Privacy 2018: Il principio di accountability e i diritti degli interessati

Dott. Alessio Pistone | 25/05/2018

Nonostante in molti si augurassero il contrario, e ieri siano state fraintese notizie circolate in rete, a causa dello slittamento ad agosto delle deleghe al governo, e non del termine per l’adeguamento alla nuova disciplina, da oggi tutti coloro che trattano, in qualsiasi forma, dati personali, devono essere in regola con il GDPR.
Tecnicamente parlando non possiamo dire che “oggi entra in vigore” il GDPR, vale a dire il nuovo Regolamento Europeo in materia di trattamento dei dati personali. Già pubblicato sulla G.U. del 4 maggio 2016, il GDPR è entrato in vigore dal ventesimo giorno successivo alla pubblicazione e prevede il termine ultimo di oggi per l’effettiva applicazione e la sua completa efficacia su ogni punto, ad iniziare dalle pesanti sanzioni per chi non ottemperi a quanto in esso disposto.
La nuova normativa che, deve ribadirsi, prenderà il posto della vecchia 196/2003, che resterà in vigore per le previsioni penali stante la riserva di legge ai singoli Stati dell’Unione sul punto, ruota attorno al principio della “accountability”, termine che possiamo tradurre in responsabilizzazione, ma che in Italiano non rende idea del suo più pieno significato.
Il GDPR, introducendo i principi di privacy by default e privacy by design ha definitivamente posto l’accento sul ruolo e le responsabilità dei soggetti che determinano le finalità e i mezzi del trattamento che sono tenuti a porre in essere tutte le misure necessarie alla protezione dei dati personali di cui vengano in possesso. Possiamo ben dire che il legislatore europeo, ben prima delle recenti notizie sulle falle e il pessimo trattamento dati personali operato anche da giganti del web, Facebook in primis, ha rilevato l’inadeguatezza di un sistema, quale il nostro, che si focalizzava più sui rimedi successivi alle possibili violazioni e era certo meno attento alle misure per una reale protezione degli interessati e dei loro dati.
La nuova normativa, anche a fronte degli sviluppi della rete e delle possibilità di violazione dei dati, con conseguente loro uso illecito, impone ai responsabili del trattamento comportamenti di protezione preventiva e prevede sanzioni di natura decisamente deterrente. Basti pensare a pene pecuniarie che possono giungere ad una percentuale non certo irrisoria del fatturato.
In sintesi possiamo dire il Titolare del trattamento, insieme al Responsabile nominato, dovranno porre in essere misure effettive e customizzate sull’attività svolta, basate sui concreti fattori di rischio da cui tutelarsi. IN sintesi si rende necessaria una preventiva attività di programmazione e pianificazione prima ancora di venire in possesso dei dati sensibili da trattare. Il tutto nella prospettiva che l’Interessato, cioè colui che autorizza il trattamento, viene concesso un ruolo decisamente attivo.
Infatti sono espressamente garantiti a ciascun interessato i seguenti fondamentali diritti:
1) Diritto di accesso: si configura come il diritto del soggetto interessato di richiedere e ottenere dal titolare del trattamento le informazioni sul trattamento dei suoi dati personali;
2) Diritto all’oblio: vale a dire il diritto dell’interessato a veder cancellati i dati personali che lo riguardano una volta venute meno le ragioni del trattamento ovvero il consenso;
3) Diritto di rettifica: il diritto dell’interessato di richiedere che siano modificati, corretti o aggiornati i dati che lo riguardano;
4) Diritto di limitazione: consiste nel diritto riconosciuto all’interessato di richiedere al titolare che il trattamento dei suoi dati sia limitato alla sola conservazione;
5) Diritto alla portabilità dei dati: l’interessato ha il diritto di ricevere dal titolare copia dei dati personali oggetto del trattamento in un formato strutturato, di uso comune e leggibile da dispositivo automatico; si pensi a poter trasferire tutta la posta elettronica in casso di cambio di operatore.
Si tratta di elementi che dovranno essere considerati nell’adozione delle misure di sicurezza già nella fase organizzativa e di predisposizione degli strumenti di sicurezza, che non potranno certo limitarsi a password da cambiare periodicamente o alla raccolta di dati cartacei da tenere in un archivio. Si rende quindi necessaria la garanzia della tutela e protezione reale dei dati personali, mediante misure (giuridiche, organizzative, di sicurezza, e così via) la cui individuazione e adattamento al caso specifico sono responsabilità del titolare e del responsabile, nell’ambito di un vero programma di protezione del dato che si sostanzi nell’implementazione di processi non occasionali ma sistematici ed organizzati finalizzati alpiù ampio privacy management di un’azienda o di un professionista e, comunque, si vuole ribadire, di chiunque tratti dati personali.
Avvocato Gianni Dell’Aiuto