Il GDPR dà alle persone il controllo sul trattamento dei loro dati personali. A tal fine, la trasparenza è fondamentale. Ciò significa che devi informare le persone di cui tratti i dati sulle tue operazioni di trattamento e sulle finalità. In altre parole, devi spiegare chi elabora i loro dati, ma anche come e perché. Solo se l'uso dei dati personali è "trasparente" per le persone interessate, quest’ultime possono valutare i possibili rischi e prendere decisioni in merito ai loro dati personali.

Ai sensi del GDPR, sei tenuto a condividere le seguenti informazioni con le persone fisiche:

• l'identità e i dati di contatto del titolare del trattamento;
• le finalità del trattamento;
• la base giuridica del trattamento (se legittimo interesse, le informazioni specifiche a cui gli interessi legittimi fanno riferimento riguardo ad un particolare trattamento e sul quale l’ente/impresa persegue ciascun interesse legittimo);
• i dati di contatto del responsabile del trattamento;
• i recapiti dell'RPD (se esiste un RPD);
• i destinatari o le categorie di destinatari dei dati;
• informazioni sull'eventuale trasferimento dei dati al di fuori dello Spazio economico europeo (SEE) (dove applicabile: l'esistenza o meno di una decisione di adeguatezza o di un riferimento sulle garanzie adeguate e il modo in cui tali informazioni possono essere messe a disposizione degli interessati;
• le categorie di dati personali trattati, quando i dati non sono ottenuti dall'interessato.

Inoltre, il GDPR richiede all'imresa/organizzazione di fornire le seguenti informazioni per garantire un trattamento equo e trasparente:

• il periodo di conservazione o, ove ciò non sia possibile, i criteri utilizzati per determinare tale periodo;
• il diritto di richiedere l'accesso, la cancellazione, la rettifica, la limitazione, l'obiezione e la portabilità dei dati personali;
• il diritto di presentare un reclamo a un'Autorità per la protezione dei dati;
• se la base giuridica del trattamento è il consenso: il diritto di revocare il consenso in qualsiasi momento;
• nel caso di processi decisionali automatizzati, le informazioni pertinenti sulla logica seguita e sulle conseguenze previste del trattamento per l'interessato;
• la fonte dei dati personali (se non si sono ricevuti direttamente dall'interessato;
• se l'individuo è tenuto a fornire i dati personali (per legge o per contratto o per stipulare un contratto) e quali sono le conseguenze del rifiuto di fornire i dati.

Per maggiori informazioni:

• Rispettare i diritti dei singoli
   

Per trattamento di dati personali si intende qualsiasi tipo di attività (operazione di trattamento) svolta sui dati o con i dati personali delle persone fisiche. Ciò include la raccolta, la registrazione, l'organizzazione, la strutturazione, la conservazione, l'adattamento o l'alterazione, il recupero, la consultazione, l'indagine, l'uso, la divulgazione mediante trasmissione, diffusione o altrimenti messa a disposizione, l'allineamento o la combinazione, la limitazione, la cancellazione o la distruzione di dati personali.

Gli RPD possono svolgere altri compiti all'interno dell'impresa/organizzazione, ma ciò non può comportare un conflitto di interessi. Ciò implica che il RPD non può avere una posizione in cui determina le finalità e i mezzi delle attività di trattamento. Le funzioni conflittuali comprendono principalmente le posizioni apicali (Amministratore Delegato, Direttore Generale, Direttore finanziario, Direttore Risorse Umane, Direttore IT, Consigliere delegato) ma possono anche coinvolgere altre funzioni se portano alla determinazione delle finalità e dei mezzi del trattamento.
L'RPD deve essere in grado di svolgere i propri doveri e compiti in modo indipendente. Ciò significa che la tua organizzazione:

• non può impartire istruzioni all'RPD per quanto riguarda l'esercizio delle sue funzioni;
• non può penalizzare o licenziare il Responsabile della protezione dei dati a causa dello svolgimento dei propri compiti.

Per maggiori informazioni:

• Il Responsabile della protezione dei dati
   

Un contratto valido tra il titolare del trattamento e il responsabile del trattamento è obbligatorio ai sensi del GDPR. Un'infrazione può essere oggetto di una sanzione amministrativa pecuniaria fino a 10 milioni di euro o fino al 2 % del fatturato annuo totale di una società, se superiore.

Per aiutarvi a stabilire un accordo tra titolare e responsabile del trattamento dei dati, le Autorità di protezione dei dati danesi e slovene, nonché la Commissione europea, hanno elaborato modelli di accordi.

Per maggiori informazioni:

• Il titolare del trattamento o il responsabile del trattamento

Il compito del responsabile della protezione dei dati comprende, tra l'altro:

• informare e consigliare l'impresa e i suoi dipendenti in merito alla conformità alla protezione dei dati;
• monitorare la conformità alla protezione dei dati;
• fornire consulenza sulle richieste relative alla valutazione d'impatto sulla protezione dei dati (DPIA);
• fungere da punto di contatto per l'Autorità per la protezione dei dati e cooperare con tale Autorità per la protezione dei dati;
• fungere da punto di contatto per le persone.

Oltre a ciò, la presenza del Responsabile della protezione dei dati è generalmente raccomandata quando vengono prese decisioni con implicazioni in materia di protezione dei dati. Il Responsabile della protezione dei dati dovrebbe inoltre essere prontamente consultato ogni volta che si verifichi una violazione dei dati o un altro incidente.

Per maggiori informazioni:

• Il Responsabile della protezione dei dati

I titolari del trattamento possono trattare i dati personali solo in una delle seguenti circostanze:

• con il consenso delle persone interessate;
• quando il trattamento è necessario per l'esecuzione di un contratto (un contratto tra la tua impresa e una persona fisica);
• adempiere ad un obbligo di legge ai sensi della legislazione dell'UE o nazionale;
• quando il trattamento è necessario per l'esecuzione di un compito svolto nell'interesse pubblico ai sensi della legislazione dell'UE o nazionale;
• proteggere gli interessi vitali di un individuo;
• per gli interessi legittimi della tua impresa/ente, tranne nei casi in cui prevalgano i diritti e le libertà degli individui.

Inoltre, il GDPR stabilisce condizioni aggiuntive per il trattamento dei dati particolari.

Per maggiori informazioni:

• Trattare i dati personali in modo lecito

• Qualsiasi trattamento di dati personali deve essere lecito, corretto e trasparente.
• Raccogliere dati personali solo per finalità determinate, esplicite e legittime. Il trattamento dei dati di una persona deve essere strettamente limitato alle finalità inizialmente stabilite e quindi non per scopi successivi o per altre finalità incompatibili con le finalità iniziali.
• Trattare solo i dati personali necessari e proporzionati allo scopo previsto.
• Tutti i dati personali trattati devono essere esatti e aggiornati. I dati personali inesatti devono essere rettificati o cancellati.
• La conservazione dei dati personali delle persone fisiche deve essere limitata nel tempo, alla luce dello scopo per il quale tali dati sono stati raccolti e trattati. Pertanto, i dati personali delle persone fisiche devono essere cancellati o resi anonimi una volta che tali dati non si rendano più necessari.
• Il trattamento dei dati delle persone fisiche deve essere effettuato in modo sicuro. In tal senso, è necessario istituire solidi controlli di cyber sicurezza per garantire che i dati delle persone siano adeguatamente protetti.

Infine, il titolare è tenuto a rendere conto. Ciò significa che è responsabile e deve essere in grado di dimostrare il rispetto dei principi di cui sopra.

Per maggiori informazioni:

• Protezione base dei dati

Il GDPR impone obblighi a tutte gli enti che trattano dati personali, indipendentemente dal fatto che siano titolari del trattamento o responsabili del trattamento dei dati.
In particolare, si deve:

• Chiedersi se lo scopo per il quale i dati personali possono essere raccolti è giustificato e raccogliere solo i dati personali necessari per le finalità specifiche previste;
• tenere i dati personali delle persone fisiche accurati e aggiornati e cancellarli quando non sono più necessari;
• rispettare i diritti delle persone informandole su come e perché i loro dati sono trattati e consentendo loro di esercitare i loro diritti;
• verificare se si dispone di una base giuridica adeguata per il trattamento dei dati personali. Nel caso in cui si intenda fare affidamento sul consenso delle persone fisiche, chiedere il loro consenso prima del trattamento dei loro dati personali;
• assicurarsi che i dati personali delle persone siano trattati in modo sicuro;
• mantenere un registro delle operazioni di trattamento.

I responsabili del trattamento dovranno attenersi alle responsabilità stabilite nel contratto con il titolare del trattamento e non dovranno trattare i dati se non secondo le istruzioni del titolare del trattamento.

Per maggiori informazioni:

• Essere conformi
• Titolare del trattamento o responsabile del trattamento
• Principi di base per la protezione dei dati
   

I cookie sono piccoli file memorizzati su un dispositivo, come un computer, un dispositivo mobile o qualsiasi altro dispositivo in grado di memorizzare informazioni. I cookie svolgono una serie di funzioni importanti, tra cui ricordare gli utenti e le loro precedenti interazioni con un sito web. Possono essere utilizzati per tenere traccia degli articoli in un carrello della spesa online o per tenere traccia delle informazioni quando i dettagli sono inseriti in un modulo online.

I cookie di autenticazione sono importanti anche per identificare gli utenti quando effettuano l'accesso ai servizi bancari e ad altri servizi online. Le informazioni memorizzate nei cookie possono includere dati personali, come un indirizzo IP, un nome utente, un identificatore univoco o un indirizzo e-mail.

La nomina di un responsabile della protezione dei dati è obbligatoria nei seguenti tre casi:

• l'ente è un'autorità pubblica;
• le attività principali dell'ente consistono nel monitoraggio regolare e sistematico delle persone su larga scala, ad esempio la geolocalizzazione tramite un'applicazione mobile, o nella sorveglianza dei centri commerciali e degli spazi pubblici attraverso le telecamere;
• le attività principali dell'ente consistono nel trattamento su vasta scala di dati particolari o di dati personali relativi a condanne penali e reati.

È sempre possibile nominare un RPD su base volontaria, anche se ciò non è richiesto dalla legge. Si prega di notare che in tal caso, è necessario rispettare tutte le disposizioni del GDPR relative ai compiti e alla posizione del responsabile della protezione dei dati.

Per maggiori informazioni:

• Il Responsabile della protezione dei dati