GDPR Privacy
il periodo di tolleranza è finito
E’ scaduto il 20 maggio 2019 il periodo di tolleranza per le inadempienze (art. 22 del DL 10/8/2018, n. 101) e pertanto saranno applicate le sanzioni previste dal GDPR per inadempienze o non corretto trattamento dei dati personali. Ricordiamo a tal proposito che le ispezioni possono essere effettuate in collaborazione con la Guardia di Finanza.
È obbligatorio adeguarsi al nuovo Regolamento Europeo 2016/679 che si basa sul principio dell’accountability, ovvero spetta al Titolare dimostrare l’adeguamento alle disposizioni mediante procedure, istruzioni e documentazione attentamente studiate e realizzate “su misura” in funzione della specifica attività dell’organizzazione.
Le conseguenze di una violazione possono essere di diverso tipo, tra le quali anche le sanzioni pecuniarie\amministrative. E’ fondamentale tenere conto che non è sufficiente rispettare le norme in materia Privacy ma, sulla base del principio di accountability, cardine del nuovo GDPR, i titolari dovranno dimostrare di essere consapevoli delle modalità di trattamento e di conservazione dei dati personali; in altri termini dovranno saper rendere conto di quanto fanno direttamente o per interposta persona.
In caso di violazione le conseguenze possono ricondursi alle seguenti fattispecie:
- il controllore può richiedere d’autorità al Titolare del Trattamento delle misure correttive; può anche richiedere di limitare, sospendere o addirittura bloccare alcuni trattamenti di dati personali;
- se sono stati causati danni agli interessati, potrà essere richiesto di risarcire gli interessati;
- ci possono essere casistiche in cui la violazione può comportare mancato rispetto delle condizioni contrattuali con altri titolari o contitolari, con le responsabilità che ne conseguono;
- possono essere irrorate sanzioni amministrative da parte dell'autorità di controllo;
- la violazione può portare all'applicazione di eventuali sanzioni penali.
Sanzioni penali
I reati previsti dal Codice sono:
- il trattamento illecito dei dati,
- la comunicazione e la diffusione illecita di dati personali oggetto di trattamento su larga scala,
- l'acquisizione fraudolenta di dati personali oggetto di trattamento su larga scala,
- la falsità nelle dichiarazioni al garante,
- l'interruzione dell'esecuzione di compiti e poteri del garante,
- l'inosservanza dei provvedimenti del garante.
Il regolamento europeo distingue due gruppi di violazioni
Sanzioni fino a 10 milioni di euro oppure al 2% del fatturato mondiale annuo della società se superiore.
- inosservanza degli obblighi del titolare e del responsabile del trattamento a norma degli articoli 8 (consenso dei minori), 11 (trattamento che non richiede identificazione), da 25 a 39 (privacy by default, contitolari del trattamento), rappresentanti non stabiliti nell'Unione, responsabilità del trattamento, registro dei trattamenti, sicurezza, notifica delle violazioni, valutazione di impatto, DPO, 42 e 43;
- inosservanza degli obblighi dell’organismo di certificazione a norma degli articoli 42 e 43;
- inosservanza degli obblighi dell’organismo di controllo a norma dell’articolo 41, paragrafo 4.
Sanzioni fino 20 milioni di euro o fino al 4% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore.
- inosservanza dei principi di base del trattamento comprese le condizioni relative al consenso, a norma degli articoli 5, 6, 7 e 9;
- inosservanza dei diritti degli interessati a norma degli articoli da 12 a 22;
- inosservanza dei trasferimenti di dati personali a un destinatario in un paese terzo o un’organizzazione internazionale a norma degli articoli da 44 a 49;
- inosservanza di qualsiasi obbligo ai sensi delle legislazioni degli Stati membri adottate a norma del capo IX;
- inosservanza di un ordine, di una limitazione provvisoria o definitiva di trattamento o di un ordine di sospensione dei flussi di dati dell’autorità di controllo ai sensi dell’articolo 58, paragrafo 2, o il negato accesso in violazione dell’articolo 58, paragrafo 1; alle quali si aggiunge l'inosservanza delle prescrizioni di cui alle autorizzazioni generale del Garante per la privacy di cui all'art. 21 D. Lgs 101/2018 (adeguamento codice Privacy) o di cui al provvedimento di cui all'art. 21, comma 1, del D. Lgs. 101/2018 (prescrizioni in materia di dati a trattamento speciale).
Sanzioni correttive
Possono essere emesse anche Sanzioni correttive.
In sostanza possono essere:
- rivolti avvertimenti al titolare o al responsabile del trattamento;
- rivolti ammonimenti al titolare o al responsabile del trattamento;
- si può imporre al titolare o al responsabile del trattamento di soddisfare le richieste dell’interessato sui propri diritti
- imporre una limitazione provvisoria o definitiva al trattamento, sospendere temporaneamente il trattamento, o vietarlo definitivamente;
- ordinare la rettifica, la cancellazione o l'aggiornamento dei dati personali;
- revocare le certificazioni;
- ordinare la sospensione del trasferimento dei dati ad una organizzazione internazionale.
Scopri My Privacy
Il servizio in cloud per la corretta conformità con il
Regolamento Europeo sulla protezione dei dati