La risposta breve
I diritti stessi non cambiano quest'anno. Il diritto di accesso, rettifica, cancellazione, limitazione, opposizione e portabilità è contenuto nel GDPR stesso, e quel testo non viene riscritto ogni anno. Ciò che cambia è il modo in cui queste richieste arrivano alle aziende e come le autorità di vigilanza e gli organi europei di vigilanza sulla privacy (EDPB) le illustrano. Per un direttore o un responsabile HR, ciò fa la differenza nella pratica, anche se non cambia nulla nel testo di legge.
Questo non significa che non abbiate nulla da registrare. Le linee guida dell'Autorità per la protezione dei dati personali e dell'EDPB vengono regolarmente integrate, ad esempio su come verificare l'identità di chi avanza una richiesta o su come gestire una richiesta che arriva tramite una chat o i social media. Questi completamenti non sono nuove leggi, ma un'interpretazione più precisa di un obbligo già esistente.
Cosa non cambia nella legge stessa
Il nucleo rimane invariato: un interessato può chiedere quali dati state elaborando su di lui, può far correggere i dati inesatti e, a determinate condizioni, può richiedere la cancellazione. Il termine entro il quale dovete rispondere è stabilito nel GDPR stesso e non è soggetto a revisioni annuali. Le aziende che pensano che quest'anno sia stato introdotto un nuovo termine di risposta, più breve o più lungo, probabilmente lo confondono con accordi interni o con comunicazioni che non riguardano il testo di legge stesso.
Anche le eccezioni, come un obbligo legale di conservazione che impedisce la cancellazione, rimangono invariate. Ciò che può cambiare è il modo in cui le autorità di vigilanza interpretano queste eccezioni nelle loro linee guida. Non è una modifica della legge, ma potrebbe significare che una giustificazione che era sufficiente l'anno scorso deve essere documentata in modo più preciso quest'anno.
Cosa si sta muovendo quest'anno
Tre sviluppi sono rilevanti per le PMI, senza che la legge stessa sia stata modificata. In primo luogo, le richieste arrivano sempre più spesso in forma digitale, tramite un modulo di contatto, un chatbot o un messaggio sui social media, invece che per lettera. Questo non cambia l'obbligo, ma cambia la questione se una richiesta viene riconosciuta come una richiesta formale e raggiunge tempestivamente la persona giusta nell'organizzazione.
In secondo luogo, cresce l'attenzione per le richieste che riguardano l'elaborazione automatizzata, ad esempio quando i dati sono stati utilizzati per costruire un profilo o un'applicazione di intelligenza artificiale ha fornito input per una decisione. L'EDPB approfondisce regolarmente questo argomento. Le aziende che utilizzano strumenti di intelligenza artificiale per i contatti con i clienti o la valutazione del personale farebbero bene a sapere quali dati contengono, prima che arrivi una richiesta. Ciò riguarda direttamente le questioni sollevate in GDPR e strumenti di intelligenza artificiale nella pratica.
In terzo luogo, si sta svolgendo un dibattito più ampio sulla valutazione del GDPR nel suo complesso, a livello europeo. Viene esaminato se le norme per le organizzazioni più piccole possono essere semplificate, ma al momento non sono state stabilite modifiche concrete della legge. Ciò che non è ancora fissato, lo comunichiamo anche come tale: non esiste una data o un contenuto definitivo e la speculazione su questo non aiuta ulteriormente un imprenditore.
Per chi è rilevante
Questi cambiamenti riguardano soprattutto le organizzazioni che hanno molti punti di contatto con clienti o dipendenti: un ufficio con un servizio clienti, un'impresa di installazione con un modulo di preventivo sul sito web o un ufficio HR che elabora dati di candidatura. Più canali attraverso i quali qualcuno può contattarvi, maggiore è la probabilità che una richiesta arrivi da qualche parte senza che qualcuno la riconosca come una richiesta formale secondo il GDPR. Non è un rischio legale che valutiamo qui, ma un punto pratico che vale la pena discutere internamente.
È inoltre rilevante il rapporto con i vostri accordi sui responsabili del trattamento: se un cliente presenta una richiesta presso di voi, ma i dati si trovano presso un fornitore SaaS esterno, quel fornitore deve essere in grado di collaborare all'accesso o all'eliminazione. Potete verificare se tutto è ben regolato dal punto di vista contrattuale tramite il domande frequenti su accordi sui responsabili del trattamento e strumenti SaaS.
Come tenere traccia di questo senza doverlo risolvere ogni volta
Poiché il testo normativo è stabile ma la sua interpretazione cambia, la cosa più importante è sapere da dove proviene lo stato attuale e quando cambia. gdpria.eu collega ogni argomento alla fonte nel GDPR e alle linee guida dell'EDPB e dell'Autorità garante per la protezione dei dati personali, in modo che non dobbiate tenere traccia autonomamente se qualcosa è stato modificato. Nel sospetto di una violazione dei dati, ad esempio, potete prima verificare in poche domande dove vi trovate, prima di intraprendere ulteriori azioni.
Volete sapere come vengono gestite questo tipo di informazioni e da dove proviene la citazione della fonte? Effettuate la scansione rapida gratuita o leggete gli argomenti della banca dati delle conoscenze e decidete voi stessi se è necessario un passaggio successivo.