2 giorni 25 MAGGIO 2018

Transcript

1 GDPR 2016/679 IL NUOVO REGOLAMENTO EUROPEO SULLA PROTEZIONE DEI DATI 2 giorni 25 MAGGIO 2018

2 CONOSCIAMOCI MEGLIO Stefano Del Bino HS INFORMATICA Srl Montecatini Terme Tel. (0572) Andrea Cadeddu ALBIT Srl Prato Tel. (0574) dedicata per questi incontri formativi:

3 LEGGE PRIVACY 196/2003 Dal 25 maggio diventa efficace il regolamento europeo GDPR già in vigore dalla primavera In vigore fino al 24 maggio Dovrà essere «armonizzata» con la nuova normativa. Abrogazione? (in attesa di provvedimento da parte del Governo) Abrogazione sicura della Direttiva CE precedente. Il GDPR avrà la priorità sulle leggi degli stati membri a cui si applica

4 G.D.P.R. General Data Protection Regulation (Regolamento Generale sulla Protezione dei Dati) Non è previsto alcun rinvio dell applicazione Non è previsto alcun rinvio per controlli e sanzioni Si «vocifera» di un (teorico) «semestre bianco»

5 COSA TUTELA I dati delle persone fisiche trattati da aziende, professionisti, enti, associazioni, Tutela particolari per categorie «deboli» quali minori, invalidi Facciamo un gioco: quali di queste informazioni sono dati da tutelare: a) Mario Dipende b) Mario Rossi Dipende c) Mario Rossi, viale Adua 172 Pistoia Sicuramente d) mario.rossi@hsi.it Sicuramente e) sonoermejo@hsi.it Dipende

6 DATI PERSONALI Qualsiasi informazione riguardante una persona fisica identificata o identificabile. Ad esempio Dati Anagrafici, Codice Fiscale, Indirizzo IP, Fotografie Dati Giudiziari Dati Genetici Dati Biometrici Dati sullo Stato di Salute

7 DIRITTI DELL INTERESSATO Alcuni dei diritti più importanti indicati nel nuovo regolamento: Accesso ai dati Rettifica Cancellazione Portabilità Oblio

8 TRATTAMENTI Per trattamento si intende qualsiasi operazione che venga eseguita sui dati. Possono essere fatti con qualsiasi metodologia, non necessariamente informatica Facciamo un gioco: quali sono trattamenti e quali no? Inserimento dati sul PC Modifica dei dati inseriti Cancellazione della registrazione dal PC Compilazione modulo cartaceo Distruzione del modulo cartaceo

9 TRATTAMENTI I dati possono essere trattati anche su archivi non necessariamente locali. Si dovrà distinguere in questi casi: All Interno dell UNIONE EUROPEA Al di fuori dell UNIONE EUROPEA

10 PRINCIPI FONDAMENTALI Accountability o Responsabilizzazione o Consapevolezza o Competenza Privacy by Design Privacy by Default Formazione

11 Valutazione dei rischi Valutazione della situazione corrente («Gap Analysis») Valutazione dei rischi Valutazione delle misure di sicurezza adottate e da adottare Le misure da adottare devono essere commisurate al rischio e alla capacità economica

12 Ruoli Titolare / Contitolari Responsabili Incaricati / Addetti Interessati

13 Adempimenti Informative adeguate Consensi Registro/i dei trattamenti DPIA (Data Protection Impact Assessment) DPO (Data Protection Officer)

14 Informative Adeguate

15 Informative e consensi Cosa deve contenere l informativa: Chi è il Titolare dei trattamenti (o Contitolari) Chi è responsabile dei trattamenti e, nei casi previsti, il D.P.O. Scopo dei trattamenti Tempi di conservazione dei dati Se i dati possono essere trasferiti in un paese Extra UE Diritti dell interessato Contatti

16 Informative e consensi Il consenso per essere valido deve essere: ESPLICITO - Non vale più, ad esempio, il «se continui con la navigazione allora accetti tutto» o avere delle impostazioni preimpostate. INFORMATO - Deve essere preceduto dalla lettura di un informativa. CHIARO - Utilizzare linguaggio semplice e comprensibile SPECIFICO - Deve essere possibile darlo ad alcuni dati o trattamenti e non ad altri, a scelta dell interessato. REVOCABILE - Il consenso deve poter essere revocato in modo semplice.

17 Informative e consensi Tutti i siti web devono avere un informativa sui cookies adottati e sul trattamento dati Finalità Modalità e tempi di conservazione Tipologia di cookies e relativi consensi Consenso per i minori di 16 anni Genitori o tutori Particolare attenzione per i social network

18 REGISTRO DEI TRATTAMENTI Chi è tenuto ad averli La tenuta del registro non sarebbe (teoricamente) obbligatoria per tutti ma Cosa contiene Chi sono il titolare e i responsabili del trattamento Le finalità del trattamento Categorie di dati e degli interessati ai trattamenti Trasferimenti verso terzi (consulenti, professionisti) Eventuali trasferimenti verso paesi terzi Diritti e modalità di esercizio degli stessi

19 DPIA Cos è? Data Protection Impact Assessment Valutazione di impatto del trattamento dati, tenendo conto di necessità e rischi per adottare adeguate misure di sicurezza a tutela degli stessi Chi è tenuto ad averla Videosorveglianza Raccolta di dati che possano avere effetti giuridici (Fidi, Prestiti, ) Attività di profilazione Per chi tratta dati giudiziari, relativi a opinioni politiche Per chi tratta dati di soggetti vulnerabili (minori, disabilità, ) Soluzioni tecnologiche avanzate (riconoscimento facciale)

20 DPO o RPD Data Protection Officer (o Responsabile Protezione Dati) Risponde direttamente al titolare Deve essere coinvolto nei processi decisionali che riguardino la sfera della protezione dei dati Deve avere autonomia operativa e assenza di conflitto di interessi Consiglia il titolare sulle misure da adottare Si occupa della formazione del personale in tema di sicurezza dei dati Può essere un dipendente (caldamente sconsigliato) o un esterno, anche persona giuridica Coopera con l'autorità e costituisce il riferimento, anche rispetto agli interessati, per le questioni connesse al trattamento dei dati personali La nomina deve essere comunicata al Garante

21 DPO o RPD Chi è obbligato? Pubbliche amministrazioni Aziende con più di 250 dipendenti Trattamento di dati su larga scala Particolari categorie

22 VIOLAZIONI (DATA BREACH) Cos è una violazione? Un accesso ai dati che comporti la sottrazione, diffusione, cancellazione, danneggiamento delle informazioni Tipologie di violazioni Con obbligo di comunicazione al Garante Entro 72 ore dalla scoperta della violazione Quando c è un serio rischio per la privacy degli interessati Senza obbligo di comunicazione al Garante Qualora la violazione non comporti un elevato rischio per i dati sottratti Qualora i dati siano in forma difficilmente leggibile da chi ne è entrato in possesso Comunicazioni agli interessati

23 SANZIONI Nella precedente normativa c erano sanzioni: Penali Civili Amministrative Nel nuovo regolamento ci saranno esclusivamente sanzioni amministrative, con massimali sensibilmente elevati rispetto ai precedenti e proporzionali all inadempienza Si parla di sanzioni massime pari a 20 milioni di euro o tra il 2% e il 4% del fatturato mondiale

24 NEWS potrebbero esserci novità in merito! Dopo l incontro presso l Ordine è uscita la notizia che il Parlamento avrebbe allo studio un provvedimento con cui sembra che saranno reintrodotte le sanzioni civili e penali. Vi terremo informati a riguardo.

25 CHI FA I CONTROLLI Garante per la Privacy (indirettamente) Guardia di Finanza con un Nucleo Speciale Privacy Eventuali altre autorità qualora verranno designate con apposita legislazione

26 MISURE DI SICUREZZA Password ai PC Antivirus aggiornato Sistemi operativi aggiornati e ancora supportati Backup Backup in Cloud o «Off Site» Reti WIFI Dispositivi Mobile Archivi cartacei chiusi a chiave in armadi

27 ESEMPI PRATICI Medico dipendente di una struttura pubblica o privata Titolare del trattamento dati è la struttura che si deve occupare di tutti gli adempimenti

28 ESEMPI PRATICI Medico con ambulatorio personale È titolare dei dati Deve rilasciare informativa a norma con consenso certo Registro dei trattamenti sui dati Valutazione rischi DPIA ove necessaria

29 ESEMPI PRATICI Medico in Studio Associato È contitolare dei dati assieme agli altri professionisti Deve rilasciare informativa a norma con consenso certo Registro dei trattamenti sui dati Valutazione rischi DPIA ove necessaria DPO se richiesto

30 LABORATORIO DI ANALISI Laboratorio di analisi Tutto quanto detto prima Obbligo certo del DPO

31 CLINICA PRIVATA Clinica privata Tutto quanto detto prima Obbligo certo del DPO

32 INFINE Due frasi vanno cancellate dalla nostra testa: «Abbiamo sempre fatto così» «Tutti fanno così»

33 GRAZIE PER L ATTENZIONE Rimaniamo a Vs. disposizione per approfondimenti e consulenze personalizzate o in merito