Il GDPR

Guida completa al Regolamento (UE) 2016/679

Il Regolamento Generale sulla Protezione dei Dati — noto universalmente con l'acronimo inglese GDPR (General Data Protection Regulation) — è uno dei testi normativi più impattanti mai prodotti dall'Unione Europea in ambito digitale. Entrato in applicazione il 25 maggio 2018, ha ridisegnato in modo radicale il modo in cui organizzazioni pubbliche e private raccolgono, conservano e trattano i dati personali di cittadini europei. Per chi lavora nello sviluppo software o nella gestione IT, conoscere il GDPR non è una questione di buona educazione normativa: è un prerequisito tecnico.

Cosa intendiamo con "privacy"

Prima di entrare nel merito del regolamento, è utile chiarire il concetto stesso di privacy, spesso usato in modo impreciso. Con il termine privacy intendiamo comunemente il diritto di ogni individuo alla riservatezza, ma la definizione è più ampia: si tratta del diritto dell'individuo a controllare la diffusione delle informazioni che lo riguardano, esercitando una sorta di proprietà sui propri dati personali.

La gestione di questi dati, a seguito del cambiamento costante della società e del progresso tecnologico, è diventata negli anni un business di enormi proporzioni. Questo è esattamente il contesto che ha reso necessaria una normativa uniforme e vincolante a livello europeo.

Un po' di storia

Le radici del diritto alla privacy affondano negli Stati Uniti. Già nel dicembre del 1890, sulla Harvard Law Review, gli avvocati di Boston Samuel D. Warren e Louis D. Brandeis — ispirati dalla filosofia di Ralph Waldo Emerson, che proponeva la solitudine come criterio e fonte di libertà — definirono il diritto alla riservatezza come "the right to be alone": il diritto ad essere lasciati in pace e a proteggere la propria sfera più intima.

Da questa premessa, negli Stati Uniti si consolidò l'idea della riservatezza come diritto individuale fondamentale, da bilanciare con le altre esigenze di tutela proprie di una società sempre più evoluta. La privacy fu progressivamente equiparata ad altri diritti fondamentali, come quello alla salute, alla sicurezza, al lavoro e all'informazione.

Da un punto di vista giurisprudenziale, il concetto nasce in modo più formale solo con le pronunce della Corte Suprema degli Stati Uniti. La prima pronuncia rilevante risale al 1956 (Communist Party vs. USA), nella quale si affermò che la privacy, intesa come riservatezza, non può tutelare i sovversivi. Questa decisione segnò il primo riconoscimento giurisprudenziale della privacy come diritto all'essere lasciati soli, senza ingerenze esterne nella propria vita privata.

A partire dagli anni Ottanta, il concetto di right to privacy si consolidò ulteriormente e varcò l'Atlantico, approdando in Europa dove — applicato a contesti profondamente diversi e a seguito dello sviluppo tecnologico — ha disciplinato esigenze nuove, tra cui, in primo luogo, il diritto alla tutela dei dati personali.

L'evoluzione normativa europea

Il percorso che ha portato al GDPR è lungo e articolato. La tabella seguente riassume le tappe fondamentali dell'iter approvativo:

È importante distinguere tra entrata in vigore (2016) e applicazione (2018): i due anni di transizione sono stati concessi a organizzazioni e Stati membri per adeguare i propri sistemi e processi ai nuovi requisiti.

Cos'è il GDPR

Il GDPR è il Regolamento (UE) 2016/679 del Parlamento Europeo e del Consiglio, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali e alla loro libera circolazione. È stato approvato dal Parlamento europeo il 14 aprile 2016 ed è diventato definitivamente applicabile in tutti gli Stati membri il 25 maggio 2018.

Il regolamento ha due obiettivi fondamentali, strettamente interconnessi:

• Rafforzare i diritti delle persone fisiche in merito al controllo sui propri dati personali, aggiornando e ampliando le tutele previste dalla precedente Direttiva 95/46/CE.
• Unificare il quadro normativo sulla protezione dei dati personali all'interno di tutta l'Unione Europea, sostituendo le diverse e spesso disomogenee leggi nazionali presenti nei Paesi membri.

A differenza della direttiva che lo ha preceduto, il GDPR è un regolamento e, in quanto tale, è direttamente applicabile in tutti gli Stati membri senza necessità di recepimento nazionale, garantendo uniformità giuridica in tutto il territorio dell'UE.

Oggetto e finalità: articolo 1

L'articolo 1 del GDPR definisce con precisione l'oggetto del regolamento. Il testo stabilisce norme relative a tre ambiti distinti ma complementari:

• La protezione dei diritti e delle libertà fondamentali delle persone fisiche, con particolare riguardo al diritto alla protezione dei dati personali.
• Il trattamento dei dati personali, ovvero qualsiasi operazione compiuta su dati che si riferiscono a una persona fisica identificata o identificabile.
• La libera circolazione dei dati all'interno dell'Unione Europea, evitando che le normative nazionali possano costituire ostacoli ingiustificati allo scambio di informazioni nel mercato interno.

Ambito di applicazione: articolo 2

A chi si applica il regolamento

Secondo l'articolo 2, il GDPR si applica al trattamento automatizzato di dati personali — ad esempio, qualsiasi operazione eseguita da un software su un database di utenti — e al trattamento non automatizzato di dati personali contenuti in un archivio strutturato — come un registro cartaceo di clienti organizzato per nome o numero di contratto.

Quando non si applica

Il regolamento, per espressa disposizione dell'articolo 2, non si applica nei seguenti casi:

• Trattamenti relativi ad attività che esulano dall'ambito del diritto dell'Unione Europea, come le questioni di sicurezza nazionale, che rimangono di competenza esclusiva degli Stati membri.
• Trattamenti effettuati da una persona fisica per attività a carattere esclusivamente personale o domestico, come una rubrica telefonica privata o un diario personale digitale.
• Trattamenti effettuati da autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, disciplinati dalla separata Direttiva (UE) 2016/680.

I principi fondamentali del trattamento: articolo 5

L'articolo 5 è il cuore operativo del GDPR. Esso stabilisce i sei principi ai quali deve conformarsi qualsiasi trattamento di dati personali. Per un team di sviluppo o un reparto IT, questi principi non sono astrazioni giuridiche: sono vincoli architetturali da incorporare nei sistemi fin dalla fase di progettazione.

• Liceità, correttezza e trasparenza. I dati devono essere trattati in modo lecito (cioè su una delle sei basi giuridiche previste dall'Art. 6), corretto nei confronti dell'interessato e trasparente nella comunicazione delle finalità.
• Limitazione della finalità. I dati raccolti per uno scopo determinato non possono essere riutilizzati per finalità incompatibili con quelle originali. Un sistema CRM non può alimentare un sistema di profilazione pubblicitaria senza una base giuridica autonoma.
• Minimizzazione dei dati. È lecito raccogliere solo i dati adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità del trattamento. Raccogliere la data di nascita quando basta sapere se l'utente è maggiorenne viola questo principio.
• Esattezza. I dati devono essere accurati e, se necessario, aggiornati. Occorre predisporre procedure per la rettifica o la cancellazione dei dati inesatti.
• Limitazione della conservazione. I dati non devono essere conservati in una forma che consenta l'identificazione dell'interessato per un arco di tempo superiore a quello necessario alle finalità per cui sono trattati. Questo si traduce in politiche di retention e in processi automatizzati di anonimizzazione o cancellazione.
• Integrità e riservatezza. I dati devono essere trattati in modo da garantirne la sicurezza, compresa la protezione da trattamenti non autorizzati o illeciti e dalla perdita, distruzione o danno accidentale, adottando misure tecniche e organizzative adeguate.

A questi sei principi se ne aggiunge uno trasversale: il principio di responsabilizzazione (accountability), anch'esso sancito dall'articolo 5, secondo cui il titolare del trattamento è responsabile del rispetto di tutti i principi elencati ed è in grado di comprovarlo.

Le basi giuridiche del trattamento: articolo 6

Nessun trattamento di dati personali è lecito se non poggia su almeno una delle sei basi giuridiche elencate all'articolo 6. La scelta della base giuridica corretta è una delle prime decisioni da prendere in fase di progettazione di un sistema che gestisce dati personali.

È fondamentale ricordare che la base giuridica deve essere determinata prima dell'inizio del trattamento, documentata nel Registro delle attività di trattamento e comunicata all'interessato nell'informativa sulla privacy.

I soggetti del trattamento

Il GDPR definisce con precisione i ruoli e le responsabilità di chi partecipa a un trattamento di dati personali. Conoscere queste figure è indispensabile per strutturare correttamente i rapporti contrattuali e le responsabilità interne a un'organizzazione.

Titolare del trattamento (Data Controller). È la persona fisica o giuridica, l'autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali. In un'azienda che gestisce un'applicazione SaaS, il titolare è tipicamente l'azienda stessa.

Responsabile del trattamento (Data Processor). È la persona fisica o giuridica che tratta dati personali per conto del titolare. Il cloud provider che ospita i dati di un'applicazione, il fornitore del sistema di email marketing, il provider del servizio di analisi web: tutti questi soggetti sono responsabili del trattamento e il rapporto con ciascuno di essi deve essere formalizzato in un Data Processing Agreement (DPA), un accordo contrattuale obbligatorio che definisce obblighi e garanzie di sicurezza.

Responsabile della protezione dei dati (Data Protection Officer – DPO). È una figura professionale, interna o esterna all'organizzazione, con compiti di consulenza, sorveglianza e punto di contatto con l'autorità di controllo. La nomina del DPO è obbligatoria per: autorità ed enti pubblici, organizzazioni che effettuano trattamenti su larga scala di categorie particolari di dati (dati sanitari, biometrici, ecc.) e organizzazioni che effettuano monitoraggio sistematico su larga scala degli interessati.

I diritti degli interessati

Il GDPR riconosce agli interessati un corpus di diritti che ogni sistema informatico deve essere in grado di soddisfare in modo automatizzato e documentabile. Ignorarli in fase di progettazione significa accumulate debito tecnico normativo che si tradurrà in costi di adeguamento futuri.

• Diritto di accesso (Art. 15): L'interessato ha il diritto di ottenere la conferma che sia in corso un trattamento di dati che lo riguardano e, in caso affermativo, di accedere a una copia di questi dati.
• Diritto di rettifica (Art. 16): L'interessato può richiedere la correzione di dati personali inesatti o incompleti.
• Diritto alla cancellazione — "diritto all'oblio" (Art. 17): In determinate condizioni (dati non più necessari, revoca del consenso, trattamento illecito), l'interessato può richiedere la cancellazione dei propri dati.
• Diritto alla limitazione del trattamento (Art. 18): In specifiche circostanze, l'interessato può chiedere che il trattamento venga limitato, ad esempio durante una contestazione sull'esattezza dei dati.
• Diritto alla portabilità dei dati (Art. 20): L'interessato ha il diritto di ricevere i propri dati in un formato strutturato, di uso comune e leggibile da dispositivo automatico, e di trasmetterli a un altro titolare del trattamento. Questo diritto si applica ai dati trattati con mezzi automatizzati sulla base di un contratto o di un consenso.
• Diritto di opposizione (Art. 21): L'interessato può opporsi in qualsiasi momento al trattamento dei propri dati, in particolare quando il trattamento è basato sul legittimo interesse o è finalizzato al marketing diretto.

Gli istituti della privacy

Il Comitato europeo per la protezione dei dati (EDPB)

Il Comitato europeo per la protezione dei dati (European Data Protection Board – EDPB) è l'organismo europeo istituito dall'articolo 68 del GDPR in sostituzione del precedente Gruppo di lavoro ex articolo 29. È composto dal garante europeo della protezione dei dati (in veste di osservatore), da un rappresentante di ogni Autorità di controllo nazionale degli Stati membri e da un rappresentante della Commissione europea.

Tra i compiti principali dell'EDPB rientrano: assicurare l'applicazione coerente del regolamento in tutti gli Stati, fornire linee guida e raccomandazioni alla Commissione, rilasciare pareri su questioni relative alla protezione dei dati personali nell'Unione, accreditare organismi di certificazione, emettere pareri sui codici di condotta e garantire la cooperazione tra le autorità di controllo nazionali.

Il Garante europeo della protezione dei dati (GEPD)

Il Garante europeo della protezione dei dati (European Data Protection Supervisor – EDPS) è un'autorità di sorveglianza indipendente il cui obiettivo primario è garantire che le istituzioni e gli organi dell'UE rispettino il diritto alla vita privata e alla protezione dei dati nel trattamento dei dati personali e nell'elaborazione di nuove politiche. È composto da 1 Garante e 1 Garante aggiunto.

Il GEPD svolge funzioni di controllo sul trattamento dei dati effettuato dall'amministrazione dell'UE, presta consulenza alle istituzioni europee su tutti gli aspetti della protezione dei dati, gestisce denunce e conduce indagini, collabora con le autorità nazionali per assicurare coerenza nell'applicazione della normativa e monitora l'evoluzione delle nuove tecnologie che possono influire sulla protezione dei dati.

Le autorità di controllo nazionali

Ogni Stato membro dell'Unione europea dispone di una propria Autorità di controllo nazionale, indipendente, competente a gestire i reclami presentati dagli interessati e a vigilare sul rispetto del regolamento e delle norme nazionali di protezione dei dati. L'autorità è competente a intervenire quando il trattamento riguarda uno stabilimento nel territorio dello Stato membro o incide in modo sostanziale sugli interessati unicamente nel suo Stato membro.

In Italia, questa funzione è svolta dal Garante per la protezione dei dati personali, un'autorità amministrativa indipendente composta da 4 membri eletti dal Parlamento. Il Garante italiano si occupa di: verificare la conformità dei trattamenti alla legge e prescrivere le misure correttive; esaminare reclami e ricorsi; limitare, sospendere o vietare trattamenti in violazione delle norme; adottare autorizzazioni generali; promuovere codici di deontologia e buona condotta; partecipare alle attività dell'EDPB a livello comunitario; irrogare sanzioni amministrative.

Il recepimento italiano: D.Lgs. 101/2018

In Italia, il GDPR è stato recepito attraverso il Decreto Legislativo 10 agosto 2018, n. 101, che ha adeguato il preesistente Codice della privacy (D.Lgs. 196/2003) alle disposizioni del regolamento europeo. È tuttavia importante comprendere i limiti di questo decreto per non incorrere in interpretazioni errate della normativa vigente.

Il D.Lgs. 101/2018 non contiene disposizioni autonome su:

• Soggetti del trattamento: la normativa nazionale non ridefinisce le figure di titolare, contitolare, responsabile o DPO, demandando interamente al testo del GDPR la relativa disciplina, con la sola aggiunta della figura dei "designati".
• Adempimenti: non sono presenti norme sui Registri delle attività di trattamento, sulla Valutazione d'impatto sulla protezione dei dati (DPIA) o sugli altri obblighi documentali, per i quali il rinvio al GDPR è completo (con l'eccezione di alcune disposizioni sui reclami).
• Sanzioni specifiche: il decreto non introduce una disciplina autonoma sulle soglie sanzionatorie minime e massime, rinviando direttamente al sistema del GDPR, pur prevedendo alcune disposizioni sulle procedure di applicazione delle sanzioni stesse.

Le sanzioni

Il regime sanzionatorio del GDPR è articolato in due fasce, graduate in funzione della gravità della violazione:

Le sanzioni sono calcolate tenendo conto di una serie di criteri, tra cui la natura, la gravità e la durata della violazione, il carattere doloso o colposo, le misure adottate per attenuare il danno, il grado di cooperazione con l'autorità di controllo e i precedenti del titolare.

Implicazioni pratiche per sviluppatori e IT manager

La conformità al GDPR non è un progetto una-tantum da consegnare all'ufficio legale: è una disciplina tecnica continua che richiede scelte architetturali precise.

Privacy by design e privacy by default (Art. 25). Ogni nuovo sistema o applicazione deve incorporare le misure di protezione dei dati sin dalla fase di progettazione (by design) e deve, per impostazione predefinita, trattare solo i dati strettamente necessari (by default). Questo significa, in pratica, disabilitare per default tutte le funzionalità non essenziali, limitare i permessi di accesso al minimo necessario e progettare gli schemi del database evitando la raccolta di attributi superflui.

Gestione dei Data Processing Agreement. Ogni provider di servizi cloud, ogni SDK di terze parti, ogni sistema di analytics integrato nell'applicazione è un potenziale responsabile del trattamento. Occorre verificare l'esistenza di un DPA con ciascuno di essi e assicurarsi che rispettino gli standard del GDPR, specialmente se il trasferimento di dati avviene verso paesi extra-UE.

Pseudonimizzazione e cifratura. Il GDPR non impone tecnologie specifiche, ma cita esplicitamente la pseudonimizzazione e la cifratura come misure tecniche adeguate. Cifrare i dati a riposo e in transito, separare i dati identificativi dai dati transazionali e usare identificatori interni al posto di dati anagrafici diretti sono pratiche che, oltre a ridurre il rischio, attenuano le conseguenze sanzionatorie in caso di data breach.

Gestione dei log e dei tempi di conservazione. I log applicativi e di sistema spesso contengono indirizzi IP, identificatori utente e altre informazioni personali. È necessario definire politiche di retention con scadenze precise e implementare processi automatizzati di cancellazione o anonimizzazione alla scadenza del periodo consentito.

Notifica dei data breach (Art. 33-34). In caso di violazione della sicurezza che comporti la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso non autorizzato a dati personali, il titolare del trattamento ha l'obbligo di notificare l'incidente all'Autorità di controllo competente entro 72 ore dalla scoperta, salvo che sia improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone fisiche. Un sistema di incident response ben strutturato, con procedure chiare e responsabilità assegnate, non è un'opzione: è un obbligo normativo.