GDPR e privacy: cosa cambia per il settore olistico?
Se in questo periodo avete sentito parlare del GDPR ed operate nel settore olistico come operatori o con la vostra associazione, avrete sicuramente la necessità di comprendere cosa è necessario fare per adeguarsi alle nuove normative sulla privacy.
Abbiamo chiesto ai nostri consulenti una panoramica sull’argomento, per capire come dovrà comportarsi chi si occupa di discipline olistiche in Italia.
Contenuti dell'articolo
Il campo di applicazione della nuova disciplina
Il 25 maggio 2018 scade il termine per l’adeguamento alla nuova disciplina in materia di privacy, ovvero il Regolamento Europeo n. 2016/679 (c.d. GDPR), che a breve affiancherà il Codice della Privacy nel normare la tutela dei dati personali.
Tale materia appare molto complessa e articolata pertanto in questo articolo vedremo quali sono le principali novità e aspetti di cui tenere conto, senza trattare in maniera esaustiva tutte le singole tematiche ad essa connesse.Innanzitutto, è bene precisare che la disciplina si applica a tutti i trattamenti di dati personali che non siano effettuati da una persona fisica per l’esercizio di attività a carattere esclusivamente personale o domestico. Saranno quindi applicabili a tutte le associazioni, comprese le APS, le ONLUS e gli ETS, nonché i singoli operatori olistici, nell’ambito delle loro attività professionali.
Ai sensi di legge, il trattamento dei dati consiste in qualsiasi operazione, eventualmente compiuta con processi automatizzati o telematici, riguardante dati personali come ad esempio la raccolta, la registrazione, la conservazione, la modifica, la consultazione, l’uso, la comunicazione o diffusione, la cancellazione o la distruzione.
E’ invece considerato “dato personale” qualsiasi informazione riguardante una persona fisica identificata o identificabile come, a titolo esemplificativo il nome, un numero di identificazione, dati relativi all’ubicazione (es. indirizzo di residenza o lavoro), un identificativo online (es. l’indirizzo e-mail) o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale.
Quindi per fare alcuni esempi la compilazione dei moduli di adesione ad una associazione comporta trattamento dei dati, così come l’emissione di una fattura a favore del cliente. Infatti, nelle circostanze ora descritte, l’operatore o l’associazione vengono a conoscenza dei dati dell’interessato e li utilizzano e archiviano nei propri sistemi informatici o cartacei. In tutti questi casi si rende pertanto necessario dare attuazione alla normativa sulla privacy.
Condizioni di liceità del trattamento dei dati personali
Il trattamento dei dati è lecito solo se e nella misura in cui ricorra almeno una delle condizioni stabilite dall’art. 6 del GDPR, tra cui in particolare è utile segnalare i casi in cui:
a) l’interessato abbia espresso in maniera inequivocabile il consenso al trattamento dei propri dati personali per una o più specifiche finalità;
b) il trattamento sia necessario all’esecuzione di un contratto di cui l’interessato è parte.
Il titolare del trattamento quindi deve essere in grado di dimostrare che l’interessato ha prestato il proprio consenso al trattamento dei propri dati personali.Inoltre, se il consenso dell’interessato è prestato nel contesto di una dichiarazione scritta che riguarda anche altre questioni (ad esempio il modulo di adesione ad una associazione), la richiesta di consenso deve essere presentata in modo chiaramente distinguibile dalle altre materie, in forma comprensibile e facilmente accessibile, utilizzando un linguaggio semplice e chiaro.
L’interessato ha il diritto di revocare il proprio consenso in qualsiasi momento.
Gli adempimenti richiesti dal GDPR
La nuova disciplina prevede alcuni adempimenti a carattere “formale” e alcuni adempimenti di carattere pratico.
Nel primo insieme rientra la revisione delle informative ad oggi in uso, che dovranno integrare nuovi elementi, tra i quali:
le finalità del trattamento cui sono destinati i dati personali nonché la base giuridica del trattamento: quest’ultima previsione rappresenta una novità e deve essere ricollegata a una delle fonti di liceità del trattamento di cui sopra;
gli eventuali destinatari o le eventuali categorie di destinatari dei dati personali: è necessario spiegare chi sono le persone che in concreto potrebbero venire a conoscenza dei dati;
il periodo di conservazione dei dati personali oppure, se non è possibile, i criteri utilizzati per determinare tale periodo;
tutti i diritti spettanti all’interessato ai sensi della nuova normativa.L’informativa deve essere data in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro. Solo se richiesto dall’interessato le informazioni possono essere fornite oralmente, e comunque a condizione che sia comprovata con altri mezzi l’identità dell’interessato.
E’ quindi evidente che, a differenza di quanto succedeva in passato, sarà molto difficile avere delle informative standardizzate, posto che alcuni elementi dovranno essere attentamente valutati in base alle caratteristiche effettive che il trattamento dei dati assume nello specifico caso.
Altro aspetto molto importante della disciplina del GDPR è che, oltre agli adempimenti formali visti sopra, esso prevede che il titolare del trattamento adotti in concreto misure tecniche e organizzative adeguate, volte ad attuare in modo efficace i principi di protezione dei dati.
Ciò significa che ciascun titolare dovrà porre in essere delle procedure che gli consentano di tutelare la segretezza dei dati personali in suo possesso. A titolo meramente esemplificativo si può pensare alla conservazione dei dati in appositi armadietti o cassetti chiusi a chiave, per quanto riguarda i documenti cartacei, oppure alla previsione di adeguati sistemi di protezione (password, sistemi anti virus e anti spyware, etc.) nel caso di conservazione digitale dei dati.
In sintesi quindi la nuova disciplina richiede adempimenti di diverso tipo che dovranno essere adeguati di volta in volta alla realtà concreta in cui si opera ed è bene che ogni operatore o associazione si informi circa le misure da adottare per essere in linea con le nuove disposizioni europee in ambito privacy.
Domande e Risposte – Conclusione
Detto questo, vi informiamo che i nostri consulenti hanno preparato un elenco di domande e risposte generiche sull’argomento, nel frattempo è già possibile richiedere una consulenza personalizzata scrivendo a consulenza@conacreis.it.
