Il Regolamento Generale sulla Protezione dei Dati (GDPR) è entrato in vigore il 24 maggio del 2016 ed operante dal 25 maggio 2018. Con questo regolamento, la Commissione europea si propone di rafforzare la protezione dei dati personali di cittadini dell'Unione europea e dei residenti nell'UE, sia all'interno che all'esterno dei confini dell'UE, restituendo ai cittadini stessi il controllo dei propri dati personali, semplificando allo stesso tempo il contesto normativo che riguarda gli affari internazionali, unificando e rendendo omogenea la normativa privacy dentro l'UE. Il testo affronta anche il tema dell'esportazione di dati personali al di fuori dell'UE e obbliga tutti i titolari del trattamento dei dati (anche con sede legale fuori dall'UE) che trattano dati di residenti nell'UE ad osservare e adempiere agli obblighi previsti. Dalla sua entrata in vigore, il GDPR ha abrogato gli articoli del codice per la protezione dei dati personali (d.lgs. n. 196/2003). Rispetto al codice per la protezione dei dati personali (d.lgs. n. 196/2003) introduce nuove figure come il DPO (Data Protection Officer o Responsabile della Sicurezza) e modifica ruoli e responsabilità degli attuali Titolari e Responsabili del Trattamento. Viene inoltre introdotto l’obbligo di denunciare alle autorità competenti qualsiasi perdita o inaccessibilità anche parziale dei dati e di documentare tutte le misure adottate per rendersi adeguati al regolamento.

Adeguarsi in 9 passi

• Valutazione della compliance: raccolta e analisi delle informazioni sull'organizzazione aziendale;
• Creazione del registro dei trattamenti: Un registro delle attività di trattamento svolte sotto la responsabilità del titolare del trattamento;
• Stesura/Modifica della documentazione: Tutta la documentazione deve necessariamente essere aggiornata e completa;
• Individuazione dei ruoli e delle responsabilità;
• Definizione delle politiche di sicurezza e valutazione dei rischi: Espressione del concetto di accountability;
• Processo di Data Breach: Al fine di assicurarsi di aver adottayo tutte le procedure idonee a scoprire eventuali violazioni;
• Valutazione d'impatto sulla protezione dei dati personali: Consente di valutare gli aspetti relativi alla protezione dei dati prima che questi vengano trattati;
• Implementazione dei processi per l'esercizio dei diritti dell'interessato: Al fine di assicurarsi di aver adottato tutte le procedure idonee a scoprire eventuali violazioni;
• Individuazione e nomina di un Data Protection Officer: La sua responsabilità principale è quella di osservare, valutare e organizzare la gestione del trattamento di dati personali.