Art. 25 — Protezione dei dati fin dalla progettazione e protezione dei dati per impostazione predefinita
Tenendo conto dello stato dell'arte e dei costi di attuazione, nonché della natura, dell'ambito di applicazione, del contesto e delle finalità del trattamento, come anche dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche costituiti dal trattamento, sia al momento di determinare i mezzi del trattamento sia all'atto del trattamento stesso il titolare del trattamento mette in atto misure tecniche e organizzative adeguate, quali la pseudonimizzazione, volte ad attuare in modo efficace i principi di protezione dei dati, quali la minimizzazione, e a integrare nel trattamento le necessarie garanzie al fine di soddisfare i requisiti del presente regolamento e tutelare i diritti degli interessati.
Il titolare del trattamento mette in atto misure tecniche e organizzative adeguate per garantire che siano trattati, per impostazione predefinita, solo i dati personali necessari per ogni specifica finalità del trattamento. Tale obbligo vale per la quantità dei dati personali raccolti, la portata del trattamento, il periodo di conservazione e l'accessibilità. In particolare, dette misure garantiscono che, per impostazione predefinita, non siano resi accessibili dati personali a un numero indefinito di persone fisiche senza l'intervento della persona fisica.
Un meccanismo di certificazione approvato ai sensi dell'articolo 42 può essere utilizzato come elemento per dimostrare la conformità ai requisiti di cui ai paragrafi 1 e 2 del presente articolo.
Spiegazione
Chi progetta o gestisce un trattamento deve considerare la protezione dei dati fin dall’inizio e mantenerla durante l’uso del sistema. Le misure adottate devono essere proporzionate ai rischi, alle finalità e alle caratteristiche del trattamento: per esempio, si possono raccogliere meno dati o sostituire alcuni identificativi con codici. Le impostazioni iniziali devono limitare la raccolta, l’uso, la conservazione e l’accesso ai soli dati necessari. Un numero indefinito di persone non deve poter vedere i dati senza che l’interessato abbia compiuto un’azione per renderli accessibili.
Perché esiste questa norma
La norma tutela la riservatezza e gli altri diritti delle persone riducendo i rischi prima che si verifichino, invece di affidarsi soltanto a interventi successivi. Impone di integrare la protezione nelle scelte progettuali e nelle impostazioni iniziali, così da evitare raccolte e accessi eccessivi.
Domande frequenti
Un’app può chiedermi dati che non servono alla funzione che voglio usare?
Il titolare deve limitare i dati raccolti a quelli necessari per la specifica finalità. Se un dato non è pertinente alla funzione richiesta, la sua raccolta può indicare che le misure adottate non rispettano questo principio.
Se creo un profilo online, deve essere pubblico appena mi iscrivo?
No. Le impostazioni iniziali devono limitare l’accessibilità dei dati. In particolare, non devono renderli visibili a un numero indefinito di persone senza un’azione dell’interessato che li renda accessibili.
Per quanto tempo un’azienda può conservare i miei dati?
La conservazione deve essere limitata a quanto necessario per la finalità del trattamento. Il titolare deve prevedere misure adeguate anche rispetto al periodo di conservazione, ma l’articolo non stabilisce una durata uguale per ogni situazione.
Che cosa significa pseudonimizzare i miei dati?
Significa sostituire identificativi diretti, come il nome, con codici o altri elementi, così da rendere meno immediata l’associazione dei dati alla persona. È un esempio di misura che può contribuire alla protezione, ma non è sempre sufficiente da sola.
Un’azienda certificata è automaticamente conforme a queste regole?
No. Un meccanismo di certificazione approvato può essere usato come elemento per dimostrare la conformità, ma non sostituisce l’obbligo del titolare di adottare misure adeguate al trattamento concreto.