Cos’è-ra il Privacy Shield
Il Privacy Shield è stato fino ad ora la base giuridica di numerosi trattamenti che comportavano il trasferimento di dati verso gli Stati Uniti o altre nazioni al di fuori dei confini europei. L’invalidazione di tale accordo si è basata sul fatto che gli Stati Uniti hanno leggi e programmi di sorveglianza di massa che non forniscono, ad esempio, sufficienti diritti di opposizione al trattamento. I Garanti europei, in conseguenza di tale sentenza, hanno l’obbligo di interrompere il trattamento svolto tramite responsabili del trattamento statunitensi e che comporti un trasferimento dei dati personali.
Qual è la situazione attuale?
I titolari del trattamento potrebbero, se incapaci di implementare alternative, continuare ad utilizzare dei responsabili del trattamento non conformi ma dovranno notificarlo al Garante (articolo 145 C-311/18) e naturalmente ottenere esplicito consenso al trattamento da parte di ogni utilizzatore ed interessato.
In breve, questa è la situazione attuale:
I titolari del trattamento non possono utilizzare il Privacy Shield come base giuridica per il trattamento e/o trasferimento dei dati o responsabili esterni statunitensi o filiali europee di entità statunitensi che utilizzano il Privacy Shield come base legale dell’accordo per il trattamento dei dati.
I titolari del trattamento non possono neanche utilizzare responsabili esterni statunitensi o filiali europee di entità statunitensi che utilizzano Standard Contractual Clauses come base legale per il trattamento e/o trasferimento dei dati
I titolari del trattamento potranno utilizzare responsabili del trattamento statunitensi verificando che il responsabile del trattamento si idoneo e conforme al GDPR.
Cerco di semplificare al massimo: i seguenti provider (l’ordine è solo alfabetico) non dovrebbero essere utilizzati: Amazon (AWS), Apple, Cloudflare, Dropbox, Facebook, Google, Microsoft, Verizon e Verizon Media (Oath e Yahoo).
Questo significa che dovremmo smettere di utilizzare una lunga serie servizi ed applicazioni, non permesse dall’articolo 49 del GDPR; possiamo invece prenotare un albergo o un volo con entità statunitensi e consentire il trattamento ed il trasferimento dei nostri dati personali in quanto necessari per completare la transazione commerciale. Il trattamento dei dati personali tramite l’articolo 49 è infatti permesso solo se non continuativo e se ogni interessato è stato messo al corrente e cosciente (informato) del fatto che i propri dati personali ”saranno soggetti a programmi di sorveglianza di massa da parte del Governo statunitense e che in molti casi verranno utilizzati singolarmente ed in forma aggregata per supportare modelli di business che monetizzano le informazioni in modi più o meno etici”.
Di seguito alcuni esempi di quando voi come individui, dirigenti aziendali, impiegati pubblici potreste privare altri cittadini del loro diritto fondamentale alla privacy e rendervi non conformi al GDPR:
quando installate applicazioni come Facebook, WhatsApp, LinkedIn, Instagram, ecc… o attivate un account Google sul vostro telefono generalmente la prima cosa che fanno è di caricare i dati sul vostro telefono sui loro server per correlare i vostri dati con quelli dei vostri familiari, amici e colleghi senza ottenere il consenso dalle terze parti coinvolte;
quando utilizzate Microsoft Office, Microsoft 365, Google Docs o servizi e prodotti similari; Se scrivete documenti e fogli di calcolo o create presentazioni contenenti dati personali, condividerete quei dati in formato leggibile o li trasferirete una parola o frase per volta tramite i “Connected Services” senza consenso o basi legali. Questo purtroppo avviene tutti i giorni nella maggior parte delle organizzazioni pubbliche o private dove la maggior parte degli utenti non è a conoscenza del fatto che stanno trattando dati personali in modo illegale;
quando implementate servizi come Google Analytics, CloudFlare, Amazon AWS, Facebook, ecc. in quanto trattano e trasferiscono dati personali.
Cosa fare ora?
Se siete titolari del trattamento, questo potrebbe essere un grosso problema. I titolari del trattamento quindi, se non riescono a trovare alternative, potrebbero, in linea teorica, continuare ad utilizzare dei responsabili del trattamento non conformi, ma dovranno notificarlo al Garante e naturalmente ottenere esplicito consenso al trattamento da parte di ogni utilizzatore ed interessato.
Al momento sembra che non vi siano soluzioni semplici e veloci, soprattutto in un mondo in cui pochi giganti non solo operano in regime di quasi monopolio, ma sono in grado di condizionare le scelte dei governi che, a loro volta, non sono in grado di trovare o creare una valida alternativa.
Se questo articolo ti è piaciuto o pensi che possa esserti utile, condividilo sui tuoi social preferiti ed iscriviti alla nostra newsletter: è gratis e puoi cancellarti quando vuoi!
Nessuna proroga per il GDPR. Le sanzioni previste dal Regolamento UE sulla privacy sono operative già dal 25 maggio 2018. Le voci, i commenti e le interpretazioni su una presunta proroga della applizione del Regolamento Europeo o la applicazione delle sanzioni, si rincorrono ma, lasciatemi dire, con molta poca, se non nulla, aderenza con la verità. A questo punto vorrei aiutarvi a capire meglio la situazione e lo stato dell'arte. Come prima cosa ribadisco che non si può parlare in alcun modo...
Ci occupiamo, in questo articolo, di due adempimenti, peraltro non sempre obbligatori, previsti dal GDPR: la redazione del Registro dei Trattamenti e la nomina del DPO (Data Protection Officer). Il Registro dei trattamenti L’art. 30 del GDPR prescrive ai Titolari e ai Responsabili del Trattamento la tenuta di un registro delle attività di trattamento svolte sotto la propria responsabilità. Si tratta di una delle novità e, al contempo, uno degli adempimenti più importanti concernenti le attività di trattamento. Il par. 4 dell'art....
GDPR: come svolgere la valutazione d'impatto, cosa deve contenere. Abbiamo detto che la valutazione d'impatto è una scelta che in alcuni casi è facoltativa in altri obbligatoria: infatti, non va condotta per tutti i trattamenti, ma solo per quelli che per la loro natura, finalità, oggetto oppure per gli strumenti o tecnologie utilizzate, possono esporre i dati degli interessati rischi elevati. Andiamo a vedere ora quali sono, in concreto, le attività che sarà necessario svolgere. 1. Identificare i trattamenti Per ciascun trattamento, per capire...
FATTURAZIONE ELETTRONICA NEGLI STUDI - LE SCELTE GIUSTE PER TE E PER I TUOI CLIENTI Come ormai noto, la fatturazione elettronica diventerà obbligatoria per le aziende e le partite IVA a partire dal 1° gennaio 2019. Vi segnaliamo un importante appuntamento formativo per approfondire questa tematica. Mercoledì 18 luglio dalle 15.00 alle 17.30 a Bologna presso il Living Place Hotel, via Properzia dè Rossi snc si terrà un incontro di approfondimento sul tema della Fatturazione Elettronica e delle implicazioni per i Commercialisti e gli Studi di...
Cancelliamo subito ogni dubbio: non è vero! L'equivoco nasce dalla emanazione del Garante stesso di un provvedimento Registro dei provvedimenti n. 121 del 22 febbraio 2018 [clicca qui per scaricare il pdf] in cui vengono fornite "indicazioni preliminari per favorire la corretta applicazione delle disposizioni del Regolamento (UE) 2016/679 in attuazione dell'art. 1, comma 1021, della legge n. 205/2017", provvedimento che è stato interpretato come un differimento dei controlli e delle sanzioni; di qui l'equivoco.
Sei sicuro di gestire correttamente la privacy dei dati nella tua azienda? 25 Maggio 2018: le misure sanzionatorie previste dal nuovo regolamento GDPR diventeranno operative. Adempi agli obblighi e gestisci i processi di acquisizione dei dati con la piattaforma documentale KOMI DOC e la sua configurazione speciale per il GDPR. Con KOMI_DOC è possibile organizzare i tuoi documenti cartacei e digitali, in un unico posto; • Ricercare e accedere a qualunque documento dal tuo computer, tablet o smartphone; • Automatizzare i processi con...
Un interessante workshop avrà luogo presso l'Auditorium della Confcommercio di Modena sul sempre più attuale argomento riguardo il nuovo regolamento Eurpopeo in fatto di Privacy e sicurezza dei dati informatici. L'evento si terrà il 17 Maggio e tratterà specificamente gli argomenti di: • Panoramica generale sulla normativa in materia di protezione dei dati personali • Le principali novità del Regolamento Europeo, completamente attuativo dal 25 Maggio • Come affrontare il periodo transitorio tra normativa nazionale e comunitaria • Le figure...
Il GDPR (General Data Protection Regulation) rappresenta la nuova normativa introdotta dall’Unione Europea (UE) in tema di tutela dei dati personali dei cittadini e entrerà in vigore in tutta l’UE a partire dal 25 maggio 2018. Il convegno organizzato da Martinelli e PC Copia si propone di mettere in evidenza come il nuovo regolamento, oltre i derivanti obblighi normativi, costituisca soprattutto un’opportunità per le imprese per tutelare i propri dati personali e quelli dei propri clienti. I dati personali sono tutte...
Martinelli S.r.l. Via Circonvallazione N/E, 98 - 41049 Sassuolo (MO) | Tel: 0536 868611 Fax: 0536 868618 | info@martinelli.it
P.Iva 02262430362 - C.F. 01413050350 - Iscriz. registro Imprese di Modena 01413050350 - Capitale Sociale 350.000 i.v.