{"id":1877,"date":"2018-05-16T12:32:11","date_gmt":"2018-05-16T10:32:11","guid":{"rendered":"http:\/\/www.studiopiersensini.it\/?p=1877"},"modified":"2018-05-16T12:32:11","modified_gmt":"2018-05-16T10:32:11","slug":"gdpr-come-mettersi-a-norma-e-scadenze","status":"publish","type":"post","link":"https:\/\/www.studiopiersensini.it\/?p=1877","title":{"rendered":"GDPR, come mettersi a norma e scadenze"},"content":{"rendered":"

di\u00a0<\/em>Studio Legale Associato Fioriglio-Croari<\/em><\/strong><\/a> 22 Febbraio 2018, 14:00<\/em><\/p>\n

\u00a0<\/em>La tutela offerta dal Regolamento riguarda tutte le informazioni relative alle persone fisiche identificate o identificabili che si trovano nel territorio europeo, mentre non tocca i trattamenti di informazioni relative alle persone decedute n\u00e9 alle persone giuridiche<\/em><\/strong>.<\/p>\n

Restano, inoltre, esclusi dalla disciplina prevista dal Regolamento i trattamenti di dati effettuati in forma anonima, anche se svolti per scopi statistici o di ricerca.<\/p>\n

A tale riguardo, il GDPR precisa che i principi di protezione dei dati personali cos\u00ec introdotti non riguardano nemmeno quei “dati personali resi sufficientemente anonimi da impedire o da non consentire pi\u00f9 l’identificazione dell’interessato” (Considerando n. 26). In tal senso, va quindi attribuito particolare rilievo alla pseudo minimizzazione dei dati, alla quale i titolari vengono invitati a fare ricorso ove possibile, quale generale forma precauzionale.<\/p>\n

Tale procedura (elencata tra le misure di sicurezza dall’art. 32 del GDPR) \u00e8 definita dal Regolamento come quella modalit\u00e0 di trattamento con la quale “i dati personali non possano pi\u00f9 essere attribuiti a un interessato specifico senza l’utilizzo di informazioni aggiuntive, a condizione che tali informazioni aggiuntive siano conservate separatamente e soggette a misure tecniche e organizzative intese a garantire che tali dati personali non siano attribuiti a una persona fisica identificata o identificabile”. Essa permette quindi di ridurre il rischio di pregiudizi per i diritti degli interessati e, al tempo stesso, di favorire il rispetto della normativa limitandolo a quelle attivit\u00e0 aziendali che riguardano informazioni relative a persone fisiche identificate o identificabili.<\/p>\n

D’altra parte, non pu\u00f2 essere sottovalutata la portata del concetto di “identificabilit\u00e0” di una persona fisica: in tal senso, infatti, vanno considerati tutti i mezzi di cui i terzi potrebbero avvalersi per identificare, anche indirettamente, una persona, valutando complessivamente una serie di elementi oggettivi, come i costi, il tempo e le tecnologie disponibili per l’identificazione. Ci\u00f2, oltre alla puntualizzazione che il Regolamento afferma espressamente che l’utilizzo della pseudo minimizzazione non pu\u00f2 escludere a priori la necessit\u00e0 di adottare particolari misure di sicurezza. Nemmeno va tralasciata l’importanza dei numerosi rimandi che il GDPR fa alla legislazione nazionale e alla introduzione da parte dei singoli Stati di regole di dettaglio. \u00c8 esemplificativa, al riguardo, la formulazione delle disposizioni di cui alla Sezione IX, dedicata a specifiche situazioni di trattamento: per disciplinare alcune circostanze particolari, infatti, si fa esplicitamente rinvio a quanto verr\u00e0 previsto dagli Stati membri, in rapporto, tra gli altri, a trattamenti effettuati a scopi giornalistici o di espressione accademica, artistica o letteraria (art. 85 GDPR) oppure all’utilizzo di dati personali dei dipendenti nell’ambito dei rapporti di lavoro, ad esempio, per finalit\u00e0 di assunzione (art. 88 GDPR).<\/p>\n

Peraltro, nonostante l’autonomia riconosciuta ai legislatori nazionali in queste ipotesi, nell’ottica di uniformit\u00e0 di disciplina che contraddistingue il GDPR, i singoli Stati saranno tenuti sempre a coordinarsi tra loro. Al riguardo, per il momento, non resta che attendere gli interventi dei legislatori nazionali e le eventuali indicazioni delle Autorit\u00e0 Garanti.<\/p>\n

In generale, poi, si deve partire dall’idea che l’approccio corretto alla nuova disciplina \u00e8 di tipo preventivo. Vale a dire che, prima di porre in essere qualsiasi attivit\u00e0 di trattamento di dati personali, i titolari devono:<\/p>\n