http://www.garanteprivacy.it/web/gue...dati-personali

Pensa agli utenti come a degli amici che si confidano con te su argomenti che nessuno deve sapere. E regolati di conseguenza.

Comprende:

1) Informare gli utenti su chi, come, cosa e perché può leggere le loro informazioni sui tuoi sistemi.
1.1) Quindi meno gente accede a questi dati, meglio è. Gli sviluppatori possono usare database test anonimizzati.
1.2) Devi mettere la checkbox in fase di inserimento dati ("Ho letto e accetto le condizioni bla bla").
2) Prendere dagli utenti solo i dati necessari (se non ti serve il codice fiscale, non chiederglielo)
3) Dare la possibilità agli utenti di sapere quali sono i loro dati in tuo possesso
3.1)Dare la possibilità agli utenti di avere una copia di questi dati. In un formato leggibile (pdf) e portabile (csv, xml)
3.2) Poter cancellare i dati qualora l'utente volesse.
4) Garantire agli utenti livelli di sicurezza standard (hash delle password, librerie aggiornate, buone pratiche di progettazione)
4.1) Avere un sistema di monitoring: devi sapere se hai avuto una falla e qualcuno è entrato nei tuoi sistemi. E qualora succedesse devi comunicarlo agli utenti entro 72 ore.

Insomma devi gestirli in modo paranoico e non alla leggera. Com'è giusto che sia.

C'è da dire che tutto questo viene applicato solo alle aziende e non alle persone fisiche che hanno un progetto per uso domestico (Capo 1, Articolo 2.2)
Quindi se hai un progetto personale, la legge non si applica, a meno che con questi progetti non fornisci dati ad aziende terze. Per esempio se crei una app che interagisce con facebook e l'utente inserisce sulla tua app dei dati che poi finiscono nei sistemi di Facebook allora sei tenuto a degli obblighi previsti dalla legge (più leggeri).

Altra nota: si applica a TUTTE le aziende che gestiscono dati personali. Non solo ai siti web.
Per esempio il 26 Maggio telefonerò alla pizzeria da cui mi faccio portare le pizze a casa: So che hanno salvato nei loro computer almeno il mio cognome, numero di telefono e indirizzo perché ogni volta che chiamo non c'è bisogno che lo dica.
Posso chiedere un export dei miei dati in loro possesso. Magari hanno anche la history delle pizze che prendo.
Chi lo sa.