Una guida semplice per la conformità al GDPR

Il Regolamento generale sulla protezione dei dati (GDPR) è una normativa sulla privacy dei dati personali introdotta e approvata dalla Commissione europea e dal Parlamento europeo, ed entrata in vigore nel maggio 2018.

Il GDPR fornisce regole e indicazioni alle aziende, europee e non, che raccolgono, condividono e gestiscono i dati dei propri utenti europei. Offre alle persone che risiedono nell'Unione europea il diritto di sapere quali dati vengono raccolti su di loro, nonché come vengono conservati, protetti e trasferiti. Il GDPR prevede anche il diritto all'oblio e il diritto di accesso: ciò significa che i clienti non solo possono richiedere di visualizzare i dati raccolti, ma anche che questi vengano cancellati.

Tutte le aziende che raccolgono dati di utenti nell'Unione Europea, indipendentemente dall'ubicazione della propria sede, devono ottemperare al GDPR. La mancata conformità al GDPR può comportare pesanti sanzioni, fino a 20 milioni di euro o al 4% del fatturato annuo a livello mondiale, a seconda di quale sia l'importo maggiore.

Proteggere le informazioni personali degli utenti nel rispetto degli standard di conformità del GDPR avrà ripercussioni sull'intera azienda, poiché è possibile che la maggior parte delle procedure interne debba essere rivista e adattata. Non esistono però delle regole universali applicabili a tutte le imprese; le specifiche modalità di protezione dei dati dipendono infatti dal tipo di informazioni trattate dall'azienda.

Alcuni esperti di questa normativa sostengono che non sia possibile essere conformi al 100% al GDPR e che il soddisfacimento dei suoi requisiti riguardi più la revisione a livello etico delle attività di trattamento e gestione dei dati, piuttosto che il barrare una serie di voci su un elenco. Un buon punto di partenza per comprendere la questione consiste nell'esaminare i sette principi del GDPR.

Il GDPR ha avuto un notevole impatto sulla privacy dei dati e sulle prassi in materia di sicurezza in tutto il mondo, comprese quelle delle aziende con sede negli Stati Uniti. Per comprendere meglio i requisiti di conformità al GDPR, è fondamentale avere chiari i principi e le disposizioni che rappresentano le basi del regolamento.

Per prima cosa, i requisiti del GDPR per le aziende statunitensi sono applicabili se un'impresa effettua il trattamento dei dati personali di soggetti residenti nell'UE, indipendentemente dall'ubicazione della sede fisica dell'azienda stessa. In sostanza, tutte le organizzazioni con sede negli Stati Uniti che operano coi dati di persone residenti nell'UE devono rispettare le disposizioni del GDPR.

Uno dei principali requisiti di sicurezza del GDPR consiste nel garantire la protezione dei dati personali da accessi non autorizzati, perdite, alterazioni e distruzioni. Per soddisfare tale requisito le aziende devono implementare misure tecniche e organizzative adeguate, come la crittografia, il controllo degli accessi e valutazioni periodiche della sicurezza.

In aggiunta a ciò, le disposizioni del GDPR per le aziende statunitensi includono la nomina di un Responsabile della protezione dei dati (RPD) se l'organizzazione conduce elaborazioni su larga scala di dati sensibili o attività sistematiche di monitoraggio delle persone. L'RPD è responsabile del monitoraggio della conformità al GDPR; deve inoltre fornire indicazioni in materia di protezione dei dati ed essere il referente di contatto per le autorità incaricate della protezione dei dati.

Le società statunitensi devono inoltre essere trasparenti in merito alle loro attività di raccolta, trattamento e conservazione dei dati personali. Ciò significa che devono fornire informative sulla privacy chiare, ottenere un consenso valido da parte dei soggetti interessati e garantire alle persone la possibilità di esercitare i propri diritti ai sensi del GDPR, come il diritto di accesso, di rettifica e di cancellazione dei propri dati.

Ecco i sette principi cardine del GDPR:

1. Liceità, correttezza e trasparenza. I dati devono essere trattati in modo lecito, equo e trasparente.

2. Limitazione delle finalità e minimizzazione dei dati. I dati devono essere raccolti solo per scopi commerciali specifici e legittimi.

3. Minimizzazione dei dati. I dati personali raccolti devono essere limitati a quanto necessario per la finalità per cui sono stati raccolti.

4. Accuratezza. Ogni possibile sforzo, ove necessario, deve essere compiuto per mantenere i dati aggiornati. Se i dati sono imprecisi o obsoleti, devono essere eliminati.

5. Limitazione della conservazione. I dati devono essere conservati solo per il tempo necessario per fornire prodotti o servizi. Possono essere conservati più a lungo solo per finalità di archiviazione di interesse pubblico, per scopi di ricerca scientifica o storica, oppure ancora per finalità statistiche.

6. Integrità e riservatezza. L'azienda deve fare tutto il possibile per garantire la sicurezza dei dati personali. È tenuta a proteggerli dagli accessi illeciti come le violazioni di dati, nonché da perdite, distruzioni o danni accidentali.

7. Responsabilità. La maggior parte delle aziende è tenuta a conservare i registri del trattamento dei dati e a presentarli alle autorità di controllo quando necessario.

Ricordiamo che le informazioni riportate di seguito devono essere considerate solo come indicazioni a grandi linee: sono intese solo per scopi di informazione generale e non costituiscono una consulenza legale. Il GDPR è costituito da 11 capi, 99 articoli e quasi duecento considerando: pertanto, per essere pienamente conforme al regolamento, ti consigliamo di richiedere una consulenza legale al tuo referente giuridico o all'autorità di vigilanza.

Il diritto all'oblio è una rivoluzionaria innovazione di natura legale che consente alle persone di richiedere la rimozione da internet di specifiche informazioni che le riguardano. Questo importante concetto è emerso dall'Unione europea ed è sancito nel GDPR come un diritto fondamentale dei cittadini dell'UE.

L'essenza del diritto all'oblio incarna il concetto secondo cui le persone devono beneficiare del pieno controllo dei propri dati personali e avere la possibilità di lasciarsi alle spalle il passato.

Benché il diritto all'oblio non sia assoluto, esistono dei casi di applicazione chiaramente definiti. In caso di informazioni non più pertinenti, imprecise o che sono state trattate in modo illegale, i soggetti interessati possono presentare una richiesta affinché vengano rimosse.

Benché il CCPA e il GDPR siano accomunati dall'obiettivo di migliorare i diritti alla privacy dei consumatori, essi presentano al contempo alcune differenze significative.

In primo luogo, i due regolamenti differiscono per il campo di applicazione a livello normativo. Il GDPR è generalmente considerato un regolamento di più ampia portata, dal momento che disciplina tutte le organizzazioni che raccolgono e conservano i dati di persone all'interno dell'Unione europea (UE) e dello Spazio economico europeo (SEE). Al contrario, il CCPA (California Consumer Privacy Act) si applica solo alle organizzazioni a scopo di lucro che soddisfano determinati criteri di entrate e volumi di dati, e che raccolgono informazioni relative a soggetti residenti in California.

In secondo luogo, il CCPA e il GDPR sono caratterizzati da un diverso approccio al consenso degli utenti. Il CCPA non prevede il consenso esplicito per la raccolta dei dati, a meno che l'utente in questione non sia minorenne; il GDPR, al contrario, richiede il consenso esplicito per la raccolta delle informazioni personali.

Un'altra differenza significativa tra i due consiste nella categoria di strumenti normativi a cui appartengono: il GDPR è una norma di regolamentazione, mentre il CCPA ha un valore legale. In parole povere, ciò significa che una violazione del CCPA può essere usata per intentare una causa civile nello stato della California, mentre il GDPR non ha un impatto diretto sui contenziosi civili, anche se comunque può essere incorporato nelle leggi nazionali.

Infine, esistono notevoli differenze in termini di applicazione e sanzioni in caso di inadempienza. Il GDPR è applicato dall'UE e può imporre sanzioni fino a 20 milioni di euro o al 4% del fatturato globale annuo, a seconda di quale dei due importi sia maggiore. L'Ufficio del Procuratore generale della California è l'istituzione deputata a far rispettare il CCPA; la mancata osservanza può essere sanzionata fino a 2.500 dollari per violazione e a 7.500 dollari per violazione intenzionale.

Noi di NordPass prendiamo molto sul serio la protezione e la riservatezza dei dati. In qualità di soluzione sicura e affidabile per la gestione di informazioni sensibili, NordPass si impegna ad assicurare la piena conformità al GDPR.

L'architettura a conoscenza zero garantisce che tutti i dati sensibili vengano crittografati in locale sui dispositivi degli utilizzatori prima che raggiungano i nostri server. Ciò significa che non abbiamo accesso alle password o ad altri dati che la tua azienda potrebbe aver memorizzato su NordPass: questo garantisce la massima privacy.

Attribuiamo un grande valore alla trasparenza, ed è per questo che forniamo un'informativa sulla privacy dettagliata che definisce le nostre procedure per il trattamento dei dati, che includono i tipi di dati raccolti, le finalità della raccolta e le misure di sicurezza in atto.

In più, le nostre solide misure di sicurezza includono l'autenticazione a più fattori (MFA) e l'autenticazione biometrica, che aggiungono un ulteriore livello di protezione.

Nella remota ipotesi di una violazione di dati, ci impegniamo a informare tempestivamente gli utenti interessati e le autorità competenti, come stabilito dal regolamento GDPR.

Ricorda che il GDPR non è un progetto "una tantum": di conseguenza, non deve essere trattato come tale. Si tratta invece di un impegno continuativo per migliorare gli standard di privacy e sicurezza della tua azienda.

Scegli NordPass per una gestione delle password affidabile e trasparente, che ti aiuterà a rispettare le politiche di conformità e a ridurre i rischi di violazioni di dati.