Benvenuto al terzo articolo della nostra serie “Parole al Volo: Il Tuo Glossario GDPR Semplice”! Continuiamo il nostro viaggio nel labirinto del GDPR, rendendo i suoi termini complessi più accessibili e comprensibili.

Oggi esploreremo il significato di “trattamento del dato personale“.
Questo termine, centrale nel GDPR, può sembrare astratto, ma in realtà copre una vasta gamma di attività che fai ogni giorno.

Trattamento del Dato Personale: Il “trattamento” dei dati personali include qualsiasi operazione o insieme di operazioni effettuate su dati personali. Questo può includere la raccolta, registrazione, organizzazione, strutturazione, conservazione, adattamento o modifica, recupero, consultazione, utilizzo, divulgazione tramite trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, allineamento o combinazione, limitazione, cancellazione o distruzione di dati personali.

Esempi pratici possono aiutare a comprendere meglio:

1. Scrivere un’e-mail a Mario Rossi: Quando scrivi un’e-mail a Mario Rossi, stai “trattando” i dati personali.
   In questo caso, il “dato personale” è l’indirizzo e-mail di Mario. Lo stai “trattando” nel senso che lo stai utilizzando per inviare un messaggio.
   Questo è un esempio di come un’attività quotidiana, come inviare un’e-mail, rientri nel concetto di “trattamento dei dati personali” del GDPR.
2. Registrare i clienti su un database: Se la tua azienda registra i nomi e le informazioni di contatto dei clienti in un database, questo è un altro esempio di “trattamento dei dati personali”.
   In questo caso, stai raccogliendo e organizzando i dati personali (nomi e informazioni di contatto) in una struttura ordinata (il database).
3. Condividere un rapporto con un collega: Immagina di dover condividere un rapporto sui dettagli di vendita di un cliente con un collega.
   Quando trasmetti queste informazioni, stai “trattando” i dati personali del cliente.

Ricorda, ogni volta che “tratti” dati personali, è importante assicurarsi di farlo nel rispetto del GDPR. Questo significa ottenere il consenso appropriato, proteggere adeguatamente i dati e rispettare i diritti dell’individuo a cui si riferiscono i dati.

Nel prossimo articolo della nostra rubrica “Parole al Volo: Il Tuo Glossario GDPR Semplice”, affronteremo un altro termine fondamentale del GDPR.

Continua a seguire la nostra rubrica “Parole al Volo: Il Tuo Glossario GDPR Semplice” per esplorare altri termini e approfondire la tua conoscenza del GDPR.

La protezione dei dati è un argomento cruciale e complesso, ma con la giusta conoscenza, puoi affrontarlo con fiducia e sicurezza.

Resta connesso e continua ad imparare!

QUANDO

L’informativa (disciplinata nello specifico dagli artt. 13 e 14 del Regolamento) deve essere fornita all’interessato prima di effettuare il trattamento, quindi prima della raccolta dei dati (se raccolti direttamente presso l’interessato: articolo 13 del Regolamento). 

Nel caso di dati personali non raccolti direttamente presso l’interessato (articolo 14 del Regolamento), l’informativa deve essere fornita entro un termine ragionevole che non può superare 1 mese dalla raccolta, oppure al momento della comunicazione (non della registrazione) dei dati (a terzi o all’interessato) (diversamente da quanto prevedeva l’articolo 13, comma 4, del Codice).

COSA

I contenuti dell’informativa sono elencati in modo tassativo negli articoli 13, paragrafo 1, e 14, paragrafo 1, del Regolamento e, in parte, sono più ampi rispetto al Codice. In particolare, il titolare deve sempre specificare i dati di contatto del RPD-DPO (Responsabile della protezione dei dati – Data Protection Officer), ove esistente, la base giuridica del trattamento, qual è il suo interesse legittimo se quest’ultimo costituisce la base giuridica del trattamento, nonché se trasferisce i dati personali in Paesi terzi e, in caso affermativo, attraverso quali strumenti (esempio: si tratta di un Paese terzo giudicato adeguato dalla Commissione europea; si utilizzano BCR di gruppo; sono state inserite specifiche clausole contrattuali modello, ecc.). Se i dati non sono raccolti direttamente presso l’interessato (articolo 14 del Regolamento), l’informativa deve comprendere anche le categorie dei dati personali oggetto di trattamento. 

In tutti i casi, il titolare deve specificare la propria identità e quella dell’eventuale rappresentante nel territorio italiano, le finalità del trattamento, i diritti degli interessati (compreso il diritto alla portabilità dei dati), se esiste un responsabile del trattamento e la sua identità, e quali sono i destinatari dei dati.

Il Regolamento prevede anche ulteriori informazioni in quanto “necessarie per garantire un trattamento corretto e trasparente”: in particolare, il titolare deve specificare il periodo di conservazione dei dati o i criteri seguiti per stabilire tale periodo di conservazione, e il diritto di presentare un reclamo all’autorità di controllo.

Se il trattamento comporta processi decisionali automatizzati (anche la profilazione), l’informativa deve specificarlo e deve indicare anche la logica di tali processi decisionali e le conseguenze previste per l’interessato.

COME

L’informativa è data, in linea di principio, per iscritto e preferibilmente in formato elettronico (soprattutto nel contesto di servizi online:  articolo 12, paragrafo 1, e considerando 58). Sono comunque ammessi “altri mezzi”, quindi può essere fornita anche in forma orale, ma nel rispetto delle caratteristiche di cui sopra (articolo 12, paragrafo 1). 

Il Regolamento ammette l’utilizzo di icone per presentare i contenuti dell’informativa in forma sintetica, ma solo “in combinazione” con l’informativa estesa (articolo 12, paragrafo 7); queste icone in futuro dovranno essere uniformate in tutta l’Ue attraverso l’intervento dalla Commissione europea.

In base al Regolamento, si deve porre particolare attenzione alla formulazione dell’informativa, che deve essere soprattutto comprensibile e trasparente per l’interessato, attraverso l’uso di un linguaggio chiaro e semplice. In particolare, bisogna ricordare che per i minori si devono prevedere informative idonee (anche considerando 58).

Fonte: Garante per la protezione di dati personali