Nuove regole per la privacy: la guida al GDPR per i Consulenti del lavoro

La data del 25 maggio 2018 è alle porte e con essa l’entrata in vigore delle nuove regole per la Privacy e del GDPR. Presto il Codice della privacy (D.Lgs. n. 196/2003) sarà abrogato per lasciare spazio al Regolamento UE 2016/979 che apporta nuove e interessanti novità in tema di protezione dei dati personali. Non solo le aziende saranno investite dalle normative europee ma anche gli studi professionali. Motivo per il quale, i Commercialisti prima, e i Consulenti del lavoro poi, hanno affrontato il tema nel dettaglio indicando gli adempimenti necessari da porre in essere per non incorrere nelle temutissime sanzioni.

Nell’approfondimento del 2 maggio 2018, gli esperti della Fondazione Studi CdL hanno tracciato gli elementi base previste dal Regolamento comunitario, che è direttamente applicabile per i Paesi membri dell’Unione Europea. Vediamo quindi nel dettaglio le nuove regole per la privacy e come queste cambiano il sistema della privacy nelle aziende e negli studi professionali.

Nuove regole per la privacy, novità sul trattamento dei dati

Innanzitutto, i dati debbono essere trattati in modo lecito, corretto e trasparente nei confronti dell’interessato. Ma non solo.

Ai titolari dei dati deve essere garantita l’informazione, chiara, semplice e facilmente accessibile, delle modalità attraverso le quali avviene l’utilizzazione, la consultazione e il trattamento dei dati personali che li riguardano.

È necessario dare il consenso per il trattamento dei dati?

Le nuove regole per la privacy prevedono che il consenso deve essere prestato in maniera chiara e semplice, in forma comprensibile e facilmente accessibile, ma non è prevista obbligatoriamente la forma scritta. In tali casi, ricade sul titolare del trattamento l’onere di dimostrare che l’interessato ha prestato il proprio consenso al trattamento dei propri dati personali.

Il lavoratore conserva la facoltà di revocare il consenso in qualsiasi momento. Dunque, se alla data del 25 maggio il consenso presente le caratteristiche della nuova norma, non è necessario espletare alcun adempimento, in caso contrario è necessario raccogliere nuovamente il consenso in base al Regolamento UE 2016/979.

GDPR: cosa deve contenere l’informativa?

L’informativa, che contiene tutte le informazioni circa le modalità di gestione dei dati raccolti, deve conservare l’importante caratteristica della trasparenza, nel senso che deve avere un linguaggio semplice e chiaro. La forma deve essere cartacea o anche elettronica, mentre non è esclusa la forma orale, su richiesta dall’interessato, dovendo però comprovare l’identità di quest’ultimo.

Si tratta di un adempimento centrale e di massima importanza, in quanto garantisce all’interessato, per esempio, il periodo di conservazione dei dati e le modalità tecniche attraverso le quali questa avviene. Ma non solo. Il titolare deve essere informato in merito al diritto:

di accesso ai dati;
di rettifica;
alla cancellazione (c.d. “diritto all’oblio”);
di limitazione del trattamento (art. 18);
alla portabilità dei dati (art. 20);
di opposizione (art. 21).

È obbligatoria la nomina del DPO Data Protection Officer?

Una domanda che spesso le aziende, ma anche i professionisti si pongono riguarda l’obbligo di nomina del “Data Protection Officer” (DPO).

I CdL affermano che non è obbligatorio per lo studio del singolo professionista, in quanto le attività principali dello stesso non consistono in trattamenti che, per loro natura, ambito di applicazione e/o finalità, richiedono il monitoraggio regolare e sistematico degli interessati su larga scala. Differente è il discorso per i professionisti in forma associata o STP. Infatti, nelle realtà più strutturate, la nomina è raccomandata, anche alla luce del principio di “accountability”.

GDPR: quali sono gli adempimenti obbligatori?

Gli adempimenti obbligatori contenuti nel GDPR sono:

trattamento dei dati personali;
condizioni di liceità del trattamento;
consenso;
informativa;
predisposizione, verifica, aggiornamento sistema di adeguatezza misure adottate;
data – breach.