GDPR – Rimandati i controlli e le sanzioni ?

La “bufala” del rinvio di sei mesi circa controlli e sanzioni sulle aziende

Di recente, in Rete è circolata una fake news, secondo cui l’Autorità per la protezione dei dati personali avrebbe concesso un periodo di grazia, rimandando di sei mesi i controlli e le sanzioni alle aziende, previste dal GDPR.

Il Garante della Privacy ha smentito ufficialmente
La smentita da parte di Antonella Soro, Garante della Privacy, circa la non veridicità del differimento dell’esecuzione delle funzioni sanzionatorie e legislative, non è tardata ad arrivare ed è stata pubblicata sotto forma di comunicato stampa in data 19 aprile direttamente sul sito web dell’Autorità: www.garanteprivacy.it.

Non vi è pertanto alcun Provvedimento da parte del Garante che potrebbe inficiare sulla data di attuazione del Regolamento Europeo, indicata nel 25 maggio 2018. E’ questo quanto si evince dal comunicato. Le sanzioni verranno applicate in maniera immediata e potranno arrivare fino al 4% del fatturato internazionale lordo o fino a 20 milioni.

Aspettando il 25 maggio
Il 25 maggio non è molto lontano e occorre constatare che sia la Pubblica Amministrazione che il mondo delle imprese in Italia sono alquanto impreparati in materia. E in più c’è da aggiungere che lo spauracchio dei costi elevati da sostenere nell’eventualità, è rilevante. Ad onor del vero, il regolamento della privacy è un’importante possibilità circa la messa in sicurezza dei dati personali, anche in riferimento ai propri clienti.

Ecco perché le imprese del Belpaese devono sfruttare quest’occasione
Se le aziende italiane si adegueranno vi saranno maggiori controlli dei processi interni: le imprese avranno il compito giorno dopo giorno di identificare i dati, di memorizzarli, di catalogarli e, infine, nell’eventualità di rimuoverli. Tutti quei dati non custoditi e finiti nel dimenticatoio, andranno di fatto, archiviati sulla base di parametri di sicurezza aggiornati.

Quella in questione è un’occasione d’oro da sfruttare nell’ottica della riorganizzazione dei dati aziendali e della memorizzazione sicura delle informazioni personali, anche al fine di realizzare economie di scala.
Basti pensare alla digitalizzazione di dati ancora catalogati su supporti cartacei (i classici faldoni pieni di polvere negli uffici della pubblica amministrazione ne sono un esempio) o ancora su supporti magnetici che risultano sì leggibili, ma c’è il rischio che finiscano nel dimenticatoio, perché oramai piuttosto datati. Le soluzioni di natura cloud si rivelano fondamentali per gestire al meglio i dati in eccesso, assicurando alle imprese un miglior livello di sicurezza infrastrutturale, assicurata da apposite certificazioni

La minaccia degli attacchi informatici sull’utilizzo improprio dei dati personali
Oggigiorno, l’internauta “comune” utilizza tantissime credenziali personali, da quelle per il proprio conto corrente bancario a quelle delle carte prepagate, da quelle per accedere alle varie caselle di posta elettronica a quelle per loggarsi ai principali social network e non solo.
A fronte di una “violazione” dovuta ad un attacco di natura informatica, c’è il rischio di ritrovarsi i propri dati sensibili online.
Obiettivo del Garante della Privacy è quello di tutelare le persone dall’uso improprio delle informazioni personali, in vista di eventuali attacchi informatici, volti ad approfittare delle falle di sicurezza e delle vulnerabilità dei servizi online per recuperare le liste di dati di accesso, di dati bancari, di dati inerenti al segreto professionale e via dicendo.
Le cose possono essere ancora più complesse se ad essere “rubate” sono le informazioni sensibili possedute dagli enti sanitari. Basti pensare a quanto è accaduto nel maggio 2017 con il virus Wannacry, dove gli hacker hanno chiesto soldi agli ospedali britanni per dar loro indietro i dati sensibili dei pazienti, la cui privacy era a forte rischio.

Di recente, abbiamo assistito al Facebook Gate, dove le informazioni personali sono state utilizzate in modo improprio per orientare la campagna politica degli Stati Uniti d’America. E tutto ciò all’insaputa degli utenti. Da situazioni come queste, è palese che ad essere danneggiati siano non solo gli iscritti, ma anche le aziende e perfino la democrazia negli stati.

Qual è la situazione attuale nell’ottica dell’implementazione delle misure conformi al GDPR?
Come già detto, si è un po’ indietro. Diverse ricerche evidenziano che il 54% delle imprese non si è ancora adeguata. Occorre però fare un distinguo, visto che gli istituti bancari e di credito, oltre alle compagini assicurative, sono un passo più avanti per ciò che concerne l’applicazione del regolamento, essendo soggetti a determinati standard. Gli studi legali e le società di consulenza stanno garantendo alle imprese la necessaria formazione circa gli step da seguire nell’implementazione delle misure conformi al GDPR.

Come adeguarsi al GDPR?
I controlli riguardano i dati ospitati, il sistema di raccolta, di selezione e di trasferimento dei dati, i parametri di sicurezza e la modalità di accesso e di autenticazione. Fatte queste verifiche, bisognerà definire lo standard in conformità alla normativa vigente e implementare le nuove regole di elaborazione dei dati, tenendone sempre una traccia e dimostrandone la corretta applicazione.

La sfida più difficile
Dato che all’interno dei sistemi IT, il monitoraggio dei dati sensibili sarà costante, occorrerà definire nelle imprese regole di tipo gestionale. L’intero staff, e non solo il dipartimento tecnico informatico, dovrà necessariamente adeguarsi a quanto prevede il GDPR in riferimento alla memorizzazione e all’archiviazione dei dati sensibili.

Quali saranno le conseguenze?
Sicuramente l’aumento del costo dei servizi per le aziende. Ma a fronte di tutto questo, almeno in linea teorica, il miglioramento della gestione dei dati personali dovrebbe essere radicale.

Conclusioni
Nel corso di una recente intervista, il Garante della Privacy era stato chiaro, evidenziando che, se si intendono in maniera corretta gli obblighi previsti dal Regolamento, non costituiscono in alcun modo degli oneri burocratici, ma solo ed esclusivamente dei parametri cruciali per salvaguardare il ruolo istituzionale delle aziende e la salvaguardia dei propri affari.
Sta di fatto che gli uffici della Pubblica amministrazione e il mondo aziendale ricopriranno un ruolo maggiormente responsabile in riferimento all’analisi dei rischi sul trattamento dei dati personali. Tuttavia, negli adempimenti, vi saranno diverse semplificazioni.

Per ciò che concerne l’analisi dei rischi, il Garante della Privacy avrà un ruolo di grandissima importante, dovendo aiutare sia le imprese che gli enti pubblici ad identificare la soluzione più consona circa l’efficiente gestione dei dati personali. Per quanto riguarda le sanzioni, le grandi multinazionali saranno incentivate a tutelare al meglio i dati personali, onde evitare multe cospicue.