di Giovanni Scavone *
Dal 25 Maggio 2018 è entrato in vigore il Regolamento Ue 2016/679, altrimenti detto General Data Protection Regulation (GDPR), ossia la nuova legge europea sulla privacy per una maggior tutela dei dati personali e soprattutto dei dati “sensibili” che i clienti affidano ad aziende piccole e medie, attività commerciali ed enti pubblici di tutti i Paesi facenti parte della Comunità Europea. Senza spaventarci per il suono ridondante delle parole inglesi cerchiamo di capire di cosa si tratta nel dettaglio. Innanzitutto bisogna capire perché questo regolamento è stato introdotto: per migliorare la protezione dei dati e prevenirne la violazione e/o furto, far trattare in modo più trasparente i dati raccolti ed utilizzati dalle aziende. Ma quali dati riguarda e soprattutto cosa sono i dati “sensibili”?
Tra i dati personali ci sono nome, cognome, indirizzo di residenza, numero di telefono, indirizzi mail e codice fiscale, ecc. I dati definiti “sensibili” invece sono quei dati che rivelano cose più personali di un individuo, come l’orientamento religioso o politico, lo stato di salute, dati giudiziari, numeri di carta di credito, ecc. In quanto più personali, questi ultimi vanno protetti in maniera più rigorosa. Quindi la normativa non riguarda solo studi medici e avvocati, ma un po’ tutti i settori, poiché anche in piccole attività spesso lasciamo il nostro nome e cognome o il recapito telefonico per essere ricontattati per un preventivo o l’acquisto di un prodotto.
In virtù dell’ entrata in vigore della normativa è scattata una sorta di allarme per molti e non curanza per altri. In realtà si tratta di una questione importante e delicata, perché spesso si sente parlare di furto di dati, come per esempio dai social o altre piattaforme e dello “stalkeraggio pubblicitario” gratuito di cui se ne farebbe volentieri a meno. L’argomento Privacy è diventato tanto delicato e sta molto a cuore all’Europa, tanto da punire con severe sanzioni, indipendentemente se si tratta di un piccolo negozio o di una grande azienda, che vanno dal 4% del fatturato annuo fino a multe di 20 milioni di Euro. Sentendo queste cifre da capogiro si può capire la paura di eventuali multe se non si è in regola, soprattutto per piccole attività commerciali o piccole e medie aziende che fanno già fatica ad andare avanti e non dispongono di questi enormi cifre di denaro.
Per verificare che la norma venga rispettata, sono previsti dei controlli periodici dove bisognerà dimostrare di aver fatto tutto il possibile per mettere in sicurezza i dati che si trattano per evitare possibili perdite o furti. Avendo un idea delle possibili sanzioni possiamo capire che la spesa che si dovrà sostenere per l’adeguamento al GDPR in realtà non è enorme rispetto ai vantaggi che se ne ricavano: come abbiamo visto evitare multe salate, le persone titolari dei dati avranno una garanzia in più sul rischio di violazione o di passaggio a terzi dei loro dati senza alcun consenso e una buona conservazione dei dati da parte delle aziende con archiviazioni più controllate e minor rischio di furto.
Purtroppo tantissime società sottovalutano l’importanza di una corretta manutenzione delle proprie apparecchiature informatiche e di un sistema di backup in locale (hard disk esterni, nas di rete…) o in cloud (solo però presso società che rispettano i requisiti del GDPR, tra i quali la residenza dei server nella Comunità Europea, quindi non dropbox)ed in caso di perdita dei dati non pensano ai danni che avrebbero per la perdita dei dati del proprio gestionale o di dati dei propri clienti, indipendentemente dalle sanzioni previste. In quest’ottica l’adeguamento deve essere visto come un investimento a breve-lungo termine per migliorare la qualità e l’efficienza della propria attività. In definitiva tutto sta nel fatto di individuare i dati che vengono trattati e trovare il modo più giusto per gestirli e conservarli.
Per riuscire a capire la “formula” più adatta da usare ed evitare problemi e sanzioni che manderebbero in rovina aziende e attività commerciali, bisogna rivolgersi a consulenti preparati e in grado di dare le giuste spiegazioni e un piano di gestione di dati adeguato in base al grado di sensibilità dei dati trattati, se basta un semplice aggiornamento delle informative privacy già esistenti oppure se debba essere necessario redigere la DPIA (documento valutazione impatto privacy) con conseguente registro attività dei trattamenti. Infatti per le attività ed enti che trattano dati su larga scala, con rischio alto in caso di perdita di dati e che trattano dati sensibili (giudiziari, sanitari ecc…) è obbligatorio produrre della documentazione da presentare in caso di controlli da parte dell’ente preposto in cui deve essere stato precedentemente riportato il titolare dei trattamenti, quali tipi di dati sono interessati e di quali categorie, dove saranno conservati e per quanto tempo (per il registro delle attività dei trattamenti) e deve essere stata fatta una valutazione dei rischi per ogni tipo di trattamento (es.conservazione, profilazione, attività di marketing ecc…) con eventuali misure da adottare e relative tempistiche per la messa in sicurezza dei dati (DPIA).Da registrare, inoltre, che le piccole e medie imprese stanno diventando sempre di più l’obiettivo preferito degli hacker, poiché in genere adottano sistemi di informazioni meno sicuri e più facilmente violabili.
per consulenza gratuita
