É passato un po' sotto silenzio che lo scorso 4 maggio 2016 è stato pubblicato in Gazzetta Ufficiale Europea il Regolamento UE n. 2016/679. Tale Regolamento si inserisce all'interno di quello che, insieme alla Direttiva 2016/680, è stato definito il Pacchetto europeo protezione dati. Data la complessità dei cambiamenti, agli Stati membri ad ogni modo sono stati dati due anni per adeguare le proprie normative interne e soprattutto per informare le imprese sulle novità introdotte, cioè sino al 25 maggio 2018, data nella quale sarà vincolante.
In particolare, alle già note figure previste nel d.lgs. 196/2003 del titolare e dell'incaricato del trattamento dei dati, si affianca quella del Data Protection Officer, il responsabile della protezione dei dati. Il Dpo dovrà essere obbligatoriamente presente all'interno di tutte le aziende nelle quali sia richiesto un monitoraggio regolare e sistematico degli interessati, su larga scala, e quelle che trattano i dati sensibili. Le società facenti parte di uno stesso gruppo, a livello nazionale o transfrontaliero, potranno nominare un unico Dpo, a condizione che lo stesso sia facilmente raggiungibile da ciascuna società del gruppo stesso.
Il Dpo riferirà direttamente al Ceo con grande autonomia. Da evidenziare che il Dpo dovrà fornire pareri in merito alla valutazione d'impatto sulla protezione dei dati e sorvegliare i relativi adempimenti nonché fungere da punto di contatto per gli interessati, in merito a qualunque problematica connessa al trattamento dei loro dati nonché all'esercizio dei loro diritti. Il Dpo avrà la responsabilità primaria di un registro delle attività di trattamento, in particolare nei casi di trattamenti automatizzati e di profilazione. Da tali incombenti sono esonerate le Pmi salvo che il trattamento che esse effettuano possa presentare un rischio per i diritti e le libertà dell'interessato, il trattamento non sia occasionale o includa il trattamento di categorie particolari di dati.
Dal lato del consumatore è espressamente riconosciuto il diritto all'oblio, ovvero la possibilità per l'interessato di decidere che siano cancellati e non sottoposti ulteriormente a trattamento i propri dati personali non più necessari per le finalità per le quali sono stati raccolti ed il principio di accountability, per cui il titolare dovrà dimostrare l'adozione di politiche privacy e misure adeguate in conformità al Regolamento.
Tale nuovo impianto normativo, le cui delibere attuative sono attese prossimamente, non potrà non avere un rilevante impatto, in termini di oneri come di opportunità, anche sull'industria turistica, la quale sempre più è dedita a profilare i gusti dei propri clienti per fidelizzarli, ricorrendo massicciamente ai social media.
