Obblighi e responsabilità del titolare del trattamento
Lo sai che utilizzare i dati degli utenti del tuo può costarti caro? Le sanzioni del Garante Privacy, l’autorità che verifica il rispetto della tutela dei dati personali, possono essere davvero salate!
Per questo motivo ti spieghiamo, in breve, come sfruttare i dati in maniera conforme alla legislazione in vigore. Nell’era digitale, la protezione dei dati personali degli utenti di un sito rappresenta un tema di primaria importanza, sotto il profilo giuridico, economico e sociale.
Un punto di svolta nella disciplina di questo particolare settore è intervenuta con l’entrata in vigore del Regolamento (UE) 2016/679 (General Data Protection Regulation, GDPR), che prescrive alle imprese e ai gestori di siti web di garantire agli utenti/consumatori un trattamento lecito, trasparente e sicuro dei loro dati personali, attraverso una disciplina che varia a seconda dello scopo con il quale questi dati sono utilizzati, la tipologia di sito, i soggetti che ne possono potenzialmente entrare in possesso e tanti altri fattori.
Quindi, tenteremo di riassumere i principali obblighi a carico del “titolare del trattamento” e le responsabilità che ne derivano in caso di violazioni. Attenzione! Le normative che si occupano della tutela dei dati su internet sono soggette a rapidi cambiamenti, assicurati di seguire quelle più recenti.
Il Ruolo del titolare del trattamento dei dati personali
Il titolare del trattamento è il soggetto che determina le finalità e i mezzi del trattamento dei dati personali. Per i siti web, esso coincide generalmente con il proprietario o l’amministratore del sito ed ha l’onere di adottare misure adeguate per garantire la conformità normativa e la protezione delle informazioni degli utenti secondo alcuni principi, tra cui:
- Liceità, correttezza e trasparenza: i dati devono essere trattati in modo legittimo e chiaro nei confronti degli utenti.
- Limitazione delle finalità: i dati possono essere raccolti solo per scopi specifici, espliciti e legittimi.
- Minimizzazione dei dati: devono essere trattati solo i dati strettamente necessari rispetto alle finalità dichiarate.
- Accuratezza: i dati devono essere aggiornati e corretti.
- Limitazione della conservazione: i dati non devono essere conservati oltre il tempo necessario alle finalità per cui sono stati raccolti.
- Integrità e riservatezza: devono essere adottate misure tecniche e organizzative per garantire la sicurezza dei dati.
Misure di sicurezza e data breach
Il titolare del trattamento è inoltre tenuto ad adottare misure di sicurezza adeguate, a proteggere i dati da accessi non autorizzati, dalla loro perdita o dalla loro distruzione accidentale. In caso di violazione dei dati personali (data breach), il titolare ha diversi obblighi, a seconda del grado di gravità della sottrazione.
Nel caso in cui ritenga che le violazioni comporti un indice di rischio basso, non è previsto un limite di tempo entro il quale comunicare l’accaduto; viceversa, nel caso in cui ritenga che tale rischio esista, egli ha l’obbligo di notificare l’accaduto all’Autorità Garante entro 72 ore. Se poi la violazione presenta un indice rischio elevato, invece, è necessario informare direttamente anche gli interessati!
Informativa Privacy e consenso dell’utente
Uno degli obblighi fondamentali per il titolare del trattamento è la predisposizione di un’informativa privacy conforme all’art. 13 del GDPR. Tale informativa deve contenere, in modo chiaro e accessibile. Qualora il trattamento si basi sul consenso, esso deve essere libero, specifico, informato e inequivocabile. Per i cookie e tecnologie di tracciamento, il GDPR e la Direttiva ePrivacy richiedono il consenso esplicito dell’utente, spesso ottenuto tramite banner cookie.
Un piccolo consiglio!
Per sfruttare i dati dei tuoi clienti senza incorrere in nessuna violazione:
- Dotati di un documento di privacy policy fatto su misura per te! Un sito vetrina richiede diverse indicazioni rispetto a un e-commerce e l’accuratezza delle informazioni potrebbe essere determinante in un procedimento di controllo effettuato dall’Autorità.
- Nomina un responsabile del trattamento dei dati che sia una persona di fiducia, che controlli spesso la posta elettronica e che abbia conoscenza con le informazioni con cui entrerà in contatto.
- La Privacy Policy deve essere chiara e completa e per essere valida deve contenere le seguenti informazioni:
- La data effettiva del documento;
- La tipologia dei dati personali raccolti;
- Le modalità e le finalità del trattamento;
- L’identità del Titolare del Trattamento e/o del Responsabile del Trattamento;
- Gli eventuali fornitori terzi con cui vengono condivise le informazioni (ad esempio widget vari installati sul sito, eventuali pulsanti per condividere info sui social, servizi di statistica ecc.);
- La base giuridica del trattamento;
- I diritti degli utenti relativi ai propri dati e le modalità con le quali possono essere esercitati.
- Occorre, inoltre, assicurarsi che la Privacy Policy sia aggiornata, priva di ambiguità, facilmente accessibile e comprensibile.
Le app. automatiche per generare documenti sono allettanti, ma non sempre tengono conto delle specificità e degli aggiornamenti della normativa. Affidati a un esperto per stilare privacy policy cucita su misura per te!
