Richieste GDPR del Soggetto dei Dati: Diritti e Requisiti

Il Regolamento Generale sulla Protezione dei Dati (GDPR) è una legge dell'Unione Europea che regola come le aziende possono raccogliere e utilizzare i dati personali dei residenti dell'UE. Stabilisce standard che aiutano a garantire che questi dati non siano memorizzati, gestiti o condivisi in modo tale da esporre gli individui a rischi. La legge specifica anche come le organizzazioni devono rispondere in caso di una data breach.

Una caratteristica fondamentale del GDPR è che codifica un insieme di diritti specifici del soggetto dei dati che danno potere agli individui di effettuare richieste specifiche di accesso ai dati alle organizzazioni. Questo articolo dettaglia quali sono queste richieste e come la tua organizzazione è tenuta a gestirle. Offre anche soluzioni che possono aiutarti a fornire risposte pronte e accurate alle richieste di dati del GDPR per evitare sanzioni di dieci milioni di euro o più.

Quali tipi di dati sono coperti dal GDPR?

Ai sensi del GDPR, i residenti dell'UE hanno diritti specifici riguardo ai personal data che le organizzazioni detengono su di loro. Esempi chiave di dati personali includono:

• Informazioni di base per l'identificazione, come nomi e indirizzi
• Informazioni finanziarie, come i dettagli del conto bancario
• Caratteristiche personali, inclusi nazionalità, data di nascita e genere
• Informazioni sulla salute, inclusi dettagli sulle condizioni di salute e disabilità
• Dati genetici, inclusi i risultati dei test del DNA e altre informazioni sul patrimonio genetico
• Informazioni sull'impiego, come il numero dei dipendenti e gli stipendi
• Identificatori online come i nomi utente
• Dati comportamentali, inclusi dettagli sugli interessi o sull'attività online
• Dati biometrici, come i dati di riconoscimento facciale
• Informazioni sulla posizione

Quali sono le fasi di una richiesta di accesso ai dati?

Quando un individuo effettua una richiesta di accesso ai dati, il primo passo, naturalmente, è per l'organizzazione verificare se l'organizzazione sta memorizzando o elaborando dati personali appartenenti a quella persona. Se non è così, devono comunicare tale risultato negativo all'individuo, e il loro compito è concluso.

D'altra parte, se l'organizzazione sta memorizzando o elaborando dati per la persona, deve procedere a una seconda fase ed elaborare la specifica richiesta dell'individuo. La sezione successiva spiega i tipi di richieste e come gestirle.

Quali richieste possono fare gli individui alle organizzazioni in base al GDPR?

Ecco 6 tipi di richieste che gli individui che esercitano i loro diritti sotto il GDPR possono fare e cosa significano per la tua organizzazione.

1. Quali informazioni avete su di me e perché?

Questa inchiesta si basa su due diritti:

• Il diritto di essere informati (Articoli 13 e 14). I residenti dell'UE hanno il diritto di ricevere dettagli chiari e precisi riguardo quali informazioni personali un'organizzazione ha raccolto su di loro, anche se ciò significa sapere che l'azienda non ha raccolto alcun dato su di loro.
• Il diritto di accesso (Articolo 15).Hanno anche il diritto di sapere se e come i loro dati personali vengono trattati, incluse le categorie di dati raccolti, lo scopo del trattamento, i metodi e le politiche di conservazione, a chi vengono divulgati i dati, per quanto tempo saranno conservati e da dove sono state ottenute le informazioni.

2. Avete informazioni errate su di me; voglio che vengano corrette.

Questo tipo di richiesta si basa sul diritto di rettifica (Articolo 16), che richiede alle organizzazioni di garantire che tutti i dati personali che conservano siano accurati e aggiornati. I soggetti dei dati hanno il diritto di richiedere che i dati personali inaccurati siano corretti o che i dati incompleti siano completati.

Per garantire la conformità, è necessaria un'integrazione stretta tra tutti i sistemi e processi di dati in modo che i dati aggiornati in un sistema vengano automaticamente corretti in tutte le altre ubicazioni.

Richiedi una demo individuale: Raggiungere e dimostrare la conformità al GDPR

3. Non voglio più che tu detenga dati su di me. Per favore, cancellali!

Questo tipo di richiesta copre due diritti:

• Il diritto alla cancellazione (diritto all'oblio) (Articolo 17).Una persona può richiedere che un'organizzazione rimuova le sue informazioni personali dai propri archivi e risorse e interrompa immediatamente ogni ulteriore diffusione dei dati. L'azienda deve eliminare tutti i dati che soddisfano uno dei seguenti criteri:
• È stato raccolto illegalmente
• Non è più necessario
• È stato raccolto durante l'infanzia della persona
• Appare online

L'organizzazione può negare la richiesta di cancellazione se viola una delle seguenti condizioni:

• Il diritto alla libertà e all'espressione
• Motivi di interesse pubblico nel settore della sanità pubblica o della ricerca scientifica o storica
• La costituzione, l'esercizio o la difesa di rivendicazioni legali o un addebito legale

Si noti che anche se la vostra azienda è autorizzata a conservare i dati di una persona, è necessario ottenere il suo consenso per un ulteriore trattamento.

Leggi il post del blog correlato: Il diritto all'oblio: le leggi dell'UE e le preoccupazioni degli USA

• Il diritto alla limitazione del trattamento (Articolo 18). Se non è chiaro se i dati di un individuo debbano essere cancellati, la persona può comunque richiedere una restrizione temporanea del suo trattamento fino a quando l'azienda risolve il problema, informa l'individuo e ottiene il consenso. Conformarsi a questo diritto del GDPR richiede un esame caso per caso.

4. Desidero trasferire le informazioni che detenete su di me a un altro fornitore di servizi.

Il diritto alla portabilità dei dati (Articolo 20) consente ai residenti dell'UE di richiedere a un'azienda di trasferire i propri dati personali a un altro fornitore di servizi. Questo diritto promuove l'interoperabilità facilitando il trasferimento dei dati degli utenti tra i controllori dei dati. Inoltre, stimola la concorrenza tra i servizi digitali perché gli utenti possono passare da un fornitore all'altro senza perdere i propri dati personali.

Per conformarsi a questa disposizione è necessario fornire i dati in un formato strutturato e leggibile da macchina che si possa trasmettere direttamente all'altra parte.

5. Smettila di chiamarmi!

Gli individui hanno il diritto di opporsi alle attività di elaborazione dei dati (Articolo 21), come l'utilizzo dei loro dati personali per il marketing o altri scopi. Motivi validi per negare questo tipo di richiesta includono la dimostrazione di uno dei seguenti:

• C'è un legittimo bisogno per l'elaborazione.
• La richiesta è eccessiva o infondata.
• I dati richiesti sono utilizzati per scopi pubblici, storici o statistici.
• I dati richiesti sono stati utilizzati o forniti per l'esercizio di rivendicazioni legali.

6. Smettete di permettere al vostro sistema automatizzato di prendere decisioni che influenzano i miei interessi legali.

Il GDPR conferisce anche diritti in relazione al processo decisionale automatizzato e alla profilazione (Articolo 22). Se hai in atto processi decisionali automatizzati e di profilazione per i dati personali, devi fornire “informazioni significative sulla logica coinvolta, così come l'importanza e le conseguenze previste di tale elaborazione per l'interessato.”

I tre motivi validi per eseguire l'elaborazione automatica e il profiling sono:

• La persona ha dato il suo consenso.
• Il trattamento è necessario per la stipula o l'esecuzione di un contratto.
• Il trattamento è autorizzato da una legge dell'unione o dello stato membro applicabile al responsabile del trattamento.

Per evitare violazioni che potrebbero comportare multe costose, assicurati che i dipendenti non elaborino informazioni tramite funzionalità automatizzate senza verificare che ci sia una valida ragione per farlo.

Leggi il post del blog correlato: Cos'è il GDPR: 10 Domande Frequenti

Come può Netwrix aiutarti a rispondere alle richieste del GDPR?

Il software di conformità GDPR di Netwrix può fornirti la sicurezza che sei in grado di gestire tutti questi tipi di richieste di dati in modo fluido scoprendo tutte le informazioni che conservi su un individuo con solo pochi clic.

Più in generale, le soluzioni Netwrix possono aiutare la tua organizzazione a proteggere tutti i suoi dati sensibili e regolamentati. Puoi stabilire una solida data governance, rimuovere l'accesso inappropriato, far rispettare le politiche di sicurezza e rilevare minacce avanzate in modo tempestivo per evitare gli alti costi derivanti da violazioni della sicurezza e mancato rispetto delle normative.

Il nostro team di esperti possiede una solida comprensione non solo del GDPR ma anche del California Consumer Privacy Act (CCPA) e di molte altre normative sulla sicurezza dei dati. Forniscono alle organizzazioni consulenze personalizzate e mirate per soddisfare le loro esigenze di conformità. Per saperne di più, iscriviti a una demo o scarica una mappatura dei requisiti del GDPR e delle funzionalità di Netwrix.

Domande Frequenti

Cos'è una richiesta GDPR?

Richiesta di accesso del soggetto ai dati I requisiti del GDPR consentono agli individui di chiedere a un'organizzazione di fornire una copia dei dati personali che conserva su di loro, cancellare i loro dati, trasferire i dati a un altro fornitore, e così via. Le organizzazioni che non rispettano queste richieste entro il periodo di tempo specificato si trovano ad affrontare pesanti multe.

Cos'è il diritto di accesso ai dati secondo il GDPR?

Un right of access è anche noto come “subject access”. Questo è il diritto che hanno gli individui di accedere a copie delle loro informazioni personali e dati, così come a dati supplementari, sotto la regolamentazione di protezione GDPR. Il diritto è progettato per dare potere agli individui di sapere come e perché le organizzazioni stanno utilizzando i loro dati.

Cosa include il diritto di accesso secondo il GDPR?

Le informazioni a cui i soggetti dei dati hanno il diritto di accedere secondo il GDPR includono:

• Le categorie di dati personali in fase di elaborazione
• Per quanto tempo l'organizzazione prevede di conservare le loro informazioni personali
• I destinatari o le categorie di destinatari dei dati personali
• Informazioni sulla provenienza dei dati
• L'esistenza di qualsiasi processo di decisione automatizzato

Se i dati personali dovessero essere trasferiti in un paese terzo senza adeguate protezioni, i soggetti dei dati devono essere informati delle misure di sicurezza utilizzate per proteggere i loro dati.

Quali sono i diritti dei soggetti dei dati secondo il GDPR?

Ai sensi del GDPR, i data subjects hanno determinati diritti che possono esercitare in relazione ai loro dati personali. Tali diritti includono:

• Il diritto di ricevere tutte le informazioni raccolte su di loro
• Il diritto di rettifica dei dati errati o incompleti
• Il diritto di limitare l'elaborazione dei propri dati
• Il diritto alla portabilità dei dati affinché possano cambiare fornitore facilmente
• Il diritto di non essere soggetto a decisioni prese solamente attraverso l'elaborazione automatizzata
• Il diritto di opporsi al modo in cui i loro dati sono conservati o trattati
• Il diritto alla cancellazione dei dati

Le aziende devono conformarsi al GDPR?

Ogni organizzazione che memorizza o elabora i dati dei residenti dell'UE deve conformarsi al GDPR. Il mancato rispetto può comportare multe fino al 2% dell'intero fatturato globale dell'azienda per l'anno fiscale precedente o 10 milioni di euro, a seconda di quale sia maggiore.