La normativa ha introdotto alcuni cambiamenti specifici per le aziende, il più significativo dei quali è rappresentato dalle implicazioni monetarie in caso di mancata conformità.
Introduzione di sanzioni significative
Primo livello di severità: fino a 10 milioni di euro o fino al 2% del fatturato mondiale annuo della capogruppo, a seconda di qual è l'importo più alto tra i due.
Secondo livello di severità: fino a 20 milioni di euro o fino al 4% del fatturato mondiale annuo della capogruppo, a seconda di qual è l'importo più alto tra i due.
Diritto alla cancellazione
Se una persona non desidera più che i suoi dati siano trattati e non esistono motivi legittimi per conservarli, i dati devono essere cancellati. L'onere di dimostrare la necessità di conservare i dati spetta ai responsabili del trattamento, non all'interessato.
Notifica obbligatoria di una violazione dei dati (data breach)
Le organizzazioni sono tenute a segnalare una violazione dei dati al Commissario per la Protezione dei Dati, entro 72 ore dal momento in cui ne vengono a conoscenza.
Portabilità dei dati
I regolamenti propongono il diritto degli interessati a trasferire i propri dati personali in un formato elettronico di uso comune da un titolare del trattamento a un altro senza ostacoli da parte del titolare originario.
Privacy by design
Questa è una delle idee fondamentali del regolamento, che mira a cambiare l'atteggiamento e la pianificazione generali delle organizzazioni nei confronti della protezione dei dati. L'articolo 23 stabilisce che la protezione dei dati deve essere inclusa nella progettazione dello sviluppo dei processi aziendali, in modo che la privacy sia presa in considerazione fin dall'inizio del progetto.
Nomina di un Responsabile della Protezione dei Dati (DPO)
Alcune attività, come il monitoraggio su larga scala delle persone o il trattamento di dati di categoria speciale, richiedono che un'organizzazione nomini un DPO. Anche se non è necessario, è buona norma nominare un DPO che abbia conoscenze in materia di sicurezza delle informazioni e comprenda la legge sulla protezione dei dati.
