Secondo uno studio condotto da IDC, solo il 3% delle aziende con più di 10 dipendenti si è già adeguato al nuovo Regolamento generale sulla protezione dei dati. Il 54% ha un piano già predisposto, ma il 43% è solo all’inizio della fase di analisi… Una situazione che migliora tra le banche, già soggette a un’authority e più avvezze a questo tipo di regole, ma che peggiora ulteriormente tra le imprese di altri settori come il commercio e i servizi. Tante aziende italiane che pure gestiscono dati personali, insomma, hanno fatto trascorrere i due anni di fase transitoria prima dell’entrata in vigore della GDPR senza attrezzarsi, svolgendo poca o nessuna formazione al proposito. Un ritardo che potrebbe costare caro, viste le multe salatissime previste dal nuovo regolamento. Ancora oggi non sembra esserci un’adeguata consapevolezza del fatto che le novità non comportano solo cambiamenti di carattere informatico e burocratico, ma anche e soprattutto organizzativo. Non è quindi così semplice capire come gestire l’adeguamento alla nuova normativa, specie quando alla sua entrata in vigore mancano ormai solo poche settimane. «La GDPR, a differenza della normativa precedente, è risk based – spiega ancora Fabrizio Bulgarelli, Head of RAS e IT Services di RSM, ma anche coautore della norma UNI 11697 che definisce i profili professionali relativi al trattamento e alla protezione dei dati personali in ambito GDPR – questo significa che per alcuni tipi di dati si deve fare un’analisi del rischio, una prassi più vicina alla cultura anglosassone, che non ci è familiare». La valutazione d’impatto è in particolare obbligatoria nei casi di trattamento con rischi elevati per i diritti delle persone fisiche; introduzione di un nuovo servizio, sistema informativo o nuova tecnologia, o modifiche di processi e procedure; trattamento dei dati sensibili e giudiziari; trattamenti su larga scala. Un altro cambiamento portato dalla GDPR è il concetto di privacy by default, che ha anche delle implicazioni importanti di carattere tecnologico: «chi non ha un motivo oggettivo di accedere ai dati non lo potrà più fare, e le nuove procedure devono essere disegnate facendo un’analisi preventiva dei rischi, e in qualche caso chiedendo l’autorizzazione al garante per effettuare trattamenti completamente automatizzati» aggiunge Bulgarelli. Per questo, il titolare del trattamento dei dati mette in atto misure tecniche e organizzative adeguate volte ad attuare in modo efficace i principi di protezione dei dati, e a integrare nel trattamento le necessarie garanzie al fine di soddisfare i requisiti del regolamento e tutelare i diritti degli interessati. Si vuole così garantire che siano trattati, per impostazione predefinita, solo i dati personali necessari per ogni specifica finalità del trattamento. Questo, beninteso, tenendo conto dello stato dell’arte, dei costi di attuazione, nonché della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, sia al momento di determinare i mezzi con i quali lo si svolge sia all’atto del trattamento stesso.
Tante aziende che gestiscono dati personali hanno fatto passare i 2 anni di fase transitoria senza attrezzarsi e formarsi sul gdpr
Alla privacy by default la GDPR aggiunge quindi la privacy by design: la protezione dei dati deve essere parte integrante della stessa progettazione dei processi aziendali. Il che si ricollega al tema della valutazione dell’impatto, la PIA (Private Impact Analysis): «Un errore che fanno in tanti è non lavorare sulla selettività della privacy: non tutti i dati personali hanno la stessa importanza. Per essere sicuro di minimizzare il rischio di non-compliance devo insomma saper fare una selezione dei dati su cui c’è un rischio alto» puntualizza Fabrizio Bulgarelli. Le principali fasi del lavoro che porta alla stesura di un report completo di PIA sono la definizione dei criteri di rischio (fattori legali, business…), l’identificazione dei processi e sistemi da valutare ai fini dei rischi per la privacy, la redazione di un piano per il trattamento dei rischi e la selezione dei controlli da implementare. Altro elemento chiave del nuovo Regolamento è quello che rivoluziona gli obblighi delle aziende in caso di furto dei dati, il temuto “data breach” che collega il tema della privacy a quello della cybersecurity. Le aziende infatti saranno tenute a comunicare la violazione entro 72 ore (!) al Garante dei dati personali e al cliente se c’è un rischio per lui molto significativo. Un obbligo da non prendere sottogamba, visto che si rischiano multe fino a 20 milioni di euro. Meglio quindi non far finta di niente, come pure in passato è successo in diverse occasioni anche a realtà non piccole. Più nel dettaglio, il titolare del trattamento notifica la violazione riguardante la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o comunque trattati all’autorità di controllo competente ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza e deve: descrivere la natura della violazione dei dati personali compresi, ove possibile, le categorie e il numero approssimativo di interessati in questione nonché le categorie e il numero approssimativo di registrazioni dei dati personali in questione; comunicare il nome e i dati di contatto del responsabile della protezione dei dati o di altro punto di contatto presso cui ottenere più informazioni; descrivere le probabili conseguenze della violazione dei dati personali; descrivere le misure adottate o di cui si propone l’adozione da parte del titolare del trattamento per porre rimedio alla violazione dei dati personali e anche, se del caso, per attenuarne i possibili effetti negativi.
Per le imprese, l’unica via per mettersi in regola per tempo è affidarsi a chi conosce la materia e il regolamento in ogni aspetto
Vista la complessità del nuovo regolamento, la prossimità della sua entrata in vigore, le multe previste, può essere saggio affidarsi a chi conosce bene la materia e sa come muoversi anche in tempi ridotti. «Seguiamo tutto il percorso di adeguamento aziendale alla GDPR, inclusa la scelta del DPO, la realizzazione del modello organizzativo, la segmentazione per aree aziendali – dice l’esperto di RSM, società leader internazionale nei servizi di Audit, Consulting, Tax & Legal – In mancanza di una fase transitoria, che ormai è alle spalle, aiutiamo le aziende a capire rapidamente cosa c’è da fare in termini informatici e organizzativi, adottando un approccio differenziato tra i large account, con la fornitura di componenti informatiche per gestire tutti i processi, e il middle market, per il quale utilizziamo un approccio integrato con il modello di organizzazione e gestione della 231, che permette di migliorare la governance a costi sostenibili». La caratteristica dell’approccio di RSM alla gestione del nuovo Regolamento generale sulla protezione dei dati è la sistematicità. Il lavoro viene svolto in maniera integrata su tutti gli aspetti coinvolti, dalla parte legal a quella informatica, da quella organizzativa agli strumenti a supporto della privacy, fino all’automazione dei processi. La metodologia utilizzata è il GICS, GDPR Integrated Compliance Solution, un approccio supportato da una piattaforma tecnologica modulare integrata sviluppata da RSM e dai partners. Una soluzione agile e scalabile, che può essere completamente fornita anche come servizio in modalità cloud. «Con questo approccio, che mi piace definire olistico, siamo anche in grado di riutilizzare il lavoro già svolto per le norme precedenti, compatibile con la GDPR» conclude Bulgarelli.
