Dopo un iter legislativo durato 4 anni lo scorso 4 maggio 2016 è stato pubblicato sulla Gazzetta Ufficiale dell’Unione Europea il nuovo Regolamento sulla protezione e la libera circolazione dei dati personali, che si applicherà a decorrere dal 25 maggio 2018.

Il Regolamento abroga la Direttiva 95/46/CE, attuata in Italia prima con la legge 675/96 e successivamente con il Codice Privacy del 2003, e si applicherà direttamente in tutti gli Stati Membri senza necessità di un intervento legislativo dei medesimi a tal fine.

Lo strumento del regolamento è stato utilizzato proprio per far fronte alle critiche che sono sempre state mosse alla Direttiva Privacy, che invece, in quanto direttiva, è stata attuata con sostanziali differenze nei vari Stati Membri.

Il nuovo Regolamento si applica a tutti i trattamenti che siano effettuati da un titolare stabilito nel territorio dell’Unione Europea, nonché da tutti i soggetti (titolari o responsabili) stabiliti fuori dall’Unione Europea nel caso in cui il trattamento riguardi l’offerta di beni o servizi nell’Unione Europea, indipendentemente dalla obbligatorietà del pagamento, o il monitoraggio di comportamenti che hanno luogo nell’Unione.

Tutti gli operatori di siti o app che offrono beni o servizi nell’UE o funzionalità in grado di monitorare i comportamenti di navigazione o utilizzo di persone che si trovano nell’Unione Europea, saranno soggetti al Regolamento.

Il Regolamento introduce anche una serie di obblighi per le imprese che trattano dati personali: vanno in questa direzione l’obbligo di protezione dei dati fin dalla progettazione (Privacy by Design) e di protezione per impostazione predefinita (Privacy by Default).

L’informativa e il consenso espresso dell’interessato restano i principi cardine per la protezione dei dati personali.

Il Regolamento contiene previsioni sul diritto degli interessati di accesso e rettifica dei dati personali che li riguardano, e introduce nuovi diritti che non erano previsti espressamente dalla Direttiva, quali il diritto alla cancellazione (detto anche diritto all’oblio, e cioè ad ottenere che i dati siano cancellati senza ritardo se non sono più necessari per le finalità per i quali sono stati raccolti o trattati oppure in caso di revoca del consenso ) e il diritto alla portabilità dei dati (il diritto a ricevere i dati forniti a un titolare in un formato di uso comune e leggibile al fine di trasmetterli ad altro titolare senza impedimenti da parte del precedente titolare).

Le imprese che trattano dati personali avranno due anni per adeguarsi ad una nuova normativa che si inserisce su quella esistente, la quale, a meno che non sia oggetto di una specifica abrogazione, continuerà ad esistere ed essere applicabile.