IL NUOVO REGOLAMENTO EUROPEO SULLA PRIVACY SARÀ APPLICATO DA MAGGIO 2018, MA PER EVITARE PESANTI SANZIONI BISOGNA COMINCIARE A MUOVERSI ADESSO.
Dal 24 maggio 2016 è in vigore il General Data Protection Regulation (GDPR), ovvero il nuovo Regolamento Europeo sulla protezione dei dati personali.
Tale nuova norma nasce dall’esigenza di colmare le lacune della Direttiva del 1995, adeguando la data protection all’evoluzione tecnologica e all’aumento dei volumi di dati scambiati tra soggetti pubblici e privati, all’interno e all’esterno dei confini UE. Ne risultano nuovi obblighi per tutti i soggetti, pubblici e privati, che trattano e gestiscono dati personali di cittadini europei. Nuovi obblighi che aziende e Pubbliche Amministrazioni dovranno tradurre in cambiamenti da apportare al proprio interno, a livello tecnologico e di policy.
COSA PREVEDE IL NUOVO REGOLAMENTO IN TEMA DI PRIVACY
Ai cittadini dovranno essere garantiti il diritto alla portabilità dei dati, il diritto all’oblio (fin’ora riconosciuto solo a livello giurisprudenziale), il diritto di essere informati e costantemente aggiornati sul trattamento dei propri dati e su eventuali violazioni (data breach notification), in quest’ultimo caso entro 72 ore.
Imprese e Pubbliche Amministrazioni dovranno assumere un approccio proattivo verso la protezione dei dati personali, che diventa un asset strategico da valutare a monte di nuove procedure, prodotti o servizi, (in riferimento ai principi della “data protection by design” e della “data protection by default”).
Con il GDPR entra nel nostro ordinamento il “principio di accountability” (obbligo di rendicontazione), per cui i titolari del trattamento dovranno dimostrare di avere adottato misure di sicurezza adeguate e sempre aggiornate a protezione dei dati e la conformità delle proprie attività ai principi e alle disposizioni del Regolamento europeo.
Altri obblighi riguardano la tenuta di un registro delle attività di trattamento e l’individuazione di un Data Protection Officer (DPO), responsabile della protezione dei dati personali. Questo potrà essere interno o esterno all’organizzazione e dovrà possedere requisiti specifici, in linea con i compiti e le responsabilità attribuitegli.
Per maggiori dettagli il testo completo è visionabile sul sito web EUR-Lex.
RISCHIO SANZIONI PER MOLTE IMPRESE ANCORA IMPREPARATE
Chi non si sarà adeguato alle nuove disposizioni del GDPR entro il 25 maggio 2018 rischia di incorrere in pesanti sanzioni, con multe fino al 4% del fatturato globale di gruppo e, ad oggi, molte imprese risultano ancora impreparate.
Secondo un recente studio dell’Osservatorio Information Security & Privacy del Politecnico di Milano, “solo 1 azienda italiana su 5 conosce in dettaglio le implicazioni del GDPR”. Per rispettare le nuove norme sarà necessario progettare e riprogettare processi e attività all’interno della propria organizzazione, modifiche organizzative che non possono essere improvvisate. Tuttavia, nello studio condotto dall’Osservatorio, solo il 9% dei soggetti intervistati dichiara di aver avviato un progetto strutturato di adeguamento.
L’adeguamento al GDPR richiede la partecipazione di tutta l’azienda. Il nuovo Data Protection Officer dovrà collaborare con tutti i dirigenti e i dipendenti, poiché oggi i dati sono fondamentali per il business e la strategia aziendale sui dati sarà strettamente correlata alla conformità sulla privacy dei dati stessi.
COME RISPONDERE AGLI OBBLIGHI DEL GDPR
Il GDPR sarà utile alle aziende perché darà loro una scossa che permetterà finalmente di riconsiderare il rispetto della privacy in senso strategico, come aspetto chiave di una strategia di digitalizzazione. Rafforzare la fiducia degli utenti sulla protezione dei loro dati, permetterà di rafforzare la fiducia degli stessi nei confronti delle aziende che la garantiscono. La Digital Transformation è soprattutto una questione di trust.
Dunque, per rispondere correttamente ai nuovi obblighi di legge, bisognerà anzitutto evitare di trattare il GDPR con leggerezza. È necessario accertarsi che i dipendenti e tutte le figure presenti in azienda capiscano e mettano in pratica i processi messi in atto per proteggere i dati trattati.
Alla formazione bisognerà poi affiancare la tecnologia, utilizzando la crittografia e soluzioni che garantiscano il massimo rispetto della privacy e proteggano i dati da ladri e occhi indiscreti.
22 febbraio 2017
