Le nuove regole in materia di privacy della GDPR e principali novità per le Banche
II Regolamento generale per la protezione dei dati personali n. 2016/679 (General Data Protection Regulation o, in breve, GDPR) è la normativa di riforma della legislazione europea in materia di protezione dei dati. Pubblicato nella Gazzetta Ufficiale europea il 4 maggio 2016 è entrato in vigore il 24 maggio 2016, ma la sua attuazione è avvenuta a distanza di due anni, quindi dal 25 maggio 2018, e fin dalla sua applicazione ha determinato un cambiamento senz’altro profondo nella modalità di gestione dei dati personali. In quanto Regolamento europeo esso è direttamente applicabile e, quindi, non si prevede una normativa italiana di recepimento quanto, piuttosto, dei chiarimenti in relazione ad alcuni aspetti, ad esempio sui poteri del Garante Nazionale per la protezione dei dati personali (c.d. Garante Privacy). Analizziamo qui di seguito le più importanti novità e gli adempimenti da seguire per l’adeguamento alla nuova normativa. Centrale nella gestione della nuova disciplina è la definizione di dato personale, identificato, in senso ampio, in qualsiasi informazione come ad esempio nome, codice fiscale, immagine, voce, impronta digitale o traffico telefonico concernente una persona fisica identificata o identificabile anche indirettamente[1]. Il Regolamento generale si applica ad ogni trattamento, ovvero, a qualsiasi operazione o insieme di operazioni, come la raccolta, la registrazione, l’organizzazione, la strutturazione, la conservazione, l’adattamento o la modifica, l’estrazione, la consultazione, l’uso, la comunicazione mediante trasmissione, la diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l’interconnessione, la limitazione, la cancellazione o la distruzione che ha ad oggetto dati personali, ed a tutti i titolari (controller) e responsabili (processor) del trattamento stabiliti nel territorio dell’Unione, ma anche in generale a quelli che, offrendo beni e servizi a persone residenti nell’Unione, trattano dati di residenti nell’Unione europea (art. 3 del Regolamento). In tal modo la sua applicazione non è limitata alle sole aziende che si trovano in Europa, ma tutela tutti gli interessati che risiedono nel territorio dell’Unione, indipendentemente da dove si attua il trattamento dei loro dati[2]. La persona fisica identificata o identificabile in modo diretto o indiretto cui si riferiscono i dati personali oggetto di trattamento viene definito Interessato[3]. Categorie particolari di dati personali sono i dati sensibili, i dati sanitari, i dati biometrici, i dati genetici ed i dati personali che rivelano l’esistenza di reati o di condanne penali o connesse misure di sicurezza quali, ad esempio i provvedimenti penali di condanna definitivi, la liberazione condizionale, il divieto od obbligo di soggiorno, le misure alternative alla detenzione[4]. Rilevano ai fini della normativa in esame le operazioni di trattamento dei dati, ovvero, le operazioni di raccolta o acquisizione, registrazione, organizzazione, strutturazione, conservazione, consultazione e visualizzazione, ma anche di elaborazione, selezione, estrazione, nonché utilizzo come la comunicazione (o cessione), il raffronto, l’interconnessione, il blocco e/o la diffusione. Hanno significato per la disciplina in esame, altresì, le operazioni di cancellazione, distruzione ed anonimizzazione (ovvero, il trattamento che ha lo scopo di impedire l’identificazione dell’interessato)[5].
