Cos'è il GDPR? Guida facile alla protezione dei dati nell'UE

Se la tua organizzazione raccoglie, utilizza o traccia dati personali di persone nell'UE, si applica il Regolamento generale sulla protezione dei dati (GDPR, acronimo dall'inglese General Data Protection Regulation). Non importa dove abbia sede la tua azienda: questa legge europea sulla privacy ha una portata globale e ridefinisce il modo in cui le imprese gestiscono le informazioni personali.

Adottato nel 2016 e in vigore dal maggio 2018, il GDPR stabilisce regole chiare su cosa si intende per dati personali, come possono essere utilizzati e quali diritti hanno gli individui sulle proprie informazioni.

Questa guida spiega cos'è il GDPR, a chi si applica e cosa devono sapere le aziende per mantenervisi conformi.

Cos'è il GDPR in termini semplici?

Il GDPR è una normativa UE sulla privacy che tutela i dati personali delle persone nell'Unione Europea. Questo include qualsiasi informazione in grado di identificare direttamente o indirettamente qualcuno, come nomi, indirizzi e-mail, indirizzi IP o cookie.

Il GDPR offre alle persone un maggiore controllo sui propri dati e impone alle aziende di trattarli in modo equo, di spiegare perché vengano raccolti e di mantenerli al sicuro. Entrato in vigore il 25 maggio 2018, sostituisce le precedenti norme dell'UE in materia di trattamento dei dati.

Perché è stato introdotto il GDPR

Prima del GDPR, la protezione dei dati nell'UE si basava sulla direttiva sulla protezione dei dati del 1995. All'epoca, Internet era una novità e le aziende gestivano una quantità di dati personali di gran lunga inferiore. Con il progresso tecnologico e l'integrazione dei servizi online nella vita quotidiana, divenne chiaro che quelle vecchie norme non erano più sufficienti.

Nel 2012, la Commissione europea ha proposto una nuova legislazione per rafforzare il diritto alla privacy e adattarsi all'economia digitale. Dopo alcuni anni di dibattiti, nel 2016 è stato adottato il GDPR, entrato in vigore nel 2018.

A differenza della precedente direttiva, il GDPR ha applicazione diretta in tutti i Paesi membri dell'UE, stabilendo una normativa uniforme ovunque e garantendo ai cittadini maggiori diritti in merito alla gestione delle proprie informazioni personali.

Nel mondo interconnesso di oggi, la privacy è più importante che mai e leggi come questa sono pensate per restituire agli utenti il controllo sui propri dati.

A chi si applica il GDPR

Il GDPR si applica a qualsiasi organizzazione che raccolga, utilizzi o conservi dati personali di persone nell'UE, a prescindere dal fatto che l'azienda abbia sede all'interno o all'esterno dello Spazio economico europeo (SEE). La legge segue i dati, non l'ubicazione dell'azienda.

Il regolamento definisce due ruoli chiave:

• Titolare del trattamento: decide perché e come vengono trattati i dati personali.
• Responsabile del trattamento: gestisce i dati per conto del titolare del trattamento, come ad esempio fornitori di servizi cloud o gestori di pagamenti.

Aziende nello SEE

Lo SEE comprende i 27 Stati membri dell'UE più Islanda, Liechtenstein e Norvegia. Qualsiasi organizzazione con sede all'interno dello SEE deve rispettare il GDPR per il trattamento dei dati personali, anche se questo avviene al di fuori dell'Europa. Ad esempio, un'azienda con sede in Italia che utilizza server in Svizzera o negli Stati Uniti deve comunque seguire le norme del GDPR.

Aziende al di fuori dello SEE

Il fatto di trovarsi al di fuori dello SEE non esenta un'organizzazione dalla conformità al GDPR. Si applicherà comunque questa normativa nel caso in cui la tua azienda interagisca con i dati personali dei residenti nell'UE nei seguenti modi:

• Se offre beni o servizi a persone all'interno dell'UE, a titolo gratuito o a pagamento.
• Se monitora il comportamento di persone all'interno dell'UE, ad esempio tracciando l'attività online tramite cookie o metodi di profilazione.

Ad esempio, una piattaforma educativa con sede in Svizzera o negli Stati Uniti, ma rivolta a studenti universitari in Italia, deve necessariamente conformarsi al GDPR. Dovrà attenersi a questa normativa anche qualsiasi azienda esterna allo SEE che agisca in qualità di responsabile del trattamento dei dati per un'azienda all'interno dello SEE.

Se un servizio è accessibile dall'UE solo in modo incidentale, senza rivolgersi specificamente agli utenti dell'UE o senza trattarne i dati personali, potrebbe non rientrare nell'ambito di applicazione del GDPR. Tuttavia, se un'azienda non compie uno sforzo evidente per escludere i residenti dell'UE, le autorità di regolamentazione potrebbero comunque ritenere che debba applicare il GDPR.

Inoltre, alcune specifiche tipologie di dati risultano esenti dalla normativa, tra cui i dati raccolti per finalità di sicurezza nazionale e di applicazione delle norme o per ragioni puramente interne al Paese.

Cosa si intende per dati personali ai sensi del GDPR?

Ai sensi del GDPR, sono dati personali tutte quelle informazioni relative a una persona in vita che ne permettano l'identificazione, in modo diretto o indiretto. Alcuni esempi includono:

• Nomi e cognomi
• Indirizzi di residenza
• Indirizzi e-mail contenenti il nome di una persona
• Numeri della carta d'identità o del passaporto
• Indirizzi IP
• ID dei cookie
• Identificatori pubblicitari sui dispositivi
• Cartelle cliniche

Il GDPR distingue inoltre tra dati pseudonimizzati, che possono comunque essere ricondotti a una persona, e dati realmente anonimizzati, che al contrario non lo permettono. Solo questi ultimi non rientrano nell'ambito di applicazione della normativa.

Inoltre, il GDPR identifica categorie speciali di dati personali, come l'origine razziale o etnica, le convinzioni religiose, le opinioni politiche e i dati biometrici. A causa dei maggiori rischi che ne derivano, il trattamento di questo genere di informazioni è vietato, salvo in circostanze molto specifiche.

Quali sono le basi giuridiche per il trattamento dei dati personali?

Il GDPR non consente alle organizzazioni di trattare i dati personali per il semplice desiderio di farlo. Deve esistere una chiara ragione legale e il regolamento definisce sei ambiti:

• Consenso: quando una persona ha dato il proprio consenso esplicito all'utilizzo dei propri dati. Il consenso deve essere libero, specifico e facilmente revocabile. Il silenzio-assenso o caselle preselezionate non sono considerate accettabili.
• Contratto: quando il trattamento è necessario per adempiere a un contratto con l'interessato (ad esempio, il trattamento dei dati di pagamento per completare un acquisto).
• Obbligo legale: a volte la legge impone a un'organizzazione il trattamento dei dati personali, come nel caso degli ospedali, che sono tenuti a conservare le cartelle cliniche.
• Interessi vitali: quando il trattamento dei dati è necessario per proteggere la vita di una persona, ad esempio in caso di un'emergenza medica.
• Compito pubblico: quando il trattamento dei dati è necessario per l'adempimento di un compito o di una funzione ufficiale nell'interesse pubblico (spesso rilevante per gli enti governativi).
• Interessi legittimi: si consente il trattamento dei dati se l'organizzazione ha un motivo valido che non prevale sui diritti dell'individuo, ad esempio l'utilizzo dei dati per mantenere i sistemi di sicurezza informatica.

I 7 principi fondamentali del GDPR

Il GDPR si basa su sette principi chiave che stabiliscono gli standard di correttezza, sicurezza e responsabilità nel trattamento dei dati.

1. Liceità, correttezza e trasparenza

Questo principio stabilisce che i dati debbano essere raccolti e utilizzati solo per valide ragioni consentite dal GDPR, come dietro consenso della persona interessata o per la loro necessità per l'erogazione di un servizio. Significa anche utilizzare i dati in modo equo, senza fuorviare le persone né utilizzando le loro informazioni in modi che non si aspetterebbero. Infine, è fondamentale la trasparenza: le organizzazioni devono spiegare in termini semplici quali dati stanno raccogliendo, perché e come intendono utilizzarli.

2. Limitazione delle finalità

Ai sensi del GDPR, i dati personali possono essere raccolti solo per una finalità chiara e specifica, che deve essere comunicata alle persone al momento della raccolta. Una volta raccolti, i dati non possono essere utilizzati per motivi non compatibili con la finalità originaria.

3. Minimizzazione dei dati

Il GDPR richiede alle organizzazioni di raccogliere solo i dati personali necessari per uno scopo specifico. Questo principio aiuta a limitare la quantità di dati conservati su una persona, riducendo i rischi derivanti dalla loro perdita o uso improprio e mantenendone la raccolta mirata e pertinente.

4. Accuratezza

I dati personali devono essere corretti. Se un'organizzazione conserva informazioni su una persona, deve garantire che siano accurate e aggiornate secondo necessità. In caso di cambiamenti o errori, l'organizzazione è responsabile della loro correzione. Mantenere i dati accurati aiuta a evitare errori che potrebbero ripercuotersi sulle persone, specialmente quando le informazioni disponibili vengono utilizzate per prendere decisioni che le riguardano.

5. Limitazione della conservazione

Le organizzazioni non dovrebbero conservare i dati personali per un tempo superiore al necessario. Una volta che i dati sono serviti allo scopo prefissato, devono essere cancellati o anonimizzati. Questo principio garantisce che i dati non vengano conservati "per ogni evenienza", senza una ragione chiara. Aiuta inoltre a ridurre i rischi legati alla conservazione non necessaria, come violazioni dei dati o problemi di privacy.

6. Integrità e riservatezza

Garantire la sicurezza dei dati personali è essenziale. Le organizzazioni devono proteggerli dall'accesso, furto o modifica da parte di terzi che non ne abbiano diritto. Questo implica la predisposizione di un adeguato sistema di sicurezza.

7. Responsabilità

La responsabilità implica che le organizzazioni non sono solamente tenute a seguire le regole del GDPR, devono anche dimostrarlo. Questo comporta dover dimostrare di aver adottato misure adeguate per la protezione dei dati personali, includendo la conservazione di registri sulle modalità di trattamento, la formazione del personale e l'attuazione di politiche sulla privacy.

Diritti degli utenti in materia di dati ai sensi del GDPR

Diritto a essere informato

Hai il diritto di sapere quando un'organizzazione raccoglie i tuoi dati personali e perché. Pertanto, le aziende devono essere chiare fin dall'inizio su quali dati stiano raccogliendo, come intendano utilizzarli e con chi potrebbero condividerli.

Tali informazioni devono essere di facile comprensione, in modo da poter decidere con cognizione di causa se si è disposti a condividere i propri dati.

Diritto di accesso

Implica che puoi chiedere a qualsiasi organizzazione quali dati personali possieda su di te. Puoi richiederne una copia, insieme a dettagli su come vengano utilizzati e con chi vengano condivisi. Le organizzazioni sono tenute a fornire queste informazioni entro un termine ragionevole.

Tuttavia, non si tratta di un diritto assoluto: non deve ledere alcun diritto o libertà altrui, tra cui segreti commerciali e proprietà intellettuale.

Diritto di rettifica

Se qualcuno dei tuoi dati personali in possesso di un'organizzazione è errato o incompleto, hai il diritto di chiederne la correzione. Che si tratti di un nome scritto male, di un indirizzo non aggiornato o di informazioni mancanti, l'organizzazione è tenuta a farlo.

Diritto alla cancellazione (diritto all'oblio)

Puoi chiedere a un'organizzazione di cancellare i tuoi dati personali quando non vi è più alcuna valida ragione per conservarli. Spesso chiamato "diritto all'oblio", questa facoltà si applica quando i dati non sono più necessari per lo scopo prefissato o quando l'organizzazione ne ha fatto un trattamento illecito.

Anche questo diritto, però, non è assoluto, in quanto le aziende possono conservare i dati se ne hanno l'obbligo legale o per altri motivi fondati.

Diritto alla limitazione del trattamento

Questo diritto consente di chiedere a un'organizzazione di limitare l'utilizzo dei propri dati personali. È possibile esercitarlo se si ritiene che i dati siano inesatti, se sono stati trattati in modo illecito o se l'organizzazione non ne ha più bisogno ma si desidera che li conservi per un'azione legale. Mentre la limitazione è in vigore, l'organizzazione può conservare i dati, ma non può utilizzarli per altri scopi, a meno che la persona non dia il proprio consenso o non vi siano ragioni legali per farlo.

Diritto alla portabilità dei dati

Questo diritto ti consente di ottenere una copia dei tuoi dati personali in un formato accessibile. Puoi anche chiedere che i dati vengano inviati direttamente a un'altra organizzazione, se tecnicamente possibile. L'idea è quella di dare alle persone un maggiore controllo sulle proprie informazioni, agevolando i cambi di servizio o lo spostamento dei dati altrove senza dover ricominciare da zero.

Diritto di opposizione

Hai il diritto di opporti al modo in cui vengono utilizzati i tuoi dati personali, in particolare nei casi di finalità di marketing diretto. Presentando un'opposizione, l'organizzazione è tenuta a interrompere l'utilizzo dei tuoi dati, a meno che non possa dimostrare di averne un motivo valido e legittimo.

Diritti relativi a processi decisionali automatizzati

Hai anche il diritto di contestare le decisioni prese su di te da terzi interamente mediante processi automatizzati, specialmente se la decisione provoca effetti significativi come nel caso dell'approvazione di un prestito o dell'assegnazione di un lavoro. Il GDPR ti dà il diritto di chiedere l'intervento umano in tali circostanze, affinché qualcuno riesamini la decisione anziché delegarla esclusivamente ad algoritmi o sistemi automatizzati.

Cosa si intende per consenso ai sensi del GDPR e come si ottiene?

Ai sensi del GDPR, per essere valido, il consenso deve soddisfare standard rigorosi, dovendo necessariamente essere:

• Concesso liberamente: è necessario disporre effettivamente di una scelta reale, senza pressioni né conseguenze avverse in caso di rifiuto.
• Specifico e informato: l'organizzazione deve comunicarti chi è, quali dati raccoglie, perché ne ha bisogno e come verranno utilizzati.
• Privo di ambiguità: il consenso deve derivare da un'azione chiara e affermativa, come spuntare una casella o firmare un modulo. Non sono accettabili né il silenzio-assenso né le caselle preselezionate.

Le persone hanno inoltre diritto a revocare il consenso in qualsiasi momento, cosa che deve essere altrettanto semplice quanto concederlo. Una volta revocato, l'azienda deve interrompere l'utilizzo dei tuoi dati per tale finalità.

Per servizi rivolti a utenti di età inferiore ai 16 anni, in genere si richiede il consenso dei genitori, anche se alcuni Paesi UE hanno abbassato questa soglia a 13 anni.

Come le aziende possono conformarsi ai requisiti del GDPR

Esistono misure specifiche che ogni organizzazione dovrebbe adottare per mantenersi conforme al GDPR e tutelare la privacy delle persone.

Registri delle attività di trattamento

L'articolo 30 del GDPR richiede alle aziende di documentare come gestiscono i dati personali. Questi registri dovrebbero includere i motivi del trattamento, le tipologie di dati raccolti, con chi vengano condivisi, i periodi di conservazione e le misure di sicurezza predisposte.

Sebbene le piccole imprese possano esserne esentate, se il loro trattamento è sporadico e a basso rischio, la conservazione di questi registri è fondamentale per dimostrare la conformità al GDPR quando richiesto dalle autorità.

Valutazioni d'impatto sulla protezione dei dati (DPIA)

Quando un'azienda intende trattare dati personali in modi che potrebbero comportare rischi elevati per i diritti e le libertà delle persone, deve effettuare una valutazione d'impatto sulla protezione dei dati (DPIA). Questo procedimento è obbligatorio in casi quali l'utilizzo di nuove tecnologie, il monitoraggio su larga scala di spazi pubblici o il trattamento estensivo di particolari categorie di dati.

Lo scopo di una valutazione d'impatto è identificare e ridurre i potenziali rischi prima di qualunque trattamento dei dati. Se nonostante le misure adottate permangono rischi elevati, prima di procedere l'azienda dovrà consultare l'Autorità di controllo o Garante per la protezione dei dati personali, ossia l'organismo nazionale di ciascun Paese dell'UE responsabile dell'applicazione della conformità al GDPR.

Designazione di un Responsabile della protezione dei dati (RPD)

Ai sensi del GDPR, alcune organizzazioni sono tenute a nominare un Responsabile della protezione dei dati, ossia una persona responsabile di monitorare il trattamento dei dati personali all'interno dell'azienda e di garantire il rispetto dei requisiti del GDPR.
La tua organizzazione dovrà designare un RPD nei seguenti casi:

• Se si monitorano su larga scala gli utenti in maniera regolare o sistematica, ad esempio tracciandone il comportamento online.
• Se si trattano su larga scala particolari categorie di dati, come quelli sanitari, genetici o biometrici.
• Se l'organizzazione è un'autorità o ente pubblico (ad eccezione di tribunali o autorità giudiziarie indipendenti).

Il Responsabile della protezione dei dati può essere un dipendente o un esperto esterno ingaggiato tramite contratto di servizio. In entrambi i casi, deve operare in modo indipendente, fornendo consulenza al personale, supervisionando le misure di protezione dei dati e fungendo da principale punto di contatto con le autorità di controllo.

Tutele nel trasferimento dei dati

Quando si trasferiscono dati personali al di fuori dell'UE, il GDPR richiede alle aziende di garantirne lo stesso livello di protezione. Le aziende devono applicare misure di sicurezza per tutelare i dati e rispettare gli standard del GDPR.

Esistono diverse modalità approvate per proteggere i trasferimenti di dati:

• Decisioni di adeguatezza: i dati possono essere inviati a Paesi che secondo l'UE offrono un adeguato livello di protezione.
• Garanzie contrattuali: le aziende possono includere clausole specifiche per garantire la protezione dei dati nei contratti con destinatari extra-UE.
• Deroghe: in alcuni casi, sono consentiti trasferimenti se l'interessato ha fornito il proprio consenso esplicito o se necessario per motivi contrattuali.

Controlli di sicurezza e crittografia nell'ambito del GDPR

Le organizzazioni devono implementare rigorosi controlli di sicurezza per proteggere i dati personali da accessi non autorizzati, alterazioni o perdite, tra cui misure tecniche come la crittografia e misure organizzative come la limitazione dell'accesso al solo personale autorizzato.

La crittografia svolge un ruolo fondamentale nella protezione della privacy e della libertà nelle società aperte, rimanendo uno degli strumenti più efficaci contro le violazioni dei dati.

Notifica delle violazioni dei dati personali

Se una violazione dei dati mette a rischio i diritti o le libertà delle persone, le aziende devono informare entro 72 ore l'autorità di controllo. Se il rischio è elevato, devono essere informate anche le persone interessate.

La mancata segnalazione di una violazione entro i termini previsti può comportare sanzioni, quindi è importante che le aziende dispongano di procedure chiare per individuare, valutare e rispondere in modo efficiente alle violazioni dei dati.

Sensibilizzazione e formazione dei dipendenti

La conformità al GDPR non dipende solo dalle policy, ma anche dalla capacità dei dipendenti di comprenderle e applicarle. Per gestire i dati personali in modo responsabile e rispettare i diritti degli individui, il personale aziendale ha bisogno di ricevere linee guida chiare e una formazione frequente. La conoscenza a livello dell'intera organizzazione aiuta a prevenire le violazioni e sostiene i continui sforzi per il mantenimento della conformità.

Applicazione del GDPR e sanzioni per violazioni

Ogni Paese dello SEE dispone di un'Autorità di controllo, responsabile di supervisionare il rispetto delle norme da parte delle organizzazioni. Per assicurarsi che le aziende adempino ai propri obblighi, questi enti possono svolgere indagini, richiedere l'accesso a documentazione e persino condurre ispezioni.

Se le autorità riscontrano che un'azienda ha violato il GDPR, possono emettere sanzioni significative. Le violazioni più gravi possono comportare multe fino a 20 milioni di euro o pari al 4% del fatturato annuo globale dell'azienda. Oltre alle sanzioni pecuniarie, le autorità possono anche imporre azioni correttive, ad esempio ordinare all'azienda di interrompere il trattamento di determinati dati o di migliorare le proprie misure di protezione.

Questi poteri di applicazione garantiscono che la conformità al GDPR non sia qualcosa di facoltativo: le aziende che trattano dati personali devono assumere seriamente le proprie responsabilità o far fronte a costose conseguenze.

Il GDPR si applica negli Stati Uniti?

Il GDPR è un regolamento dell'UE, ma la sua portata non si limita ai confini europei. Le aziende statunitensi possono rientrare nel suo ambito di applicazione, se trattano dati personali di individui nell'UE. Questo implica che, anche senza una presenza fisica in Europa, le aziende statunitensi potrebbero comunque dover rispettare il GDPR, quando le loro attività soddisfano determinati criteri.

Conformità al GDPR per le aziende statunitensi

Ai sensi dell'articolo 3 del GDPR, le aziende statunitensi devono conformarsi al regolamento se hanno una sede nell'UE o se offrono beni o servizi a persone fisiche nell'UE, anche quando il servizio è gratuito. Anche l'attività di monitoraggio del comportamento online di persone fisiche dell'UE, ad esempio tramite cookie, tracker o pubblicità mirata, implica il rispetto del GDPR da parte di un'azienda statunitense.

Per conformarsi, le aziende statunitensi devono:

• Comprovare con processi di audit le tipologie di dati personali che raccolgono.
• Stabilire una base giuridica chiara per il trattamento di ciascuna tipologia di dati, ad esempio per quanto riguarda il consenso o la necessità contrattuale.
• Valutare eventuali trasferimenti di dati dall'UE agli Stati Uniti, garantendo la predisposizione di tutele adeguate, come le Clausole contrattuali standard (SCC).
• In assenza di presenza fisica sul territorio, nominare un rappresentante per il GDPR all'interno dell'UE.
• Ottenere previamente il consenso per la raccolta dei dati su un sito web e per l'uso di cookie.
• Aggiornare le informative sulla privacy affinché riflettano gli obblighi derivanti dal GDPR e i diritti degli interessati.

GDPR vs. CCPA e CPRA

Mentre il GDPR richiede un consenso esplicito prima del trattamento dei dati personali, il California Consumer Privacy Act (CCPA) e il suo emendamento, il California Privacy Rights Act (CPRA), adottano un approccio diverso, seguendo un modello di opt-out.

In California, le aziende generalmente non hanno bisogno di ottenere previamente un consenso per raccogliere o trattare informazioni personali, tranne in casi specifici come la loro vendita o condivisione, il trattamento di dati relativi a minori o il trattamento di informazioni sensibili.

Queste leggi si concentrano piuttosto sulla trasparenza, richiedendo alle aziende di informare gli utenti circa le loro prassi in materia di dati e di fornire modalità semplici per negare la vendita o condivisione dei propri dati personali. Nel complesso, in California l'enfasi è riposta sul controllo e sulla visibilità da parte dell'utente, anziché sulla necessità di consenso previo.

Per le aziende statunitensi, questo rappresenta un'importante distinzione: i rigorosi requisiti del GDPR relativamente al consenso non trovano riscontro negli Stati Uniti, pertanto le aziende che operano in entrambi i territori dovranno adattare le proprie prassi di conseguenza.

Qual è il ruolo dei cookie nell'ambito del GDPR?

Ai sensi del GDPR, i cookie in grado di identificare un individuo o di tracciarne il comportamento online sono considerati dati personali. Questo include tecniche che vanno al di là dei cookie tradizionali, come il browser fingerprinting (letteralmente, "impronta digitale del browser"), il quale può permettere di identificare in modo univoco gli utenti sulla base delle impostazioni del loro dispositivo e del browser.

I siti web devono consentire agli utenti di scegliere quali tipi di cookie accettare, un concetto noto come consenso granulare. Tuttavia, per i cookie strettamente necessari non è richiesto alcun consenso.

Nonostante il GDPR definisca le modalità di ottenimento del consenso, l'uso dei cookie nell'UE è regolato anche dalla direttiva ePrivacy, che integra il GDPR disciplinando specificamente le tecnologie di tracciamento online come i cookie. Questo è il motivo per cui molti siti web mostrano banner sui cookie ai visitatori dell'UE, chiedendo loro di gestire le proprie preferenze prima che vengano attivati cookie non essenziali.

Se desideri ridurre al minimo il tracciamento durante la navigazione, l'uso di una rete privata virtuale (VPN) può aiutarti a navigare con maggiore privacy, poiché maschera il tuo indirizzo IP e cripta il tuo traffico.

Idee erronee comuni sul GDPR

Nonostante sia in vigore da anni, esistono ancora idee erronee molto diffuse su ciò che il GDPR implica realmente per le aziende. Chiariamole.

Il GDPR si applica solo alle aziende dell'UE

Spesso si ritiene che il GDPR riguardi solo le aziende all'interno dell'UE, tuttavia questo regolamento ha una portata molto più ampia. Deve infatti conformarsi qualsiasi azienda con sede al di fuori dell'UE, comprese quelle negli Stati Uniti e in Svizzera, nel caso offra beni o servizi a persone nell'UE o ne monitori il comportamento online, ad esempio tramite tecnologie di tracciamento.

Il consenso è sempre richiesto

Un altro frequente malinteso è che il GDPR richieda sempre il consenso per il trattamento dei dati personali. In realtà, il consenso è solo una fra diverse basi giuridiche. Le aziende possono fare affidamento anche su contratti, obblighi legali, interessi vitali, compiti pubblici o interessi legittimi, sempre a condizione che si rispettino i diritti delle persone. Il consenso diviene essenziale quando non sono applicabili altre basi giuridiche.

Il GDPR serve solo per dare multe

Molti vedono il GDPR semplicemente come un sistema per infliggere multe salate, mentre il suo obiettivo principale è rafforzare il diritto alla privacy e promuovere un trattamento dei dati responsabile. Sebbene le sanzioni possano risultare significative, l'attenzione è rivolta a garantire che le organizzazioni trattino i dati personali in modo trasparente, sicuro e nel rispetto dei diritti delle persone.

Il GDPR va contro ogni forma di marketing

Esiste anche l'idea erronea che il GDPR renda impossibile il marketing. Il regolamento non lo blocca del tutto, bensì stabilisce dei limiti per garantire che i dati personali si utilizzino in maniera giusta. Con una base giuridica adeguata, che si tratti di consenso o di interesse legittimo, le aziende possono certamente proseguire le loro attività di marketing verso le persone nell'UE, purché ne rispettino il diritto alla privacy.