Regolamento UE 2016/679 (GDPR)

Introduzione

Il Regolamento Generale sulla Protezione dei Dati — noto con l'acronimo GDPR (General Data Protection Regulation) e identificato formalmente come Regolamento UE 2016/679 — costituisce il quadro normativo di riferimento per la protezione dei dati personali nell'Unione Europea. Entrato in vigore il 25 maggio 2018, ha abrogato la Direttiva 95/46/CE e, in Italia, ha adeguato il D.Lgs. 196/2003 (Codice Privacy) tramite il D.Lgs. 101/2018.

Il Regolamento non si limita a definire regole e obblighi formali: istituisce un vero e proprio organigramma di responsabilità, assegnando a ciascun soggetto coinvolto un ruolo preciso con relativi diritti e doveri. Al contempo, introduce un approccio basato sulla responsabilizzazione proattiva (accountability), imponendo misure tecniche e organizzative adeguate al rischio e richiedendo che la protezione dei dati sia integrata fin dalla progettazione dei sistemi (privacy by design e privacy by default). Comprendere questa struttura è fondamentale per chiunque operi in ambito IT, sviluppo software o gestione aziendale, poiché ogni decisione tecnica si riflette direttamente sulle figure giuridiche in gioco.

Ambito di Applicazione

Ambito materiale (Art. 2 GDPR)

Il Regolamento disciplina il trattamento di dati personali interamente o parzialmente automatizzato, nonché il trattamento non automatizzato di dati personali contenuti in un archivio o destinati a figurarvi (inclusa la gestione di archivi cartacei).

Ai sensi dell'art. 2, commi 14-21, il Regolamento non si applica:

• ai trattamenti per attività che non rientrano nel diritto dell'Unione (es. sicurezza nazionale);

• ai trattamenti di dati effettuati da una persona fisica per l'esercizio di attività a carattere esclusivamente personale o domestico;

• ai trattamenti effettuati per prevenzione, indagine, accertamento di reati o esecuzione di sanzioni penali (materia regolata dalla Direttiva UE 2016/680).

Ambito territoriale (Art. 3 GDPR)

L'ambito applicativo territoriale del GDPR è particolarmente esteso e prevede un rilevante effetto extraterritoriale. Il Regolamento si applica:

1. ai trattamenti effettuati da un Titolare o Responsabile stabilito nell'UE, anche se il trattamento ha luogo al di fuori dell'Unione;

2. ai trattamenti effettuati da un Titolare o Responsabile non stabilito nell'UE, qualora il trattamento riguardi dati personali di interessati che si trovano nell'UE (es. offrendo loro beni/servizi o monitorandone il comportamento);

3. ai trattamenti effettuati da un Titolare stabilito in uno Stato extra-UE soggetto al diritto di uno Stato membro in virtù del diritto internazionale pubblico.

Definizioni Chiave e Tipologie di Dati

Dato personale (Art. 4 GDPR)

Dato personale: qualsiasi informazione riguardante una persona fisica identificata o identificabile («interessato»), direttamente o indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale.

La definizione è volutamente ampia. Tra gli identificativi di rilievo tecnico espressamente citati rientrano:

• Indirizzo IP: identificativo univoco di un dispositivo in rete;

• Identificativi cookie con profilazione: tracciamento del comportamento online;

• GPS: coordinate di geolocalizzazione;

• Elementi dell'identità genetica: informazioni estratte da analisi del DNA.

Trattamento dei dati (Art. 4 GDPR)

Trattamento: qualunque operazione o complesso di operazioni, effettuate anche senza l'ausilio di strumenti elettronici, concernenti dati personali — anche se non registrati in una banca dati.

Costituisce trattamento qualsiasi operazione tra cui: raccolta, registrazione, organizzazione, conservazione, consultazione, elaborazione, modificazione, selezione, estrazione, raffronto, utilizzo, interconnessione, blocco, comunicazione, diffusione, cancellazione e distruzione.

Le Tre Macro-Categorie di Dati

1. Dati identificativi: informazioni che consentono l'identificazione diretta (nome, cognome, codice fiscale, immagine, dati biometrici base).

2. Categorie particolari di dati (Art. 9 GDPR): dati che rivelano l'origine etnica o razziale, le opinioni politiche, le convinzioni religiose o filosofiche, l'appartenenza sindacale, lo stato di salute, la vita o l'orientamento sessuale, nonché i dati genetici e biometrici intesi a identificare in modo univoco una persona. Il loro trattamento è vietato in via generale, salvo le eccezioni tassative di cui all'art. 9, par. 2.

3. Dati giudiziari (Art. 10 GDPR): dati relativi a condanne penali e reati (qualità di imputato/indagato, casellario giudiziale, misure alternative). Il trattamento è consentito solo sotto il controllo dell'autorità pubblica o se autorizzato dal diritto dell'UE o degli Stati membri.

L'Organigramma della Privacy: Ruoli e Responsabilità

Evoluzione delle Figure (D.Lgs. 196/2003 vs GDPR)

Il GDPR ha riorganizzato e ampliato le figure del trattamento rispetto al passato:

Sintesi delle Figure Fondamentali del GDPR

Analisi Dettagliata dei Ruoli

Il Titolare del Trattamento (Artt. 4.7 e 24 GDPR)

È la persona fisica o giuridica, l'autorità pubblica o l'organismo che determina le finalità e i mezzi del trattamento. È la figura centrale che risponde in prima persona e direttamente nei confronti dell'interessato per i danni derivanti da un trattamento illecito.

Il Titolare deve garantire e dimostrare la conformità attraverso:

• la tenuta dei Registri delle attività di trattamento (art. 30 GDPR);

• l'adesione a codici di condotta (art. 40 GDPR) o meccanismi di certificazione (art. 42 GDPR);

• la predisposizione di adeguate misure di sicurezza tecniche e organizzative.

Il Responsabile Esterno del Trattamento (Art. 28 GDPR)

È il soggetto esterno che tratta dati per conto del Titolare (es. provider cloud, software house in outsourcing, consulenti del lavoro).

L'affidamento ad un Responsabile deve avvenire mediante un atto giuridico vincolante (Data Processing Agreement - DPA), il quale deve imporre al Responsabile di:

1. trattare i dati solo su istruzione documentata del Titolare;

2. garantire la riservatezza e far rispettare gli obblighi ai propri incaricati;

3. adottare le misure di sicurezza di cui all'art. 32 GDPR;

4. assistere il Titolare nell'evasione dei diritti e nella gestione dei Data Breach;

5. cancellare o restituire tutti i dati al termine del contratto;

6. consentire verifiche e audit.

Il Sub-Responsabile (Art. 28 GDPR)

Se il Responsabile intende ricorrere a un subappaltatore (Sub-responsabile), deve ottenere una previa autorizzazione scritta (specifica o generale) dal Titolare. Si applica il principio della "discesa degli obblighi lungo la catena": il primo Responsabile conserva l'intera responsabilità nei confronti del Titolare per l'inadempimento del Sub-responsabile.

Il Contitolare del Trattamento (Art. 26 GDPR)

Ricorre quando due o più soggetti determinano congiuntamente le finalità e i mezzi del trattamento (es. piattaforme CRM condivise in un gruppo aziendale o co-marketing). I contitolari devono stipulare un accordo interno che definisca ruoli e responsabilità, indicando un punto di contatto unico per gli interessati.

L'Autorizzato al Trattamento (Art. 29 GDPR)

Sono le persone fisiche (dipendenti, collaboratori) che operano sotto l'autorità diretta del Titolare o del Responsabile. Trattano i dati solo su istruzioni documentate. In ambito IT, questo comporta l'adozione del principio del minimo privilegio (least privilege), la profilazione degli accessi applicativi e il tracciamento delle operazioni.

L'Interessato (Art. 4.1 GDPR)

È esclusivamente la persona fisica a cui si riferiscono i dati personali (clienti, dipendenti, utenti web). Le persone giuridiche, gli enti e le associazioni non sono qualificabili come "interessati" ai sensi del GDPR.

Il Data Protection Officer (DPO) e la Governance

Il Data Protection Officer (DPO / Responsabile della Protezione dei Dati) è la figura di garanzia che esercita funzioni di informazione, consulenza e controllo interno.

Nomina Obbligatoria vs Volontaria (Art. 37 GDPR)

La nomina del DPO è obbligatoria nei seguenti casi:

• trattamenti effettuati da un'autorità pubblica o da un organismo pubblico;

• attività principali che richiedono il monitoraggio regolare e sistematico degli interessati su larga scala;

• attività principali che consistono nel trattamento su larga scala di categorie particolari di dati (art. 9) o dati relativi a condanne penali (art. 10).

In assenza di un obbligo formale, la nomina volontaria è fortemente consigliata per strutturare in modo solido la governance della privacy.

Caratteristiche e Compiti del DPO (Artt. 38–39 GDPR)

• Indipendenza: il DPO riferisce direttamente ai vertici aziendali, non riceve istruzioni sull'esecuzione dei suoi compiti e non deve versare in situazioni di conflitto di interesse.

• Tipologia di incarico: può essere un dipendente interno o un professionista/società esterna. Un gruppo aziendale può nominare un unico DPO purché facilmente raggiungibile da ogni stabilimento.

• Compiti principali:

  • informare e fornire consulenza al Titolare/Responsabile e ai dipendenti;

  • sorvegliare l'osservanza del Regolamento e delle policy interne (compresi audit e formazione);

  • fornire pareri sulla Valutazione di Impatto sulla Protezione dei Dati (DPIA, art. 35 GDPR);

  • fungere da punto di contatto per il Garante Privacy e per gli interessati.

I Principi Fondamentali del Trattamento

Liceità del Trattamento e Basi Giuridiche (Art. 6 GDPR)

Un trattamento è lecito solo se sussiste almeno una delle sei basi giuridiche:

Nota per i soggetti pubblici italiani: Ai sensi dell'art. 2-ter del Codice Privacy (D.Lgs. 196/2003 modificato dal D.Lgs. 101/2018), le PA e gli enti pubblici possono trattare i dati per compiti di interesse pubblico unicamente in forza di una norma di legge o di regolamento. Per gli enti pubblici, il consenso non costituisce mai una base giuridica idonea.

Privacy by Design e Privacy by Default (Art. 25 GDPR)

• Privacy by Design (fin dalla progettazione): impone di integrare le garanzie di tutela dati fin dalla fase di ideazione di software, prodotti e processi aziendali (es. cifratura, pseudonimizzazione, minimizzazione dei dati raccolti).

• Privacy by Default (per impostazione predefinita): richiede che, senza interventi dell'utente, siano trattati solo i dati strettamente necessari per ogni specifica finalità, limitandone volume, periodo di conservazione e accessibilità.

Principio di Accountability (Art. 5, par. 2 GDPR)

Il Titolare non deve solo rispettare i principi della privacy, ma deve essere in grado di dimostrarlo (responsabilizzazione proattiva). Ciò richiede un modello organizzativo basato sul rischio, incentrato su documentazione, analisi preventive, policy scritte e continuo riesame dei processi.

Informativa agli Interessati (Artt. 13–14 GDPR)

Trasparenza significa fornire agli interessati un'informativa concisa, trasparente, intelligibile e con linguaggio semplice, contenente:

• identificativi del Titolare e del DPO;

• finalità, basi giuridiche e tempi di conservazione (retention);

• destinatari o categorie di destinatari;

• indicazione dei diritti dell'interessato (accesso, rettifica, cancellazione, portabilità, opposizione) e modalità per esercitarli.

Aspetti Operativi, Tecnici ed Esempi Applicativi

Stabilimento Principale e Meccanismo di One-Stop-Shop (Art. 4, par. 16)

Per le organizzazioni transfrontaliere, lo stabilimento principale individua l'Autorità di controllo capofila (sportello unico / one-stop-shop). Per il Titolare coincide con la sede dell'amministrazione centrale nell'UE, ovvero dove vengono assunte le decisioni effettive sulle finalità e sui mezzi del trattamento.

Esempio 1 — Grande Distribuzione Organizzata (GDO)

Un retailer della GDO ha la sede centrale a Rotterdam (Paesi Bassi) e punti vendita in vari Stati membri. Se le decisioni sulle strategie CRM e di marketing vengono adottate a Rotterdam, l'Autorità Garante olandese sarà l'Autorità capofila per tutti i trattamenti correlati nell'UE.

Esempio 2 — Istituto bancario con operatività transfrontaliera

Una banca ha sede centrale a Francoforte (Germania) per i servizi bancari, ma ha trasferito il potere decisionale per la divisione assicurativa europea a Vienna (Austria). In questo caso, l'Autorità austriaca sarà capofila per i dati della divisione assicurativa, mentre l'Autorità tedesca rimarrà capofila per i trattamenti di natura bancaria.

Pseudonimizzazione e Tecniche di Sicurezza (Art. 4)

Pseudonimizzazione: trattamento dei dati in modo che non possano più essere attribuiti a un interessato specifico senza l'utilizzo di informazioni aggiuntive, a condizione che tali informazioni siano conservate separatamente e protette da adeguate misure tecniche.

• Differenza con l'Anonimizzazione: i dati pseudonimizzati sono ancora dati personali (la ri-identificazione è possibile con la chiave/archivio separato). I dati anonimizzati sono invece irreversibilmente de-identificati e fuoriescono dal campo di applicazione del GDPR.

• Tecniche IT comuni:

  • Tokenizzazione: sostituzione dell'identificativo diretto con un token casuale;

  • Hashing con Salt: algoritmo di trasformazione crittografica irripetibile senza il valore casuale (salt);

  • Cifratura deterministica: permette confronti tra database mantenendo riservato il dato originario.

    L'uso della pseudonimizzazione riduce significativamente il rischio residuo ed è valutato favorevolmente nelle Valutazioni di Impatto (DPIA).

Profilazione (Art. 4) e Decisioni Automatizzate (Art. 22)

• Profilazione: qualsiasi forma di trattamento automatizzato volte a valutare, analizzare o prevedere aspetti personali dell'individuo (rendimento lavorativo, situazione economica, salute, preferenze, ubicazione).

• Decisione automatizzata (Art. 22 GDPR): l'interessato ha il diritto di non essere sottoposto a decisioni basate unicamente su trattamenti automatizzati (compresa la profilazione) che producano effetti giuridici o incidano in modo analogo significativamente sulla sua persona (es. rifiuto automatico di un finanziamento online o screening dei CV senza filtro umano).

• Eccezioni ammesse: la decisione automatizzata è lecita solo se:

  1. è necessaria per la conclusione o l'esecuzione di un contratto;

  2. è autorizzata dal diritto dell'Unione o dello Stato membro;

  3. si basa sul consenso esplicito dell'interessato.

     In questi casi, il Titolare deve comunque garantire il diritto all'intervento umano, il diritto di esprimere la propria opinione e di contestare la decisione.

Impresa e Gruppo Imprenditoriale (Artt. 4.18–4.19)

Il GDPR definisce l'impresa come la persona fisica o giuridica che esercita un'attività economica (indipendentemente dalla forma giuridica). Il gruppo imprenditoriale è costituito dall'impresa controllante e dalle controllate. Tale concetto assume rilievo strategico sia per la nomina di un DPO unico di gruppo, sia per il trasferimento intra-gruppo di dati verso Paesi terzi tramite le clausole contrattuali vincolanti d'impresa (Binding Corporate Rules - BCR).