Consulenza GDPR & DPO.

Il GDPR si applica ai “titolari del trattamento dei dati” che sono tutti gli enti privati ​​o pubblici che trattano dati personali di soggetti denominati “interessati” residenti nell’UE.

Sì. Il GDPR si applica anche alle organizzazioni al di fuori dell’UE come gli Stati Uniti che offrono beni o servizi a persone nell’UE e/o monitorano il comportamento degli utenti (ad esempio la navigazione su un sito web).

Il GDPR tutela gli “interessati” i cui dati personali sono trattati da un titolare del trattamento stabilito in uno Stato membro dell’UE al momento del trattamento dei dati o i cui dati sono trattati da un titolare del trattamento che offre beni e servizi o ne traccia il comportamento online, a condizione che tali interessati siano fisicamente presenti nell’UE al momento di tale attività di trattamento.

Un titolare del trattamento deve informare l’interessato di quanto segue:

• La finalità del trattamento dei dati personali.
• La base giuridica per il trattamento dei dati personali
• Le categorie di dati personali che verranno raccolti e trattati.
• Chi sono i destinatari dei loro dati personali.
• I dati di contatto dei soggetti che trattano i loro dati.
• Se i dati personali saranno trasferiti in un paese terzo.
• Il periodo di conservazione dei dati personali.
• L’esistenza di processi decisionali automatizzati.
• Tutti i diritti dell’interessato definiti dal GDPR.

Gli Interessati hanno il diritto di:

• Revocare il consenso al trattamento dei propri dati per finalità di marketing
• Accesso ai propri dati personali
• Cancellazione dei dati personali all’interno di determinati scenari.

Il GDPR richiede che i titolari e gli incaricati del trattamento dei dati implementino misure tecniche e organizzative per garantire la ragionevole sicurezza delle loro operazioni di trattamento dei dati. Il GDPR adotta un approccio basato sul rischio per determinare quale livello di misure tecniche e organizzative sono richieste in ciascun caso. I fattori rilevanti includono la natura e il volume delle attività di trattamento dei dati, la criticità dei dati trattati ei rischi associati alle specifiche operazioni di trattamento.

Il GDPR definisce le informazioni protette come “dati personali”, ovvero qualsiasi informazione relativa a una persona fisica identificata o identificabile, tra cui:

• Nomi
• Numeri di identificazione
• Dati sulla posizione
• Uno o più fattori specifici dell’identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale di una persona fisica.

Il GDPR disciplina alcuni tipi di rapporti con i fornitori. Oltre al titolare del trattamento, il GDPR riconosce il ruolo del “responsabile del trattamento” quale soggetto che tratta dati personali per conto e sotto la direzione di un titolare del trattamento. Nella loro attività di trattamento, i responsabili del trattamento devono attenersi rigorosamente alle istruzioni del titolare del trattamento. Il GDPR stabilisce i requisiti minimi per il contratto che un titolare del trattamento deve stipulare con un responsabile del trattamento.

Contitolari e “terze parti” sono soggetti diversi dall’originario titolare del trattamento o dai suoi incaricati del trattamento che possono legittimamente essere coinvolti nel trattamento dei dati personali. Inoltre, i contitolari del trattamento che definiscono congiuntamente le modalità e le finalità di un’attività di trattamento devono ripartire le proprie responsabilità in un accordo scritto.

Un responsabile del trattamento determina le finalità e i mezzi del trattamento dei dati personali. Un responsabile del trattamento è responsabile del trattamento dei dati personali per conto di un responsabile del trattamento.

Il GDPR prevede la nomina obbligatoria di un Data Protection Officer o DPO. È responsabile della supervisione della strategia di protezione dei dati di un’organizzazione e dell’attuazione dei requisiti GPDR. Il DPO è il principale punto di contatto con le competenti autorità pubbliche di controllo dei dati.

Un’autorità di vigilanza può infliggere una sanzione fino a 20 milioni di euro o il 4% del fatturato annuo, nonché emettere avvisi.