Il Regolamento prevede che l’Autorità di Controllo (cioè l’Autorità Garante della Privacy), possa infliggere sanzioni pecuniarie che, in base alla gravità della violazione, al grado di responsabilità del Titolare o del Responsabile, nonché in ragione di eventuali ipotesi di recidiva, possono andare fino a 20.000.000 di Euro o fino al 4% del fatturato mondiale dell’anno precedente.

Il regolamento, a differenza del vecchio codice delle privacy, non individua più le “misure minime”, ma si basa su un diverso approccio basato sulla c.d. “Deresponsabilizzazione”. Il Titolare del trattamento dovrà quindi adottare le misure che ritiene più adeguate al caso specifico allineandole alla normativa di riferimento, e si assumerà la responsabilità della propria scelta, fornendo linee guida ai dipendenti, e controllando l’operato di chi lo collabora (Responsabile del trattamento).

Il Regolamento non prevede alcuna sanzione penale, ma lascia tale compito ai singoli Stati membri. In Italia rimane, pertanto, in vigore quanto stabilito dagli artt. 167 e seguenti del Decreto Legislativo 167/2003 che prevedono la responsabilità penale in capo a chi tratta illecitamente i dati personali, a chi li divulga per trarne profitto per sé od altri, a chi rende false dichiarazioni al Garante della Privacy, od a chi omette di osservare i provvedimenti emessi da quest’ultimo.

No. Occorre passare da un approccio “per conformità” ad uno “per responsabilità dell’efficacia delle misure”.

Si passa:

• da: responsabilità del rispetto delle istruzioni ricevute = conformità
• a: responsabilità del raggiungimento degli obiettivi = accountability

Occorre pertanto rielaborare opportunamente il vecchio DPS, che è senz’altro utile, al fine di poter comprovare il corretto approccio per la protezione dei dati.

No. Non esistono più le misure minime di sicurezza, occorre che in funzione della tipologia, della quantità e della qualità dei dati trattati il titolare del trattamento, previa una corretta analisi dei rischi, metta in essere tutte le possibili misure, al fine di proteggere i dati.