27/04/2018
.GDPR, facciamo un po’ di chiarezza.
Abbiamo da un lato chi è tenuto ad adempiere e che, per ovvie ragioni, percepisce questo nuovo adempimento come un’ennesima vessazione, e dall’altro chi, per interesse o per ignoranza, tende a diffondere informazioni non corrette e fuorvianti.
Cerchiamo di entrare nel merito, nella maniera più semplice possibile consentita dalla complessità dell’argomento.
GDPR è l’acronimo di General Data Protection Regulation, e sta ad indicare un regolamento europeo (il 2016/679) che mira a tutelare gli interessi dei cittadini della UE riguardo alle modalità con cui vengono trattati, gestiti, conservati e diffusi i propri dati personali.
Il fatto che si tratti di un regolamento fa si che esso sia immediatamente vincolante per tutti gli stati membri, e non necessita di leggi nazionali come invece accade per le direttive.
Questo regolamento mira a salvaguardare una serie di diritti riguardo ai cittadini (sapere dove vanno a finire i dati e per quale utilizzo, cura nella conservazione, diritto di revoca del trattamento, diritto all’obio) e comporta una serie di obblighi da parte di coloro che trattano questi dati, sintetizzati in tre pilastri generali: Accountability, Privacy by Design, Privacy by Default.
Accountability: si può tradurre con il termine “responsabilizzazione”; fanno capo al titolare del trattamento tutte le iniziative e le misure necessarie affinché il trattamento dei dati sia conforme al regolamento e che possa dimostrarlo.
Privacy by Design: i possibili problemi di privacy legati ad un trattamento vanno valutati già in fase di progettazione del sistema di trattamento.
Privacy by Default: le imprese dovrebbero trattare i dati personali non oltre la misura necessaria e sufficiente per le finalità previste e per il periodo strettamente necessario.
Chi deve conformarsi al regolamento?
Tutti coloro che trattano dati personali di cittadini UE.
Da notare che si parla di dati personali, e non solo di dati sensibili/sanitari/giudiziari. Quindi, tutti coloro che hanno a che fare con dei dati che possano ricondurre ad una persona fisica, e ciò comprende praticamente tutte le aziende, anche quelle che non fanno del trattamento dei dati il loro core-business. Anche chi raccoglie i dati solamente per legittimi trattamenti come la fatturazione. Anche chi non dispone di sistemi informatici ed effettua i trattamenti in maniera manuale o cartacea.
Esistono, ovviamente, degli obblighi più stringenti per coloro che trattano certe tipologie di dati o per coloro che li trattano in maniera sistematica e su larga scala (come ad esempio l’obbligo di avvalersi di una figura apposita , il DPO), ma l’adeguamento al GDPR va fatto da tutti e non solo da questi ultimi.
Cosa bisogna fare, concretamente?
Mettere in pratica i principi sopra elencati, quindi individuare i dati personali che vengono raccolti, identificare i trattamenti che vengono eseguiti su questi dati, individuare chi esegue questi trattamenti, accertarsi di avere conseguito le necessarie autorizzazione al trattamento, individuare i sistemi di elaborazione (o di archiviazione) dei dati, quali sono le misure di protezione adottate contro il furto o la perdita accidentale, individuare i potenziali fattori di rischio, indicare gli interventi migliorativi che si intendono apportare, documentare il tutto e renderlo disponibile alle autorità preposte ai controlli.
In determinati casi, al verificarsi di una perdita o di un furto di dati, è il titolare stesso del trattamento che dovrà effettuare la segnalazione al Garante della Privacy.
Quando?
Il regolamento è stato varato nel 2016 e lasciava due anni di tempo per adeguarsi ad esso.
Il termine ultimo è fissato per il 25 maggio 2018.
Quali sono le sanzioni?
Il quadro sanzionatorio è molto severo, perché è stato concepito per sensibilzzare anche i colossi del web.
Oltre al risarcimento per chi, a causa di un illecito trattamento, subisce un danno materiale o immateriale, sono previste sanzioni amministrative pecuniarie e/o penali che possono raggiungere i 10 milioni di euro o il 4% del fatturato mondiale dell’azienda.
Conclusioni:
Il GDPR ci coinvolge tutti, come cittadini in primis, e come imprenditori.
Certamente comporterà un aggravio di adempimenti e di costi, ma questi terranno comunque conto di un principio di proporzionalità sancito dal regolamento.
Cambierà, sicuramente in meglio, il nostro modo di lavorare, rendendoci più consapevoli e sensibili verso le questioni legate alla privacy, e sicuramente ne beneficeremo come cittadini.
Ignorare gli obblighi previsti dal regolamento non è una scelta intelligente, e non solo per le sanzioni previste: con un impegno mirato e commisurato alle effettive possibilità ognuno di noi potrà contribuire alla cultura della legalità e del rispetto anche in ambito privacy.
