Dati personali: cosa sono e come vanno trattati
In questo periodo, vuoi per il Green Pass, vuoi per i sempre più frequenti casi di Data Breach anche tra le grandi aziende si parla sempre di più di privacy e trattamento dei dati personali. E ovviamente anche il GDPR ha reso centrale il trattamento dei dati.
In realtà anche prima dell’entrata in vigore del Regolamento Europeo conoscevamo l’importanza dei dati personali grazie alla Legge sulla Privacy del 2003, adesso integrata nel GDPR. Con il GDPR però il dato personale assume nuovi risvolti.
Grazie al principio del consenso l’interessato al trattamento acquisisce il potere di decidere chi e come può trattare i suoi dati. Inoltre il titolare del trattamento deve adeguare l’organizzazione della sua impresa per tutelare al massimo i dati personali che tratta.
Photo by Romson Preechawit on Unsplash
Cosa sono i dati personali
I dati personali sono tutte le informazioni grazie alle quali si identifica una persona. Si distinguono in due categorie: dati personali comuni e dati personali particolari. I dati comuni sono spesso di pubblico dominio. Ad es. la targa della tua automobile o il tuo nome e cognome. Nello specifico i dati comuni sono:
- nome e cognome
- il codice fiscale
- la email personale
- la email aziendale da cui si può identificare la persona
- l’indirizzo di residenza e/o domicilio
- la targa dell’automobile
- l’immagine di una persona
I dati particolari, che nella Legge Privacy erano definiti dati “sensibili”, sono sottoposti a una disciplina specifica da parte del GDPR. Sono i dati:
- sanitari
- giudiziali
- relativi all’etnia, l’orientamento politico e la religione
Il trattamento dei dati personali
Il trattamento dei dati personali inizia dall’acquisizione del dato stesso. Un dato personale, anche se pubblico o facilmente reperibile, non è a disposizione di tutti. Per il trattamento dei dati personali è necessario avere il consenso dell’interessato. L’interessato al trattamento deve sempre essere informato:
- di quali dati vengono trattati
- le finalità per cui i suoi dati vengono trattati
- per quanto tempo i suoi dati verranno trattati
Tutte queste informazioni sono inserite nell’Informativa Privacy. Anche il consenso al trattamento dei dati deve essere acquisito seguendo specifiche regole per essere valido.
Il consenso al trattamento dei dati personali
Partendo dall’assunto che il consenso al trattamento dei dati va sempre ottenuto, ci sono casi in cui il consenso è comunque obbligatorio oppure va ottenuto con particolari modalità.
Ad es. nel caso dell’invio di un curriculum il candidato invia una liberatoria che permette di elaborare i dati presenti nel curriculum. Oppure nel caso di trattamento dei dati al fine dell’emissione della fattura al soggetto interessato il consenso non è necessario in quanto si deve adempiere a un obbligo previsto per legge.
Allo stesso modo il consenso al trattamento del proprio indirizzo fisico non è necessario per la ricezione di un prodotto che si è ordinato.
Oppure, all’opposto, quando vengono trattati dati sensibili o, meglio, “particolari”, oppure quando i dati personali sono trattati ai fini di profilazione e marketing.
In questi casi, oltre ai normali requisiti del consenso, se ne aggiungono altri. Il consenso scritto è richiesto solo per il trattamento di dati sensibili o particolari. I dati:
- sanitari
- che sono inerenti all’etnia della persona, al suo orientamento sessuale, politico, religioso
- da cui si deduce che l’interessato fa parte di sindacati, partiti politici, organizzazioni religiose
La modalità di acquisizione del consenso deve essere conservata affinché il titolare del trattamento possa dimostrare la liceità del trattamento di questi dati.
Quindi il titolare del trattamento dovrà provvedere a conservare il modulo del consenso acquisito in un posto assolutamente sicuro.
Così come dovrà garantire che questi moduli di acquisizione del consenso saranno poi eliminati in maniera adeguata affinché i dati non siano più leggibili una volta terminata la finalità per cui erano stati acquisiti.
Per il trattamento di questi dati non è sufficiente il consenso scritto dell’interessato ma è necessaria l’autorizzazione del Garante Privacy.
Photo by Jon Tyson on Unsplash
Chi può trattare i dati personali
Il titolare del trattamento decide le finalità e le modalità del trattamento ma non sempre si occupa anche della parte esecutiva del trattamento.
I dati personali possono essere, infatti, “gestiti” da altri soggetti: il responsabile del trattamento e l’incaricato al trattamento.
Il GDPR disciplina anche le modalità di incarico di questi soggetti nonché i loro poteri e doveri in merito al trattamento dati personali.
Le regole da rispettare nella raccolta dei dati personali
Una volta che abbiamo raccolto i dati le regole da rispettare sono:
- Finalità del trattamento dei dati personali. L’utilizzo dei dati deve essere limitato alle finalità per cui sono stati acquisiti o per finalità affini
- Tempo del trattamento dei dati personali.
I dati possono essere conservati solo per il tempo necessario a raggiungere le finalità per cui sono stati raccolti.
Ovviamente è sempre vietata la diffusione dei dati personali raccolti. Il GDPR non prescrive come vanno conservati i dati ma fornisce delle indicazioni sulle modalità di conservazione dei dati.
Il titolare del trattamento deve fare tutto ciò che è in suo potere per evitare un data breach. Diventa, quindi, fondamentale la valutazione d’impatto.
Ma anche rivedere l’organizzazione aziendale se risulta non adeguata alla conservazione sicura dei dati. Inoltre l’azienda deve necessariamente rimanere aggiornata rispetto alle novità tecnologiche che rendono sempre più sicura la conservazione dei dati personali.
Se questi aspetti ti interessano e li vuoi approfondire puoi leggere gli altri articoli pubblicati nella categoria GDPR.
Vuoi risolvere una tua questione legale o avere un parere sugli argomenti trattati? Prenota qui la tua consulenza.
Per tutti gli aggiornamenti segui #LexAroundMe Lascia qui il tuo commento al blog e ai servizi di LexAround.me
#Dati personali: cosa sono e come vanno trattati #privacy #GDPR #datipersonali #consenso #databreach #LexAroundMe Condividi il Tweet
Chi sono:
