Istituti di credito, sanità, sistema statistico nazionale (Sistan), Spid, telemarketing, carte di fedeltà, grandi banche dati pubbliche. Sono questi i settori sui quali nei prossimi mesi punterà la sua lente il Garante per la protezione dei dati personali contenuti nel piano ispettivo per il primo semestre 2019 approvato nelle scorse settimane.
Privacy, sanzioni e controlli con il GDPR: a spiegare come saranno le nuove ispezioni è stato Marco Menegazzo, comandante del Nucleo Speciale Privacy della Guardia di Finanza intervenuto durante il Privacy Day Forum del 25 maggio 2018.
La privacy è un campo minato. Il 19 maggio 2019 scade il periodo di «prima applicazione», in cui il Garante deve, per legge, mostrare la sua comprensione e, nei limiti del (giuridicamente) possibile, andarci piano con le sanzioni per violazioni del Regolamento Ue 2016/679 (Gdpr) e del nuovo Codice della privacy (figlio del dlgs 101/2018). Ora, però, alla porta ci sono 7.219 reclami e segnalazioni e 946 notificazioni di violazioni della privacy.
Sono ai blocchi di partenza le ispezioni sul rispetto della privacy a tinte Ue. Lo conferma, rispondendo alle domande di ItaliaOggi Sette il colonnello Giovanni Reccia, comandante del Nucleo speciale Gdf tutela privacy e frodi tecnologiche, un super nucleo per tarare gli accertamenti a illeciti sempre più digitali.
Nella mia ormai lunga esperienza di consulente strategico in materia di privacy e protezione dati, sono purtroppo molte le aziende che ho visto sbandierare virtù che in realtà non hanno. Fin dal primo incontro presso la sede della società, o a volte perfino alla prima occhiata al sito web aziendale, spesso sono evidenti delle desolanti carenze che rivelano quanto sia realmente scarsa la sensibilità ai temi di cui mi chiedono di occuparmi.
Con la pubblicazione del D.Lgs. 10 agosto 2018, n. 101, si completa la prima fase del processo di adeguamento della disciplina italiana in materia di protezione dei dati personali a quella europea contenuta nel Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, com'è noto entrato in vigore lo scorso 25 maggio, che prevede un pesante apparato sanzionatorio. Il provvedimento, in vigore dal prossimo 19 settembre, arriva però con ritardo ma deve essere accolto favorevolmente in quanto armonizza le disposizioni contenute nel Codice in materia di protezione dei dati personali (D.Lgs. 196/2003), con quelle introdotte dal citato Regolamento europeo 2016/679; al tempo stesso mette anche fine anche ad alcuni rumors, risultati poi infondati, su alcune previsioni della versione definitiva del D.Lgs. n.101/2018.
Nell’ambito delle attività necessarie al fine di garantire la conformità con la normativa, è necessario che il Titolare predisponga anche una “procedura ispezioni” o “di collaborazione con l’autorità”, che definisca i soggetti da coinvolgere ed i comportamenti da tenere in caso di ispezioni dell’autorità di controllo.
Approvato dal Garante per la protezione dei dati personali il piano ispettivo per il secondo semestre di quest’anno. Il piano, il primo ad essere varato dopo la piena applicazione del Regolamento Ue, vede al centro delle verifiche degli ispettori dell’Autorità i trattamenti di dati effettuati da aziende e pubbliche amministrazioni che gestiscono banche dati di grandi dimensioni, le misure di protezione dei dati negli istituti di credito (specie con riferimento a segnalazioni di data breach), i trattamenti di dati per attività di telemarketing.
Attività ispettive sulla conformità al GDPR, ecco quali sono i settori sotto la lente del Garante in questo periodo, ma molte aziende sono impreparate ad affrontare i controlli svolti dall'Authority e dal Nucleo speciale privacy della Guardia di Finanza. Bernardi: Molte imprese considerano ancora la protezione dei dati una questione meramente burocratica e si sono affidati a software o hanno completamente demandato attività di adeguamento a consulenti esterni, ma rischiano di essere sanzionate pesantemente". La circolare di Federprivacy sui poteri di accertamento dell'Autorità di controllo, onere della prova delle violazioni, e sul principio di proporzionalità delle sanzioni.
Per non farsi cogliere impreparate di fronte a un'inaspettata ispezione del Garante della Privacy, alcune grandi aziende hanno incluso nelle proprie procedure interne manuali e documenti come “Vademecum delle prassi per la cooperazione con Garante Privacy”, mentre altre hanno fatto veri e propri "stress test" con simulazioni d'ispezione.
