Protezione dati personali, obblighi imposti al titolare

Il regolamento europeo ha introdotto alcuni principi diversi rispetto alla disciplina che regolava la materia privacy primo fra tutti il principio di responsabilizzazione diretta del titolare del trattamento il quale deve compiere tutte le scelte in materia di privacy, valutando l’adeguatezza delle soluzioni e delle misure tecniche adottate al fine di garantire il massimo livello di protezione.

La disciplina europea è molto generica sul punto ponendo espressamente a carico del titolare l’obbligo di adottare le “ misure tecniche ed organizzative “ adeguate per garantire un livello di sicurezza elevato valutando la natura, oggetto contesto e finalità del trattamento senza specificare quali siano gli adempimento che concretamente il titolare può e deve adottare limitando le esemplificazioni adottate alla sola cifratura dei dati che si può applicare solo ed esclusivamente quando il trattamento dei dati è eseguito in modo automatizzato.

Orientamento delle scelte aziendali

In mancanza di direttive sul punto il titolare deve quindi compiere una vera e propria analisi aziendale iniziando a “ ragionare” valutando innanzitutto le possibili situazioni di rischio che possono concretizzarsi con riferimento alle operazioni di trattamento dei dati – rischi che possono tradursi nella violazione delle disposizioni di legge ovvero nel danno economico determinato dalla diffusione non autorizzata dei dati- per poi individuare concretamente le misure da applicare operando a 360 gradi sia sul piano organizzativo interno- ovvero nel contesto aziendale individuando compiti e responsabilità da assegnare al personale- sia nel contesto delle misure di sicurezza da applicare che variano e si differenziano a seconda delle modalità di trattamento dei dati ovvero se effettuato in maniera automatizzata o cartacea nonché con riferimento alla tipologia di dati trattati ( sensibili o comuni).

Nel fare ciò il titolare deve sempre applicare il principio di privacy by design e privacy by default. In base al primo l’organizzazione di tutta la politica in materia di privacy deve essere finalizzata alla protezione dei dati fin dalla progettazione delle misure ( da qui l’espressione by design).

Viceversa l’applicazione del principio privacy by default implica che la tutela della privacy sia l’effetto e non la causa dell’applicazione della misura stessa.

Scelte delle misure di sicurezza

L’art. 32 del regolamento impone al titolare di adottare le misure tecniche ed organizzative adeguate a garantire un livello di sicurezza adeguato considerando sempre lo stato dell’arte, la natura, la finalità del trattamento nonché il rischio concreto derivante dal trattamento dei dati. Le esemplificazioni normative si riferiscono prevalentemente al trattamento automatizzato (vedasi l’espressa indicazione della cifratura quale misura di sicurezza) certamente più diffuso di quello manuale che richiede l’adozione di tutta una serie di accorgimenti inevitabili al fine di impedire l’accesso non autorizzato ai vari database; si parte dall’inserimento della password sui vari PC che vanno periodicamente aggiornate ed assegnate ai soli soggetti abilitati al trattamento dei dati, all’installazione di software antintrusione quali antivirus e firewall, l’uno per preservare le macchine dagli attacchi interni ( si pensi all’inserimento di un dispositivo infetto quale ad esempio una chiavetta USB) l’altro per schermare le minacce provenienti dalla rete.

La descrizione degli obblighi gravanti sul titolare è piuttosto chiara: il titolare è responsabile delle scelte aziendali in materia di privacy e deve garantire un adeguato livello di sicurezza rispondendo personalmente delle scelte compiute e degli eventi dannosi eventualmente collegati.

Si ha quindi l’esclusiva responsabilizzazione del titolare- che risponde direttamente e personalmente delle scelte aziendali- ma non la chiarificazione delle misure da applicarsi in concreto con rifermento alla tipologia di attività di trattamento, alle modalità ed alla classificazione dei dati trattati. Per far fronte alle lacune normative può farsi riferimento alla prassi consolidata in materia di sicurezza dei dati che suggerisce al titolare quali siano gli adempimenti che in generale possono garantire un’efficace politica di sicurezza nel trattamento dati.

Adempimento dei principi di trasparenza e correttezza

Il titolare del trattamento è altresì obbligato a informare gli interessati delle finalità ed operazioni che compie mediante il trattamento dei dati rilasciano il modello di informativa redatta secondo i principi di cui agli’artt. 13 e 14 del Regolamento che nella prassi viene impiegato sia per adempiere al principio di trasparenza che per acquisire il consenso la trattamento dei dati qualora lo stesso sia richiesto come base giuridica che legittima il trattamento medesimo

Per qualsiasi chiarimento non esitare a contattarci