GDPR: Regolamento generale sulla protezione dei dati
Dal 2018 il quadro di riferimento per la protezione dei dati nell'UE — con registro delle attività di trattamento, obbligo di notifica delle violazioni dei dati personali entro 72 ore, ampi diritti degli interessati e sanzioni fino al 4% del fatturato mondiale annuo.
Il pilastro più datato, ma tuttora centrale, del panorama di compliance UE.
Il Regolamento (UE) 2016/679 ("GDPR") disciplina in modo uniforme il trattamento dei dati personali in tutta l'UE e si applica direttamente in tutti gli Stati membri — praticamente a ogni organizzazione che tratti dati personali di persone nell'UE, indipendentemente dalla propria sede.
Elementi centrali sono il registro delle attività di trattamento (Records of Processing Activities, ROPA, Art. 30), la valutazione d'impatto sulla protezione dei dati (DPIA, Art. 35) in caso di rischio elevato previsto, ampi diritti degli interessati (tra cui accesso, cancellazione, portabilità dei dati) e misure tecniche e organizzative (TOM, Art. 32).
Rispetto a NIS2, DORA e l'AI Act, il GDPR è pienamente applicabile dal 2018 e viene precisato principalmente tramite le linee guida del Comitato Europeo per la Protezione dei Dati (EDPB) e delle autorità di controllo nazionali (in Italia: il Garante per la protezione dei dati personali).
Scadenze importanti
Il GDPR entra in vigore
Regolamento (UE) 2016/679 pubblicato nella Gazzetta Ufficiale; periodo transitorio di due anni fino alla piena applicabilità.
Il GDPR è pienamente applicabile
Art. 99, par. 2: inizio dell'applicazione del regolamento in tutta l'UE — in vigore fino ad oggi, senza ulteriori periodi transitori.
Notifica delle violazioni dei dati personali
Art. 33, par. 1: notifica all'autorità di controllo "senza ingiustificato ritardo e, ove possibile, entro 72 ore" dal momento in cui si è venuti a conoscenza della violazione.
Fino a 20 milioni di € o al 4% del fatturato mondiale annuo
Art. 83, par. 5 (violazioni più gravi, tra cui principi fondamentali, diritti degli interessati); l'Art. 83, par. 4 prevede per altre violazioni — tra cui alcune violazioni dell'obbligo di notifica — un limite inferiore fino a 10 milioni di € / 2%.
Cosa richiede concretamente il GDPR.
Registro delle attività di trattamento (ROPA, Art. 30)
Documentazione di tutte le attività di trattamento dei dati personali — finalità, categorie, destinatari, termini di cancellazione, riferimenti alle TOM.
Valutazione d'impatto sulla protezione dei dati (DPIA, Art. 35)
In caso di rischio elevato previsto per gli interessati: valutazione strutturata di rischio, necessità e proporzionalità del trattamento prima del suo inizio.
Obbligo di notifica delle violazioni dei dati
Notifica all'autorità di controllo entro 72 ore (Art. 33), in caso di rischio elevato anche comunicazione agli interessati (Art. 34).
Diritti degli interessati (DSAR)
Accesso, rettifica, cancellazione, limitazione, portabilità dei dati e opposizione — di norma da soddisfare entro un mese (Art. 12, par. 3).
ROPA, DPIA e DSAR — collegati senza soluzione di continuità a ISO 27001.
Il Framework Pack ReportAct per il GDPR gestisce un registro delle attività di trattamento ai sensi dell'Art. 30, supporta le valutazioni d'impatto sulla protezione dei dati ai sensi dell'Art. 35 con bozza assistita da IA, e mette a disposizione una casella di posta DSAR pubblica per le richieste degli interessati (/dsar/[slug]).
La valutazione delle TOM ai sensi dell'Art. 32 è collegata direttamente al catalogo dei controlli ISO/IEC 27001 — le misure tecniche e organizzative non devono essere documentate due volte.
In caso di violazione dei dati soggetta a notifica, la catena di prove sigillata fornisce la dimostrazione di quale misura fosse in vigore e quando — rilevante per il termine di 72 ore e per l'obbligo di documentazione ai sensi dell'Art. 33, par. 5.
Dichiarazione di prodotto/posizionamento, non consulenza legale.
Consulti direttamente
ReportAct non è una società di consulenza. Questa pagina non sostituisce una consulenza legale. Il regime sanzionatorio ai sensi dell'Art. 83 è su due livelli: l'Art. 83, par. 4 (fino a 10 milioni di € / 2%) e l'Art. 83, par. 5 (fino a 20 milioni di € / 4%) si applicano a diverse tipologie di violazione — quale limite si applichi nel singolo caso dipende dalla violazione concreta. Si applicano i nostri Termini e condizioni.
ROPA, DPIA, DSAR — sigillati, non solo dichiarati.
Inizi subito con il Suo registro delle attività di trattamento — inclusa casella DSAR e valutazione delle TOM.