Con l'entrata in vigore del Dlgs 101/2018, dal 19 settembre 2018 aziende ed enti non hanno più alibi per non essere allineati alla normativa sulla protezione dei dati personali. Anche se in linea di principio non cambia molto per chi in precedenza si era già attivato per adeguarsi al GDPR, in quanto il nuovo decreto legislativo va solo ad integrare il quadro giuridico italiano con alcune prescrizioni aggiuntive armonizzando il testo del nostro Codice Privacy con quello del Regolamento Europeo, nella realtà dei fatti, alcuni recenti studi hanno però evidenziato che il 65% delle aziende non si sono ancora adeguate.
L’applicazione del Dlgs 231/2001 richiede come noto attività di controllo in capo all’Organismo di Vigilanza (OdV). Un approccio integrato, che copra simultaneamente le esigenze di conformità legate alla protezione dei dati personali e alla responsabilità amministrativa delle aziende è un elemento di serietà ed a beneficio della credibilità di entrambi i sistemi.
Per le aziende e le organizzazioni che trattano dati personali, il rispetto del GDPR è naturalmente fondamentale. Diversi sono gli strumenti previsti e anche le pratiche per garantire la compliance al GDPR:
La legge sulla protezione dei dati personali si applica a tutti: grandi e piccole aziende, settore privato e ambito pubblico, associazioni e studi professionali. Il motivo è chiaro: nella società delle informazioni, il governo della loro corretta circolazione è compito di chiunque. Dunque, studi e associazioni professionali sono anch’essi catturati dalla rete a strascico del data protection. Quelli di grandi dimensioni o di profilo internazionale appaiono analoghi a imprese complesse.
Il responsabile della protezione dei dati non è un factotum; le sanzioni non sono sospese; il responsabile esterno non è il Dpo. Sono alcuni degli scivoloni che possono capitare nei primi giorni di operatività del Regolamento Ue sulla privacy, che è all'esordio a decorrere dal 25 maggio 2018. Nonostante l'assenza di un decreto italiano di coordinamento.
Il fatto che senza cybersecurity non può esserci né privacy né conformità al GDPR è indubbio, così come lo è l’esigenza di creare gruppi di lavoro e di progetto comuni. Perché vi sia reciproca contaminazione, e uniformità nel metodo dato che le sorti di gestione degli adempimenti privacy e della sicurezza informatica (o più in generale: delle informazioni) sono strettamente legate.
L'European Data Protection Board (EDPB) ha lanciato un tool di audit per siti web che può essere utilizzato per analizzare se i siti web sono conformi alla legge. Lo strumento può essere utilizzato sia da auditor legali che tecnici presso le autorità di protezione dei dati, sia da titolari e responsabili del trattamento che desiderano testare i propri siti web.
Il 78% delle imprese considera ancora la privacy come un mero adempimento burocratico. Il caso della multa da mezzo milione di euro alla società di e-commerce che aveva nominato un DPO in conflitto d’interessi. Bernardi: “Con applicazioni fuorvianti del GDPR ci sono imprese di pulizia che sono state nominate responsabili del trattamento solo perché i loro addetti vedono informazioni aziendali quando svuotano i cestini dei rifiuti”. Paola Casaccino: “Spesso le società sanzionate si erano affidate a consulenti che avevano prodotto solo documentazione burocratica senza badare alla sostanza. Necessario passare dalla teoria alla pratica”.
La gap analysis è una attività prodromica alla definizione di una road map per la compliance GDPR. Il Generale Giuseppe Alverone ne parla il 12 marzo al Seminario online 'Dalla fisiologia alla patologia. Come mantenere in salute un sistema di gestione privacy'
Nell’era digitale l’informazione è diventata un elemento essenziale della nostra vita quotidiana. Proprio per questo è fondamentale considerare l’etica e la protezione dei dati come connessione indissolubile. Manca ancora la diffusione della cultura della legalità per proteggere tutti gli individui, soprattutto i giovani, da violazioni privacy, dipendenza da dispositivi e disinformazione.
