Pubbliche amministrazioni e GDPR
Le novità introdotte dal Regolamento Generale sulla Protezione dei Dati (GDPR) riguardano anche le pubbliche amministrazioni. È quindi compito degli enti pubblici quello di attivare le necessarie procedure utili a rendere operative le nuove disposizioni che diventeranno applicabili in tutto il territorio dell’Unione Europea a partire dal 25 maggio 2018.
Tra le molte novità introdotte dal nuovo regolamento europeo, che si inserisce nel solco di un generale processo di innovazione digitale che sta interessando tutta la pubblica amministrazione, tre sono le incombenze a cui gli enti pubblici devono fare fronte con maggiore solerzia:
1. Nomina del Responsabile della Protezione dei dati
Il regolamento impone l’obbligo per le pubbliche amministrazioni di nominare un Responsabile della protezione dei dati (Rdp o Dpo). Si tratta di una figura che deve possedere delle conoscenze specifiche in materia di protezione dati e che dovrà occuparsi della corretta applicazione della normativa. Il Responsabile della protezione dei dati opera in condizioni di indipendenza e di autonomia e riferisce direttamente ai vertici istituzionale. Può essere un ente, una persona giuridica o un soggetto esterno, purché non si creino problemi di conflitto di interessi. Dal momento che i tempi di procedimento di nomina possono essere piuttosto lunghi, è bene che le pubbliche amministrazioni procedano per tempo al processo di affidamento del servizio.
2. Registro dei trattamenti
Altra novità imposta dal GDPR è l’adozione di un registro dei trattamenti. Si tratta di un documento che cataloga nello specifico le attività di trattamento in maniera completa e dettagliata: finalità, categorie di dati, categorie di destinatari, misure di sicurezza, tempo di conservazione e ogni altra informazione utile in tema. Si tratta di uno dei punti più complicati del nuovo regolamento che sta costringendo le pubbliche amministrazioni a un enorme lavoro di catalogazione.
3. Data breach
Il GDPR introduce il diritto degli interessati di venire a conoscenza delle violazioni dei propri dati personali. Questo significa che, in caso di attacchi alle reti e violazioni degli archivi, le pubbliche amministrazioni sono tenute a notificare l’incidente al Garante della Privacy entro 72 ore. Di conseguenza gli enti pubblici devono attrezzarsi con sistemi che garantiscono la sicurezza degli archivi informatici e cartacei, formando il personale autorizzato a trattare i dati e compilando un apposito registro delle violazioni.
Oltre a questi tre adempimenti, altre sono le novità cui gli uffici pubblici devono far fronte:
- il diritto all’oblio: viene rafforzato il diritto all’oblio ossia la possibilità per l’interessato di richiedere e ottenere dal titolare la cancellazione dei dati personali che lo riguardano per motivi legittimi. Il titolare del trattamento deve procedere all’eliminazione dei dati e informare altri titolari del trattamento di effettuare lo stesso.
- privacy by design e privacy by default: le pubbliche amministrazioni devono adottare misure organizzative e tecniche che tutelino i principi di protezione dei dati e l’utilizzo dei dati personali nella misura necessaria e sufficiente per le finalità previste e per il periodo strettamente necessario a tali fini.
