Dallo scorso 25 maggio 2018, con l’entrata in vigore nella UE del Regolamento Generale sulla Protezione dei Dati (GDPR), migliaia di professionisti e imprese stanno vivendo una fase di profondo cambiamento, non senza incertezze e momenti di confusione.

Chiamati ad uno sforzo congiunto per uniformare le misure di protezione dei dati personali e garantirne una maggiore sicurezza informatica, devono fare i conti nel concreto con situazioni di business. Che a volte sembrano lontane anni luce dai contesti per i quali il GDPR (General Data Protection Regulation) è pensato.

Sanzioni Amministrative

Non solo: con l’entrata in vigore il 19 settembre del decreto italiano (Dlgsl 101/2018) di armonizzazione con le regole europee, per certi versi il contesto si è perfino complicato. Restano infatti molti dubbi in tema di sanzioni amministrative. Viene sì concessa una fase di avvio soft pari a otto mesi, ma non viene fornita alcuna indicazione sui parametri di valutazione delle violazioni su cui “soprassedere”.

Dunque, una benevolenza troppo nebulosa per rischiare. Ed otto mesi passano davvero in fretta. Anche perché, seppure in parte, una forma di adeguamento si rende necessaria quasi in ogni contesto.

Non a caso, tracciando il bilancio dei primi 4 mesi di applicazione, il Garante Privacy ha evidenziato una vera e propria escalation di segnalazioni e reclami (+ 50% rispetto all’anno precedente) e di comunicazioni di data breach (+500%), con la maggior parte delle violazioni ha riguardato il trattamento dati senza consenso.

Non si può dunque temporeggiare troppo, si rischiano sanzioni salate. Il problema è che spesso la normativa non sembra sufficientemente chiara per mettersi in regola.

Questo perché, più che regole, il GDPR offre una serie di linee guida che le aziende sono chiamate a tradurre in attività più o meno standard, rendendo omogenee le modalità di trattamento dei dati personali nella UE.

Questo processo comporta a volte una lunga serie di adempimenti e coinvolge diverse figure professionali, che a vario titolo e con diverse modalità devono garantire la privacy di clienti, fornitori e collaboratori.

Ad esempio, a comunicare all’autorità competente i riferimenti del DPO sono state finora circa 40mila singole organizzazioni. Un numero consistente, che riflette la crescente consapevolezza tra aziende pubbliche e private. Ancora esiguo però rispetto alla platea dei potenziali interessati.

Adempimenti per aziende e professionisti

Per imprese e professionisti chiamati ad applicare in tutte le fasi del trattamento il principio di accountability (responsabilizzazione). Adeguarsi al GDPR significa ottemperare a numerosi obblighi attraverso l’attuazione di precise attività.

Attenzione però: le disposizioni generali devono essere lette come tali e poi applicate facendo riferimento alle singole realtà professionali. Siti web e portali e-commerce, artigiani, studi professionali, negozi.  Ciascun soggetto è chiamato a verificare la propria conformità sulla base del tipo di attività svolta e del reale trattamento dei dati.

Alcuni adempimenti sono infatti non necessari, mentre altri sono solo “consigliati” per imprese con un numero di dipendenti inferiore a 250.

In generale, ogni realtà che tratta dati sensibili e su larga scala deve:

• nominare un Responsabile della Protezione dei Dati (RPD). Figura indicata come Data Protection Officer (DPO), formato ad hoc con l’incarico di agevolare l’attuazione del regolamento da parte del titolare del trattamento dei dati personali. Deve ottenere il consenso libero e informato degli utenti interessati;
• tutelare la riservatezza dei dati mediante impiego di crittografia. Impedendone la fruizione da parte di soggetti non autorizzati;
• rispettare le procedure standard di protezione (cifratura dei dati e pseudonimizzazione) e verificare le misure tecniche adottate. Per garantire la piena integrità dei sistemi e dei servizi di trattamento;
• ripristinare tempestivamente la disponibilità e l’accesso ai dati personali in caso di incidente fisico o tecnico. Dando avviso immediato al Garante Privacy in caso di fuga di dati o attacco esterno;
• redigere un registro delle attività con i dettagli sulle policy aziendali e sulle procedure adottate. (obbligatorio per le aziende con più di 250 dipendenti e per tutte le imprese che effettuano trattamenti ritenuti rischiosi o relativi a precise categorie di dati sensibili). A tal proposito, il Garante ha messo a disposizione delle PMI due schemi di registro pronti alla compilazione.

Infrastruttura IT: come adeguarsi al GDPR

Alla luce dei nuovi obblighi, ma anche delle possibili sanzioni in caso di mancata conformità. (fino al 4% del fatturato), diventa indispensabile implementare sistemi affidabili. Affidandosi a partner certificati che garantiscano la maggiore compliance possibile al nuovo regolamento.

Un’esigenza che diventa ancor più rilevante tenendo conto delle incertezze del periodo transitorio. In cui la preannunciata sospensione delle sanzioni si è tradotta in una mera “flessibilità” a discrezione del Garante.

Scegliere un fornitore di servizi cloud qualificato è dunque una precisa scelta strategica. Si pone l’obiettivo di soddisfare i requisiti della normativa grazie a soluzioni di archiviazione e backup dei dati che rispettino i più elevati standard a livello europeo.