabile del trattamento agisce per conto del titolare del trattamento per elaborare i dati. La tua organizzazione può essere un responsabile del trattamento dei dati, un titolare del trattamento dei dati, o entrambi.
Sia i titolari del trattamento che i responsabili del trattamento hanno obblighi legali specifici:
- i titolari del trattamento devono garantire specificamente che i contratti con i responsabili del trattamento siano conformi al GDPR; e
- i titolari del trattamento e i responsabili del trattamento hanno requisiti separati, ma espliciti, per mantenere registri dei dati personali e delle attività di trattamento
- I responsabili del trattamento sono inoltre legalmente responsabili e tenuti a rispondere di eventuali violazioni della sicurezza.
Per informazioni più dettagliate sui requisiti di documentazione, consultare la nostra scheda informativa correlata "Sicurezza dei dati - Regolamento generale sulla protezione dei dati - Garanzia di conformità".
Principi di protezione dei dati
I dati personali saranno:
- trattati in modo lecito, corretto e trasparente
- raccolti per scopi determinati, espliciti e legittimi
- adeguati, pertinenti e limitati a quanto necessario allo scopo
- accurati e aggiornati. I dati inesatti devono essere cancellati o corretti
- conservati in un formato identificabile per un periodo non superiore a quello necessario
- trattati in modo sicuro e protetti da elaborazioni non autorizzate o illecite, perdite accidentali, distruzione o danneggiamento.
Diritti GDPR per gli individui
Il diritto di essere informati
Gli individui hanno il diritto di sapere come verranno trattati i loro dati personali. Il GDPR promuove la trasparenza sul trattamento attraverso un'informativa sulla privacy che includa (tra le altre cose) i dettagli del titolare del trattamento, la fonte dei dati, i destinatari dei dati, i trasferimenti di dati effettuati al di fuori dell'UE e il periodo di conservazione dei dati.
Diritto di accesso (richiesta di accesso da parte dell'interessato)
Gli individui hanno il diritto di ottenere conferma che i loro dati siano in corso di elaborazione, di accedere ai propri dati personali e ad altre informazioni, come quelle fornite in un'informativa sulla privacy.
Il tempo massimo consentito per gestire una richiesta di accesso ai dati è di 30 giorni e il diritto di addebitare una tariffa per l'accesso ai dati è stato eliminato, a meno che la richiesta non sia infondata, eccessiva o ripetitiva.
Il diritto di rettifica
Gli interessati hanno il diritto di ottenere la rettifica dei dati personali inesatti o incompleti. Ciò vale anche per i dati personali condivisi o forniti a terzi.
Il diritto alla cancellazione
Gli interessati hanno il diritto di richiedere la cancellazione o la rimozione dei dati personali laddove non vi siano motivi impellenti per il loro trattamento. Anche in questo caso, ciò include anche i dati personali condivisi o ceduti a terzi.
È importante notare che quando la richiesta riguarda un bambino, sono previsti requisiti aggiuntivi.
Esistono alcune eccezioni al diritto alla cancellazione, ad esempio quando i dati vengono conservati per ottemperare a un obbligo legale.
Il diritto di limitare il trattamento
Gli interessati hanno il diritto di limitare il trattamento dei dati personali. In tali circostanze, i dati personali possono essere conservati, ma non trattati.
Il diritto alla portabilità dei dati
Gli individui hanno il diritto di ottenere e riutilizzare i propri dati personali su diversi servizi. Ciò consente loro di spostare, copiare o trasferire i dati personali. I dati personali devono essere forniti in un formato strutturato e leggibile da dispositivo automatico (ad esempio .csv).
Il diritto di opposizione
Gli interessati hanno il diritto di opporsi al trattamento dei dati personali. Il trattamento deve cessare immediatamente, a meno che non vi siano motivi legittimi cogenti per procedere al trattamento o se il trattamento serve all'accertamento, all'esercizio o alla difesa di un diritto in sede giudiziaria.
Diritti in relazione al processo decisionale automatizzato e alla profilazione
Gli individui hanno il diritto di garantire che siano in atto misure di salvaguardia per proteggersi dal rischio che decisioni dannose vengano prese senza l'intervento umano. Ciò si estende anche alla tutela dei dati personali utilizzati a fini di profilazione.
Responsabilità e governance
Il principio di responsabilità richiede che siano adottate misure di governance adeguate per documentare la conformità. Le organizzazioni devono pertanto:
- attuare misure che rispettino i principi di protezione dei dati
- documentare le politiche e le procedure relative all'archiviazione e al trattamento dei dati personali
- attuare misure tecniche e organizzative per garantire e dimostrare la conformità.
- nominare un responsabile della protezione dei dati ove necessario.
Per informazioni più dettagliate, consultare la nostra scheda informativa correlata "Sicurezza dei dati: garantire la conformità alla protezione dei dati".
Liceità del trattamento
È importante comprendere e documentare le basi giuridiche del trattamento. Sono sei:
- Consenso
- Obbligo contrattuale
- Obbligo legale
- Interessi vitali
- Interesse pubblico
- Interessi legittimi.
Per quanto riguarda il consenso, questo deve essere specifico, inequivocabile e liberamente prestato. Il consenso positivo non può essere dato per scontato a causa dell'inazione, ad esempio non cliccando sul pulsante "annulla iscrizione" online o utilizzando caselle preselezionate. Le aziende devono assicurarsi di registrare la data, l'ora, il metodo e la formulazione effettiva utilizzata per ottenere il consenso, quindi è importante assicurarsi di avere i mezzi per registrare e documentare tali informazioni.
Linee guida sul consenso dell'ICO
L'interesse legittimo ti garantirà la possibilità di trattare i dati degli individui, ma solo nei limiti da loro previsti. Se intendi fare affidamento su interessi legittimi, ti assumerai la responsabilità di garantire che:
- esiste una base per utilizzare l'interesse legittimo
- il trattamento dei dati è limitato a tale interesse e può essere dimostrato
- i diritti dell'individuo sono stati considerati in un processo di bilanciamento
- l'individuo è informato degli interessi legittimi nelle tue politiche sulla privacy.
Linee guida sugli interessi legittimi dell'ICO
Notifica delle violazioni
Una violazione dei dati personali è la distruzione, la perdita, l'alterazione, la divulgazione non autorizzata o l'accesso accidentale o illecito ai dati personali.
L'autorità di regolamentazione del Regno Unito, l'ICO, dispone di uno strumento di autovalutazione online che aiuta a determinare la gravità della violazione e se sia necessario segnalarla. Alcune violazioni devono essere notificate all'autorità di vigilanza competente entro 72 ore. È fondamentale effettuare la valutazione non appena viene scoperta la violazione.
Guida alla valutazione della violazione dei dati personali dell'ICO
Trasferimento dei dati
Il 28 giugno 2021 la Commissione Europea ha adottato una decisione di adeguatezza per il Regno Unito, il che significa che la maggior parte dei dati può continuare a circolare tra il Regno Unito e l'UE-SEE senza la necessità di ulteriori garanzie. (L'eccezione sono i dati ai fini del controllo dell'immigrazione.)
In caso di trasferimento di dati verso un "Paese terzo", potrebbero essere applicabili garanzie aggiuntive come le Clausole Contrattuali Standard o le Norme Vincolanti d'Impresa. Il primo link qui sotto è dell'autorità di regolamentazione del Regno Unito, l'ICO. Il secondo è della Commissione Europea.
Linee guida per l'accordo di trasferimento dati ICO
Norme UE per i trasferimenti al di fuori del blocco
Fonti e link
Pagina iniziale dell'ICO per le organizzazioni
Portale GDPR dell’UE – www.gdpreu.org
