Il 25 maggio prossimo è la scadenza prevista per le aziende per adeguarsi alla nuova normativa in materia di protezione dei dati, il cosiddetto GDPR (General Data Protection Regulation), un regolamento Europeo che innova e modifica le precedenti norme in materia di privacy. L’emanazione del GDPR ha lo scopo di rendere più trasparenti e uniformi le disposizioni relative al trattamento e alla gestione dei dati dei cittadini europei. L’introduzione del GDPR modifica nettamente le modalità di raccolta dei dati degli utenti web e le aziende che operano su internet devono adottare obbligatoriamente alcuni cambiamenti per non incorrere in sanzioni.
GDPR: norme principali e cosa cambia per le aziende
Il GDPR è un regolamento europeo che sostituisce la Direttiva 95/46/EC in materia di protezione dati ed entrerà ufficialmente in vigore entro il 25 maggio 2018. Tutte le aziende che operano in Unione Europea devono adeguarsi alle nuove norme contenute nella direttiva, soprattutto devono adottare strategie in materia di protezione di dati quelle imprese che possiedono un sito web.
Il testo non modifica nettamente i principi fondamentali in materia di privacy e protezione dei dati, ma introduce alcune norme che comportano notevoli cambiamenti nella gestione da parte delle aziende dei dati personali. Innanzitutto, per introdurre misure uniformi per tutte le aziende che operano online è stato istituito lo Sportello Unico che ha il compito di semplificare e di rendere omogenea tutta la materia riguardante la protezione dei dati. È compito dell’azienda, come previsto dal GDPR, istituire e redigere un Registro dei Trattamenti: un documento dove tracciare le diverse attività di trattamento dei dati e dove notificare e comunicare i data breach (violazioni dei dati personali).
Nel testo del GDPR è prevista la nomina all’interno dell’azienda del Data Privacy Officer (DPO), ovvero un responsabile della protezione dei dati personali, che ha il preciso compito di archiviare e registrare tutti i dati raccolti dall’azienda. Il testo della direttiva indica precisamente altre misure che le aziende devono adottare per essere conformi al GDPR e che possono essere sintetizzate in:
- rendere più chiare e precise l’informativa sui dati personali;
- regolare il consenso del soggetto interessato;
- limitare il trattamento automatizzato dei dati personali.
Qual è l’impatto del GDPR sui proprietari dei siti web
Se possiedi un sito web, per non rischiare di subire ingenti sanzioni, è necessario uniformare la tua piattaforma alle nuove direttive previste dal GDPR.
Il GDPR stabilisce che il proprietario di un sito web, di un blog o di un’e-commerce è il responsabile identificato dalla legge per il trattamento dei dati personali. Con questa norma si attiva il principio di responsabilizzazione del titolare del sito web che ha il preciso compito di garantire la sicurezza dei dati raccolti e di utilizzare tecniche adeguate per la protezione degli stessi. Sarà quindi obbligatorio redigere una Cookie Policy (regolamento relativo ai cookie) molto più precisa e dettagliata rispetto a quella prevista dalla precedente direttiva. Se sul tuo sito è già presente il banner che autorizza al consenso e all’utilizzo dei cookie, questo specifico messaggio dovrà essere adeguato e bisognerà fornire un link per consultare l’intera Cookie Policy del sito.
Nell’informativa relativa ai cookie bisogna spiegare ed elencare i diritti degli utenti in base alle norme previste dal GDPR, elencare i servizi di terze parti che profilano gli utenti durante la navigazione all’interno del sito, specificare quali sono le modalità di richiesta del diritto all’oblio. È quindi opportuno intervenire, analizzando precisamente quali cookie vengono utilizzati e come vengono gestiti e memorizzati i dati all’interno della tua eventuale azienda. Con il GDPR dovrà anche essere modificata la politica riguardante il consenso, infatti con la nuova normativa si prevede che quest’ultimo non sia più semplicemente dichiarato, ma consapevole. Il consenso dovrà quindi essere espresso, preciso e chiaro.
Inoltre avrai l’obbligo di comunicare entro e non oltre 72 ore al Garante della Privacy se si sono verificate eventuali violazioni dei dati personali.
Il GDPR introdurrà anche due nuovi concetti: Privacy by Default e Privacy by Design che comportano notevoli cambiamenti.
- La Privacy by Default è quella procedura che prevede l’applicazione all’interno dell’azienda di misure che regolano la modalità di acquisizione e gestione dei dati, per ridurre a priori il rischio di diffusione dei dati personali;
- La Privacy by Design, invece, identifica la necessità di prevedere già in fase di progettazione del sito web di pianificare un sistema di raccolta e di trattamento dei dati personali uniforme e armonico.
Le misure da adottare sul sito web per essere conformi al GDPR
Dopo aver previsto e stilato una Cookie Policy più dettagliata e trasparente, si dovranno adottare altre misure all’interno dell’azienda per fronteggiare la nuova normativa del GDPR. In primis, deve:
- nominare e designare un DPO (Data Privacy Officer);
- creare un registro dei trattamenti in cui annotare i data breach e le diverse attività riguardanti la raccolta dei dati;
- sostituire i sistemi di archiviazione locale con sistemi centralizzati (sistemi cloud);
- tutelare i dati raccolti mediante l’utilizzo della crittografia;
- eseguire una mappatura dei dati raccolti: provenienza, finalità e tempo di conservazione.
Per essere sicuro di adeguare il tuo sito al nuovo GDPR, sul web sono presenti alcuni plug-in e diverse guide che ti consentono di metterti in regola e di non incorrere nelle sanzioni previste a partire dal 25 maggio 2018. L’intervento su un sito web per uniformarsi alla nuova disciplina può essere complesso e molte aziende stanno riscontrando notevoli difficoltà, quindi prima di modificare la tua piattaforma potrebbe essere opportuno rivolgerti a uno specialista in diritto della comunicazione digitale che potrà fornirti consigli utili e precisi.
WpSEO: come affronteremo il cambiamento?
Proprio in vista del GDPR, Tesla Consulting si è dotata di un team che si occuperà esclusivamente di Audit e Reportistica per verificare la conformità delle attività dei suoi clienti in materia di protezione dei dati sensibili. Solo dopo aver effettuato un Audit sarà possibile comprendere in quali ambiti intervenire, e con quali strumenti, per adeguarsi alla nuova normativa e non incappare in eventuali sanzioni.
