“La GDPR richiede una rivoluzione aziendale”: le dichiarazioni di Loredana Rossiello, consulente privacy e sicurezza dati
“La nuova General Data Protection Regulation riguarda tutte le aziende e i professionisti, a prescindere dall’attività svolta o dai numeri della realtà interessata. Concerne, infatti, l’utilizzo dei dati e chiunque abbia un’attività ha a che fare con gli stessi. Il vero passaggio da compiere, in previsione del 25 maggio 2018, data in cui la normativa entrerà in vigore, è cogliere l’importanza di abbandonare le precedenti, ed errate, abitudini per un approcciarsi ad un vero e proprio cambiamento”. Con queste parole Loredana Rossiello, Data Protection Officer e Consulente Privacy e Sicurezza Dati, sottolinea quanto la GDPR rappresenti una vera “rivoluzione”. “Si tratta di una riforma molto attesa, nata dopo quattro anni di travaglio. Parliamo di un regolamento europeo che, proprio per questo, unifica le leggi nazionali, sotto un’unica rigorosa veste. Pubblicata nel maggio 2016, non vedrà alcun tipo di proroga e non bisogna compiere l’errore di pensare che per un completo adeguamento ci sia ancora molto tempo. Anzi, bisogna considerare” – specifica la Dott.ssa Rossiello – “tutti i passaggi preventivi per mettersi in regola secondo quanto stabilito. Senza alcuna esagerazione si può affermare che la GDPR richieda una ristrutturazione aziendale”.
Ma quali sono gli obblighi richiesti e quali le novità per aziende e professionisti? Abbiamo chiesto a Loredana di elencarci alcuni esempi per una maggiore consapevolezza in merito alla portata innovativa e agli impegni previsti dalla legge.
“Tanti gli aspetti che cambiano, tra questi possiamo menzionare le informative sulla privacy. La GDPR dice no ai documenti lunghi, preferendo una versione più concisa, ma anche più precisa, chiara, intellegibile e inequivocabile. Per ovviare al problema lingua e, conseguentemente alla comprensione del testo, si sta pensando ad una modalità di “scrittura” dell’informativa che utilizzi delle icone, dei simboli facilmente riconoscibili da tutti”.
Non solo, le modifiche dovranno riguardare gli stessi sistemi informatici e i software gestionali in uso nelle aziende o negli studi: per essere a norma dovranno richiedere e gestire il minor numero di informazioni e i dati dovranno essere crittografati.
Il regolamento pone, inoltre, l’accento sulla “accountability”, ossia la responsabilizzazione di titolari e responsabili sull’adozione di comportamenti proattivi e tali da dimostrare la concreta applicazione. Non basta, quindi, adeguarsi agli obblighi previsti, ma occorre dimostrarlo attraverso una serie di “prove” che testimoniano il corretto comportamento dell‘azienda/studio/ente o professionista. Tra questi, solo per fare un esempio, vi è la certificazione in ambito privacy che, pur non rappresentando un obbligo, risulta utile a dare visione delle misure precauzionali seguite.
Il data breach, invece, rappresenta l’obbligo per tutti i titolari di notificare all’autorità di controllo le violazioni di dati personali di cui vengano a conoscenza, entro 72 ore e comunque “senza ingiustificato ritardo”. Segnalare la perdita, il danno o il furto dei dati non è sufficiente: occorrono ulteriori dettagli relativi alle attività svolte in precedenza per la tutela dei dati e alla successive alla perdita per il recupero degli stessi.
“La GDPR vede anche nuovi diritti, tra cui – ci spiega la Dott.ssa Rossiello – il “diritto alla portabilità”. Previsto dall’articolo 20 del regolamento, consente all’interessato di ricevere i dati personali forniti a un titolare, in un formato di uso comune e leggibile da dispositivo automatico, e di trasmetterli a un altro titolare del trattamento senza impedimenti. Per fare un esempio legato alla quotidianità, basti pensare ai numeri di telefono e i dati associati, nel momento in cui di decide di cambiare operatore.
Non può, infine, mancare un riferimento al DPO, Data Protection Officer, ossia il Responsabile della protezione dei dati, nuova figura nominata dal Titolare del Trattamento e dal Responsabile del Trattamento dei Dati. La fondamentale attività del DPO dovrà essere svolta in piena autonomia e indipendenza, libera da conflitti di interesse, in particolare nell’ esecuzione dei suoi compiti di controllo e vigilanza.
Queste sono solo alcune delle tante modifiche e novità previste dal regolamento in vigore il prossimo anno. Conviene però tenere a mente, come suggerito da Loredana, che “la legge sulla Privacy non è la legge del “no”, ma del “come”. “Non va vista come una negazione ma come una spiegazione di cosa è possibile fare e in quali, corrette, modalità”.
