> Disclaimer: Questo contenuto è destinato esclusivamente a fini educativi e di riferimento per i costruttori di software. Non costituisce consulenza medica, legale, finanziaria o normativa. Consultare un professionista qualificato prima di prendere decisioni basate su questo contenuto.

Regolamento Generale sulla Protezione dei Dati - Regolamento (UE) 2016/679 del Parlamento Europeo e del Consiglio, applicabile dal 25 maggio 2018. Il principale quadro giuridico dell'UE che disciplina la raccolta, il trattamento e il trasferimento di dati personali delle persone fisiche nell'UE/SEE. (EUR-Lex 2016/679)

RPD / DPO

Responsabile della Protezione dei Dati / Data Protection Officer - un esperto designato responsabile della consulenza sulla conformità GDPR, del monitoraggio della conformità, della conduzione o supervisione delle DPIA, e del punto di contatto con le autorità di vigilanza e gli interessati. Obbligatorio per determinati titolari e responsabili. (GDPR Art. 37, EUR-Lex 2016/679)

DPIA

Data Protection Impact Assessment - un'analisi sistematica da eseguire prima di operazioni di trattamento ad alto rischio per identificare e mitigare i rischi per la privacy. Obbligatoria quando si utilizzano nuove tecnologie, si trattano dati di categorie particolari su larga scala, o si effettua monitoraggio sistematico di aree pubbliche. (GDPR Art. 35, EUR-Lex 2016/679)

DSAR / SAR

Data Subject Access Request / Subject Access Request - una richiesta formale di un interessato per esercitare il diritto di accesso ai sensi dell'Art. 15 GDPR. I costruttori devono implementare flussi di lavoro per autenticare il richiedente, raccogliere i dati corrispondenti e fornire una risposta entro un mese.

RoPA

Record of Processing Activities (Registro delle Attività di Trattamento) - il registro scritto obbligatorio di tutte le attività di trattamento di dati personali tenuto dai titolari (Art. 30(1)) e dai responsabili (Art. 30(2)). Tipicamente implementato come foglio di calcolo, database o strumento di compliance dedicato.

DPA

Data Processing Agreement (Accordo di Elaborazione dei Dati) - lo strumento contrattuale richiesto dall'Art. 28 GDPR tra un titolare e qualsiasi responsabile che ingaggi. DPA è anche l'abbreviazione usata per Data Protection Authority (autorità di vigilanza) in alcune giurisdizioni.

SCC

Standard Contractual Clauses (Clausole Contrattuali Standard) - clausole modello approvate dalla Commissione per i trasferimenti internazionali di dati. Le SCC del 2021 sostituiscono i vecchi set del 2001/2004/2010 e coprono quattro moduli di trasferimento (C2C, C2P, P2P, P2C). (GDPR Art. 46(2)(c), EUR-Lex 2016/679)

BCR

Binding Corporate Rules (Norme Vincolanti d'Impresa) - politiche di protezione dei dati a livello di gruppo approvate da un'autorità di vigilanza capofila per trasferimenti intra-gruppo verso paesi terzi. Richiedono una presentazione dettagliata alle autorità di vigilanza e richiedono tipicamente 18-36 mesi per ottenere l'approvazione. (GDPR Art. 46(2)(b), EUR-Lex 2016/679)

SEE

Spazio Economico Europeo - che comprende i 27 stati membri dell'UE più Islanda, Liechtenstein e Norvegia. Il GDPR si applica in tutto il SEE. Il flusso libero di dati personali all'interno del SEE è garantito. (GDPR Art. 1(3), EUR-Lex 2016/679)

TIA

Transfer Impact Assessment (Valutazione dell'Impatto del Trasferimento) - un documento che valuta se la legge e le pratiche di un paese terzo di destinazione compromettano le garanzie di protezione dei dati del meccanismo di trasferimento scelto (SCC, BCR, ecc.). Obbligatorio dopo Schrems II (CGUE C-311/18).

CMP

Consent Management Platform (Piattaforma di Gestione del Consenso) - infrastruttura tecnica per la raccolta, archiviazione, aggiornamento e propagazione dei segnali di consenso degli utenti. Deve produrre registri di consenso immutabili con timestamp recuperabili su richiesta per audit di conformità.

IAB TCF

Interactive Advertising Bureau Transparency and Consent Framework - un protocollo standard del settore per la raccolta e propagazione dei segnali di consenso nella catena di fornitura della pubblicità digitale. TCF v2.2 è la versione attuale; la conformità è comunemente richiesta per publisher e vendor ad-tech.

PbD

Privacy by Design - la pratica ingegneristica di integrare i principi di protezione dei dati (minimizzazione, limitazione della finalità, sicurezza) direttamente nell'architettura del sistema e nei flussi di dati fin dall'inizio, piuttosto che come aggiunta successiva. Codificato come obbligo legale nell'Art. 25 GDPR.

PbDf

Privacy by Default - l'obbligo che per impostazione predefinita vengano trattati solo i dati personali necessari per ciascuna specifica finalità (le caselle pre-selezionate per il consenso marketing violano questo principio; i consenso opt-in per il marketing devono essere deselezionati per impostazione predefinita). Parte dell'obbligo Art. 25 Privacy by Design e by Default.

LIA

Legitimate Interests Assessment (Valutazione degli Interessi Legittimi) - un test di bilanciamento in tre parti che documenta: (1) l'interesse legittimo perseguito; (2) la necessità del trattamento; (3) il bilanciamento rispetto agli interessi, diritti e libertà degli interessati. Obbligatorio prima di fare affidamento sugli interessi legittimi come base giuridica.

EDPB

European Data Protection Board (Comitato europeo per la protezione dei dati) - l'organismo UE indipendente composto dai responsabili di tutte le autorità di vigilanza nazionali e dal Garante europeo della protezione dei dati. Emette decisioni vincolanti nelle controversie transfrontaliere e linee guida, raccomandazioni e documenti di buone pratiche non vincolanti. (GDPR Art. 68, EUR-Lex 2016/679)

EDPS

European Data Protection Supervisor (Garante europeo della protezione dei dati) - l'autorità di vigilanza indipendente per le istituzioni, gli organi, gli uffici e le agenzie dell'UE. Ha anche un ruolo consultivo sulle proposte legislative e partecipa all'EDPB.

DSR

Data Subject Request (Richiesta dell'Interessato) - termine generico che copre l'insieme completo delle richieste di esercizio dei diritti degli interessati: accesso (SAR), cancellazione, rettifica, limitazione, portabilità, opposizione e diritti relativi al processo decisionale automatizzato.

L'articolo sulle sanzioni amministrative. Primo livello: fino a €10 milioni o 2% del fatturato mondiale annuo (il maggiore dei due) per gli obblighi dei responsabili, i obblighi del DPO, gli organismi di certificazione. Secondo livello: fino a €20 milioni o 4% del fatturato mondiale annuo per violazioni dei principi fondamentali, diritti degli interessati, basi giuridiche, trasferimenti internazionali. (EUR-Lex 2016/679)

L'articolo sulla sicurezza del trattamento, che richiede al titolare e al responsabile di attuare misure tecniche e organizzative adeguate (TOM) tenendo conto dello stato dell'arte, dei costi, della natura, dell'ambito di applicazione, del contesto, delle finalità e dei rischi. Cita esplicitamente pseudonimizzazione, cifratura, riservatezza/integrità/disponibilità/resilienza, capacità di backup/ripristino e test regolari come misure esemplari. (EUR-Lex 2016/679)

Misure Tecniche e Organizzative (TOM)

Il termine onnicomprensivo dell'Art. 32 per le salvaguardie di sicurezza che titolari e responsabili devono implementare. TOM concrete includono: crittografia, pseudonimizzazione, controllo degli accessi basato sui ruoli, test di penetrazione, gestione delle patch, formazione del personale, valutazioni della sicurezza dei fornitori e piani di risposta agli incidenti.

Legittimo Interesse

Una delle sei basi giuridiche del GDPR (Art. 6(1)(f)). Per fare affidamento su di essa, il titolare deve documentare: (a) l'interesse perseguito è genuino e legittimo; (b) il trattamento è necessario per tale interesse; (c) tale interesse non è prevalso sugli interessi dell'interessato (test LIA). Non sostituisce il consenso quando il soggetto non si aspetterebbe ragionevolmente il trattamento.

Notifica di Violazione

Il processo in due fasi obbligatorio quando si verifica una violazione dei dati personali: (1) notifica all'autorità di vigilanza entro 72 ore dalla conoscenza, se si ritiene probabile un rischio per le persone fisiche (Art. 33); (2) comunicazione agli interessati senza ingiustificato ritardo se è probabile un rischio elevato (Art. 34). I costruttori devono progettare sistemi di rilevamento, valutazione e notifica delle violazioni. (GDPR Art. 33-34, EUR-Lex 2016/679)

OSS / One-Stop-Shop

Meccanismo di Sportello Unico - il principio per cui un titolare o responsabile con stabilimenti in più stati membri dell'UE tratta principalmente con l'autorità di vigilanza capofila dello stato membro del suo stabilimento principale. Semplifica la conformità transfrontaliera centralizzando l'applicazione. Le autorità di vigilanza degli altri stati membri interessati rimangono coinvolte come "autorità interessate". (GDPR Art. 56, EUR-Lex 2016/679)

Autorità Capofila

L'autorità di vigilanza dello stato membro in cui il titolare o responsabile ha il suo stabilimento principale (il luogo della sua amministrazione centrale o dove vengono prese le decisioni sui trattamenti). Coordina le indagini transfrontaliere attraverso il meccanismo OSS e ha il potere di adottare decisioni vincolanti su questioni transfrontaliere. (GDPR Art. 56, EUR-Lex 2016/679)

GDPR