Il regolamento generale sulla protezione dei dati in sigla RGPDLa sigla RGPD è quella adottata dal Garante per la Protezione dei Dati Personali (https://www.garanteprivacy.it/regolamentoue/formazione/) e dai Portali UE (https://europa.eu/youreurope/business/dealing-with-customers/data-protection/data-protection-gdpr/index_it.htm). (o GDPR in inglese General Data Protection Regulation), ufficialmente regolamento (UE) n. 2016/679, è un regolamento dell'Unione europea in materia di trattamento dei dati personali e di privacy, adottato il 27 aprile 2016, pubblicato sulla Gazzetta ufficiale dell'Unione europea il 4 maggio 2016 ed entrato in vigore il 24 maggio dello stesso anno e operativo a partire dal 25 maggio 2018.
Con questo regolamento, la Commissione europea si propone come obiettivo quello di rafforzare la protezione dei dati personali di cittadini dell'Unione europea (UE) e dei residenti nell'UE, sia all'interno sia all'esterno dei confini dell'UE, restituendo ai cittadini il controllo dei propri dati personali, semplificando il contesto normativo che riguarda gli affari internazionali, unificando e rendendo omogenea la normativa privacy dentro l'UE.
Il testo affronta anche il tema dell'esportazione di dati personali al di fuori dell'UE e obbliga tutti i titolari del trattamento dei dati (anche con sede legale fuori dall'UE) che trattano dati di residenti nell'UE a osservare e adempiere agli obblighi previsti. Dalla sua entrata in vigore, il GDPR ha sostituito i contenuti della direttiva sulla protezione dei dati (Direttiva 95/46/CE) e, in Italia, ha abrogatoQuesto è avvenuto successivamente al 25 maggio 2018 ovvero a settembre 2018 con l'entrata in vigore del d. lgs. 101/2018 che ha recepito formalmente il GDPR nella legislazione italiana, novellando il codice 196/2003. gli articoli del codice per la protezione dei dati personali (d.lgs. n. 196/2003) con esso incompatibili.
Obiettivi "Il regime di protezione dei dati proposto per l'UE estende gli obiettivi della legge europea sulla protezione dei dati a tutte le imprese estere che trattano dati di residenti europei a prescindere dal luogo nel quale le trattano e dalla loro sede legale. Permette di armonizzare le diverse normative sulla protezione dei dati in tutta l'UE, facilitando così l'osservanza delle norme da parte delle imprese non europee; tuttavia, questo è stato ottenuto a costo di un regime che prevede una severa disciplina di protezione dei dati, con rigide sanzioni che possono raggiungere il 4% del volume globale di affari." A seguito di negoziazioni nel dialogo a tre tra Parlamento europeo, Commissione europea e Consiglio dei ministri, si è raggiunto un consenso generale sulla formulazione del GDPR e sulle sanzioni finanziarie per la mancata osservanza.Article 83 (5) of The Council's first reading after the trilogue sets maximum fines to be the highest of 4% of global turnover and 20 million Euro.
Storia Pubblicato per la prima volta sulla Harvard Law Review nel dicembre del 1890, The Right to Privacy rappresenta la pietra angolare su cui poggia il GDPR, considerato al giorno d'oggi come il diritto fondamentale su cui si fonda la libertà individuale.
Furono Samuel Warren e Louis Brandies, i due giovani avvocati americani autori del saggio, a definire per la prima volta la privacy come "the right to be let alone": ovvero, il diritto a essere lasciati soli, a godere del proprio privato.
In Italia non esiste nella Costituzione un articolo che riconosca il diritto alla privacy ma con la sentenza n. 38/1973 la Corte costituzionale ha riconosciuto diverse norme che tutelano il diritto alla riservatezza. Possiamo dunque considerare la tutela della riservatezza come discendente per via interpretativa della Costituzione, in particolare dagli articoli 2, 3, 14, 15.
Con l'arrivo del digitale si percepisce l'importanza in Europa di norme che tutelino i dati personali, in particolare la legge n. 675/1996, Codice Privacy successivamente sostituita dal decreto legislativo n. 196/2003 tuttora in vigore.
La rivoluzione arriva con il regolamento GDPR 2016/679.
Contenuto La proposta per il regolamento generale sulla protezione dei dati presentava alcuni passaggi che non sono stati confermati nella versione definitiva"Inofficial consolidated version GDPR" .. Considerava, invece, favorevolmente l'introduzione della privacy by design (i requisiti privacy devono essere compresi nella progettazione del sistema), la privacy by default (le misure privacy devono essere attuate per impostazione predefinita) e quella del principio del carattere personale dell'indirizzo IP.https://protezionedatipersonali.it/privacy-by-design-e-by-default Ambo i principi sono stati poi recepiti nel regolamento.
Come premessa all'esposizione degli articoli di legge il regolamento contiene un lungo elenco di considerando, anch'essi numerati in sequenza, e citati con "C" seguito dal numero del considerandoSui testi relativi al GDPR il riferimento ad un considerando è abbreviato "cons"..
Il regolamento focalizza (GDPR art. 24) il concetto di accountability traducibile in "responsabilizzazione (proattiva)" o, meglio, "(responsabilità di dover) dar conto" da parte del titolare (e dei suoi responsabili/sub-responsabili) all'interessato.
Ambito Al cuore del GDPR sta la tutela delle persone fisiche e ciò è riconosciuto come diritto fondamentale. Il presente regolamento protegge i diritti e le libertà fondamentali delle persone fisiche in particolare il diritto alla protezione dei dati personali.
Il regolamento si applica al trattamento dei dati personali, e al trattamento non automatizzato dei dati conservati in un "archivio", definito (artt. 2 e 4) in modo simile all'espressione "banca di dati", presente nel codice della privacy italiano (l'Italia si è adeguata alla normativa europea tramite il decreto legislativo n. 101 del 10 agosto 2018). Inoltre, a differenza dell'attuale direttiva, il regolamento si applica anche a imprese ed enti, organizzazioni in generale, con sede legale fuori dall'UE che trattano dati personali di residenti nell'Unione europea. Ciò anche a prescindere dal luogo o dai luoghi ove sono collocati i sistemi di archiviazione (storage) e di elaborazione (server). Il regolamento non riguarda la gestione di dati personali per attività di sicurezza nazionale o di ordine pubblico ("le autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali"). Secondo la Commissione europea "i dati personali sono qualunque informazione relativa a un individuo, collegata alla sua vita sia privata, sia professionale o pubblica. Può riguardare qualunque dato personale: nomi, foto, indirizzi email, dettagli bancari, interventi su siti web di social network, informazioni mediche o indirizzi IP di computer."European Commission’s press release announcing the proposed comprehensive reform of data protection rules. 25 January 2012.
Questa normativa non è specifica per tipologia di supporto, ciò significa che le informazioni e i relativi dati possono essere: orali/verbali, cartacee/materiali, digitali/immateriali e loro combinazioni.
Il regolamento disciplina il trattamento dei soli dati personali unicamente delle persone fisiche (ivi compresi quelli di persone fisiche trattati in ambito professionale o associativo o situazioni similari ovvero nei rapporti tra imprese, enti e associazioni), e pertanto sono esclusi dall'applicazione del codice i dati di identificazione e simili di soggetti aventi personalità giuridica: società di capitali, aziende ed enti pubblici, associazioni e fondazioniCons. 14., o comunque organizzazioni in genere anche senza personalità giuridica come definita in Italia (imprese non in forma societaria, società di persone, studi professionali e altre situazioni simili). Questo non vale per le imprese individuali, perché in tal caso identità personale e professionale coincidono. In pratica, il campo di applicazione riguarda i dati personali di persone fisiche trattati in qualsiasi attività (professionale, economica, di interesse pubblico, associativa, ecc.) a esclusione della vita domestica/non professionale (eccezion fatta per la pubblicazione on line di dati personali di persone fisiche, anche se nell'ambito personale o domestico, in quanto si tratta di divulgazione indistinta)https://protezionedatipersonali.it/trattamento-dei-dati.
I dati personali forniti o comunicati possono essere relativi a persone fisiche terze (rispetto all'interessato) oppure trattati da soggetti terzi (rispetto al titolare). Il GDPR definisce terzo "la persona fisica o giuridica, l'autorità pubblica, il servizio o altro organismo che non sia l'interessato, il titolare del trattamento, il responsabile del trattamento e le persone autorizzate al trattamento dei dati personali sotto l'autorità diretta del titolare o del responsabile". Per il trattamento di dati relativi a terzi o forniti a terzi (comunicazione a destinatari) occorre che l'informativa lo precisi e siano definite le responsabilità nonché attestata la conformità del trattamento da parte dei titolari coinvolti. Anche un particolare trattamento quale è la "diffusione" deve essere previsto o escluso nell'informativa.
In base al principio di stabilimento le sue norme si applicano ai trattamenti di dati personali posti in essere da titolari e responsabili stabiliti nell'Unione europea, senza alcun rilievo per il luogo in cui si effettua il trattamento stesso o per il luogo in cui si trova il data subject.
Il regolamento, invece, non si applica nei seguenti casi:
trattamenti effettuati per attività che non rientrano nell'ambito di applicazione del diritto dell'Unione; trattamenti effettuati dagli Stati membri nell'esercizio di attività che rientrano nell'ambito di applicazione del titolo V, capo 2, del Trattato dell'UE (politica estera e sicurezza); trattamenti effettuati dalle autorità competenti a fini di prevenzione, indagine, accertamento o perseguimento di reati o esecuzione di sanzioni penali, incluse la salvaguardia contro minacce alla sicurezza pubblica e la prevenzione delle stesse (vedi direttiva 2016/680); trattamenti effettuati da una persona fisica per l'esercizio di attività a carattere esclusivamente personale o domestico (vedi esenzione per uso personale).
Dati Vengono ampliate e caratterizzate le definizioni sui dati presenti nella corrente direttiva e aggiunte di nuove. Quindi, oltre al dato personale, troviamo dati genetici, biometrici e relativi alla salute, comunque tutte informazioni che consentono l'identificazione univoca di una persona fisica.