Che cos’è il GDPR e come adeguarsi

Se né parlato per molto tempo e ancora oggi non tutti sanno che cos’è il GDPR e come adeguarsi, entrato in vigore da diversi mesi, molti utenti privati e tante aziende hanno ancora delle perplessità a riguardo, per cui cercheremo di fare chiarezza e aiutarvi a mettervi in regola se ancora non lo avete fatto.

GDPR è la sigla di General Data Protection Regulation, ovvero, il regolamento europeo sulla privacy e i dati, si tratta di un testo che cerca di uniformare le leggi europee sul trattamento di dati e il nostro diritto di avere pieno controllo sulle informazioni che ci riguardano.

Il regolamento GDPR è composto da 99 articoli e introduce novità come il diritto all’oblio, ovvero, gli utenti possono richiedere la rimozione delle informazioni a proprio riguardo; la portabilità dei dati, che possono essere scaricati e trasferiti da una piattaforma all’altra senza alcun vincolo con un certo account e l’obbligo di avere un sistema di notifica in caso di data breach, che deve comunicare l’eventuale furto di informazioni sensibili entro le 72 ore dall’accaduto.

I destinatari del GDPR sono tutti i titoli del trattamento, quindi tutti i privati e le aziende che gestiscono le informazioni dei propri utenti e clienti.

Fra gli altri obblighi da tenere in considerazione abbiamo la richiesta di consenso in forma chiara, l’istituzione di un registro delle attività e la designazione di un responsabile protezione dati.

Per il consenso, l’azienda deve chiedere in modo chiaro, limpido e comprensibile, utilizzando un linguaggio semplice, il permesso al trattamento dei dati. Per quanto riguarda il registro, i titoli devono avvalersi di un registro della attività in cui si elenco, tra le varie cose, anche come verranno utilizzati i dati elaborati, i destinatari e l’eventuale scadenza per la loro cancellazione.

In sintesi, con il GDPR si introducono regole più chiare sul consenso e il trattamento dei dati; vengono definitivi i limiti del trattamento automatizzato dei dati personali; vengono introdotti nuovi diritti e fissate norme rigorose in caso di violazione dei dati.

Le norme presenti all’interno del regolamento vengono applicate anche alle aziende fuori dall’Unione Europea che offrono prodotti e servizi nel mercato UE.

Nel caso in cui le imprese e gli enti non osservino il nuovo regolamento rischiano sanzioni molto pesanti, dopo l’entrata in vigore del 28 Maggio 2018, sono stati dati sei mesi di tempo adeguarsi, prima di iniziare ad effettuare controlli e applicare eventuali multe.

Cosa devono fare le aziende per adeguarsi al GDPR

In sintesi, ecco i passaggi fondamentali che un’azienda deve fare per adeguarsi al nuovo regolamento GDPR:

• Avere dei database strutturati e destrutturati per controllare l’accesso ai dati
• Identificazione chiara dei dati personali gestiti (accesso immediato, profilazione e norme a sicurezza della tutela dei dati)
• Esplicitazione delle policy, identificazione dei processi di gestione e assegnazione delle responsabilità del trattamento
• Anonimizzare i record di dati e applicare la crittografia
• Controllare tutte le procedure applicate effettuando un report interno, verifiche, gestione proattiva del rapporto con gli utenti.

Come adeguare un sito web al GDPR

Il regolamento GDPR riguarda anche i siti web, i blog e gli e-commerce, ci sono alcune operazioni da fare per mettere tutto in regola e non rischiare di imbattersi in sanzioni.

Privacy Policy

Tutti i siti web devono avere una propria privacy policy che spieghi la tipologia di dati che raccoglie il sito, il motivo della raccolta, il modo in cui vengono trattati e ottenuti tali dati, come e per quanto tempo saranno conservati, se saranno ceduti a soggetti terzi e a quali condizioni.

Per cui è importante che vengano fornite tutte le informazioni necessarie per far capire ai visitatori del sito se acconsentire al trattamento dei dati personali o no.

Per dati personali si intendono: nome, foto, indirizzo e-mail, dati bancari, indirizzo di residenza e indirizzo IP.

Quando si parla di elaborazione dei dati ci si riferisce a qualsiasi operazione avvenuta sui dati, per esempio, la memorizzazione dell’IP tramite cookie costituisce una forma di trattamento dei dati personali degli utenti.

Il GDPR riguarda la combinazione dei dati personali e di quelle che servono per identificare un singolo utente, per cui quando i dati personali vengono elaborati attraverso i cookie, anche questi sono soggetti al regolamento UE.

Per generare la Privacy Policy e Cookie Solution è possibile usare uno dei tanti servizi a pagamento, tra i più famosi c’è Iubenda.

Inoltre, bisogna adeguare anche i moduli per le newsletter e i form di contatto, poiché il consenso deve essere espresso in modo inequivocabile dall’utente, per farlo bisogna inserire la casella di spunta per il consenso al trattamento dei dati personali, che non può essere precompilata.

Messaggi sponsorizzati e moduli funzionanti in modalità opt-out devono essere riadattati ad opt-in opzionale; i siti devono essere dotati di un database separato che faciliti le eventuali richieste di cancellazione dei dati personali.

Infine, bisogna anche implementare un sistema di verifica dei dati degli utenti/visitatori e l’invio di notifica immediata nel caso in cui avvenga una violazione.