Ambito di applicazione del GDPR: protezione dei dati personali, non cibersicurezza

Il GDPR riguarda innanzitutto la protezione dei dati personali e dei diritti che le persone fisiche (gli interessati) esercitano su tali dati. Disciplina il modo in cui le organizzazioni raccolgono, conservano, trattano e condividono i dati personali e conferisce alle persone diritti quali l'accesso, la rettifica e la cancellazione. Una distinzione concreta: il GDPR non è una normativa generale sulla cibersicurezza; non impone firewall o software antivirus, sebbene richieda misure di sicurezza adeguate per proteggere i dati personali. Analogamente, non è una normativa sui contenuti delle piattaforme come il regolamento sui servizi digitali (DSA), che si concentra sui contenuti illegali e sulla responsabilità delle piattaforme. Pertanto, se uno scenario d'esame menziona attacchi informatici o moderazione dei contenuti, verifica se il problema centrale riguarda l'uso improprio di dati personali o qualcos'altro.

Per evitare le insidie, ricorda tre metodi di eliminazione. Primo, se la domanda riguarda la protezione dei segreti commerciali o della proprietà intellettuale di un'impresa, il GDPR non si applica: si tratta di un ambito diverso. Secondo, se lo scenario riguarda una violazione dei dati, il GDPR entra in gioco solo se sono compromessi dati personali (ad esempio nomi, indirizzi e-mail o informazioni sanitarie); una violazione di dati anonimizzati o non personali non rientra nel suo ambito di applicazione. Terzo, il GDPR si applica a qualsiasi organizzazione che tratti dati personali di residenti nell'UE, indipendentemente dal luogo in cui ha sede; pertanto, un'impresa statunitense che si rivolge a utenti dell'UE è soggetta al GDPR. Quando in una domanda compaiono «dati personali» e «diritti delle persone», è il segnale che rimanda al GDPR; se compaiono «cibersicurezza» o «contenuti delle piattaforme», cerca altrove.

Un modo rapido per verificare la tua comprensione consiste nel chiederti: «La preoccupazione principale riguarda le informazioni personali di qualcuno e il controllo che tale persona esercita su di esse?». Se sì, pensa al GDPR. Se la preoccupazione riguarda la sicurezza dei sistemi o i contenuti dannosi, pensa ad altre normative. Un ausilio mnemonico: GDPR = «Garantire Diritti di Protezione sui dati peRsonali»; concentrati sugli aspetti «personali» e sui «diritti», non sui dettagli tecnici della sicurezza.