Il nuovo regolamento rappresenta un’occasione per semplificare e uniformare la normativa in materia di privacy

Uno spazio comune

L’Unione Europea nasce con l’intento di garantire la libertà di circolazione sia di per che di dati. La rapidità con cui al giorno d’oggi circolano le informazioni, grazie all’avvento di Internet, richiede una disciplina dettagliata e comune, perché comuni sono i mezzi di comunicazione che si utilizzano. Nicola Bernardi, presidente di Federprivacy, sottolinea l’importanza di questa novità per tutti gli addetti ai lavori: “Le nostre imprese hanno necessità di acquisire la consapevolezza che il Regolamento sulla protezione dei dati costituisce una grande opportunità per giocare in casa una partita che finora eravamo costretti ad affrontare come se fosse in trasferta, sulla base del principio che ‘per ciascuno valgono le sue regole’” (Nicola Bernardi, Privacy, ecco perché il Regolamento Ue è un’opportunità per le imprese, “corrierecomunicazioni.it”, 18 aprile 2016).

Regole uniche per tutti, dunque. Si evita così quella confusione presente prima dell’adozione del regolamento, definendo un unico concetto di privacy e dato personale. L’Europa diventa un esempio per gli altri continenti, un modello assolutamente competitivo che viene incontro a problematiche sempre più diffuse come la divulgazione impropria di dati personali e le cyberminacce.
Francesca Spidalieri, Senior Fellow for Cyber Leadership presso il Pell Center dell’Università “Salve Regina” in Rhode Island, afferma: “Il GDPR rappresenta uno standard rivoluzionario per un efficace sistema di protezione dei dati dalle minacce informatiche e tutela delle proprie informazioni personali, e che altri paesi potrebbero decidere di seguire in futuro l’esempio europeo” (Francesca Spidalieri, Impatto del GDPR sulle piccole e medie imprese: il buono, brutto e il cattivo, “agendadigitale.eu”, 25 maggio 2018).

Semplificazione e adempimenti semplici

La ratio della normativa è quella di semplificare la vita a persone, aziende e in generale a tutti i soggetti coinvolti. Il responsabile e il titolare del trattamento, con norme così chiare, sanno esattamente quali sono i passi da compiere in materia di privacy. Antonello Soro, presidente del Garante per la protezione dei dati personali, conferma che il GDPR rappresenta una conquista di cui andar fieri: “La disciplina europea, coniuga la protezione dati con istanze di semplificazione, che il decreto di adeguamento peraltro valorizza, prevedendo che rispetto alle micro, piccole e medie imprese il Garante possa promuovere modalità semplificate di adempimento agli obblighi del titolare” (Antonio Ciccia Messina, Regolamento UE. "Illeciti, non soltanto sanzioni. Le reazioni saranno diverse. In un approccio graduale" - Intervista ad Antonello Soro, “italiaoggi.it”, 21 maggio 2018). Poca burocrazia dunque ma tanta sostanza ed efficacia.

Novità significative

Il regolamento (UE) n. 2016/679 non rinuncia però a qualche elemento di novità, anche significativo. Esso infatti introduce la figura del DPO (Data Protection Officer), fondamentale per le grande imprese, un professionista della privacy con competenze economiche e giuridiche, sempre più richiesto dal mercato. Giovanni Buttarelli, garante europeo della protezione dei dati, conferma l’importanza di questo professionista, ma mette al contempo in guardia: “Il DPO sarà una figura importante, purché non sia un semplice dispensatore di pater noster e ave gloria in azienda. Con il nuovo regolamento, ci sono grosse opportunità ma anche rischi di banalizzazione delle tutele che andranno evitati” (Paolo Anastasio, GDPR e DPO. Cosa pensano al riguardo i due Garanti Giovanni Buttarelli e Antonello Soro, “privacyitalia.eu”, 11 ottobre 2017).

Responsabilizzazione

Il GDPR introduce il concetto di “accountability”, un principio che permea l’intero corpo normativo. Il titolare e il responsabile vengono investiti di un ruolo sempre più determinante, che richiede l’adozione di misure tecniche e organizzative più o meno complesse a seconda del dato da conservare.
Igor Marcolongo, Head of Process & Compliance di InfoCert, sottolinea questo aspetto: “Chi tratta il dato dovrà essere in grado di identificare in modo certo il soggetto richiedente, per non correre il rischio di consegnare dati personali a soggetti che non ne sono i legittimi proprietari!” (Igor Marcolongo, GDPR, cos’è la (trusted) accountability e come può aiutare le aziende nella compliance, “agendadigitale.eu”, 29 maggio 2018).

Claudio Alessandro Colombrita, 12 giugno 2018

Codice pioniere della privacy

Il regolamento sulla privacy non rappresenta un passo avanti così importante nella disciplina giuridica italiana. Il nostro paese, infatti, è da tempo all’avanguardia, con il suo Codice Privacy (dlgs 196/2003), un insieme di norme già innovative nel 2003 e che non hanno perso la loro “attualità” nemmeno oggi. Avventata sembra dunque la decisione di abrogare il codice preesistente, per far spazio a un regolamento che nulla aggiunge e nulla toglie a quanto già presente. Sarah Ungaro, avvocato e Ufficio Presidenza ANORC Professioni, Digital & Law Department, afferma: “La soluzione – semplicistica – dell’annunciata totale abrogazione del Codice in materia di protezione dei dati personali non appare una scelta metodologicamente rigorosa e ponderata. Occorre riflettere, in effetti, sulla circostanza che sia proprio l’autorevole Codice che si vuole abrogare – a nostro avviso in modo superficiale e poco oculato – a vantare una storia che ha reso i giuristi italiani, più di venti anni fa, pionieri del diritto alla protezione dei dati personali in Europa” (Andrea Lisi e Sarah Ungaro, GDPR, perché abrogare il Codice Privacy è la scelta peggiore e che cosa comporta, “agendadigitale.eu”, 23 aprile 2018).

Incentivi adeguati

Non basta pubblicare un insieme di norme e lasciarle alla mercé di tutti, ma sono necessarie linee guida, indirizzi, incentivi, tutti elementi che mancano o tardano ad arrivare dall’Unione Europea. Nei due anni dalla pubblicazione all’attuazione del regolamento, nulla è stato fatto in Italia per farsi trovare pronti all’entrata in vigore. La sicurezza dei dati è avvertita come necessaria anche dalla gente, ma bisogna indirizzare in tal senso. Giuseppe D'Acquisto, funzionario direttivo del Garante Privacy, dichiara a tal proposito: “Gli investimenti in sicurezza non dovrebbero essere il risultato di una strategia difensiva individuale, ma piuttosto una sorta di nuovo patto sociale tra interessati e i titolari, e abbiamo bisogno degli incentivi appropriati per accompagnare i titolari verso questa consapevolezza” (Giuseppe D’Acquisto, GDPR, perché investire in sicurezza: il nuovo approccio basato sul rischio, “agendadigitale.eu”, 25 maggio 2018).
Incentivare e condurre la gente verso la comprensione della nuova normativa è dunque fondamentale per il successo della stessa.

DPO: un caso complesso

Il regolamento privacy apporta alcune modifiche drastiche e discutibili come quella dell’introduzione di una nuova figura, il Data Protection Officer (DPO). Deve essere esterno all’azienda e non in conflitto di interessi con la stessa, deve avere competenze economiche, giuridiche e informatiche, caratteristiche ibride, non ancora definite.
Rocco Panetta, avvocato esperto di Internet e tutela dei dati, afferma: “Ogni volta che si cala dall’alto una figura nell’organizzazione delle aziende o delle amministrazioni pubbliche si fa un’operazione a rischio ed in questo caso anche molto complessa. Il regolamento chiede al Dpo una serie di competenze trasversali, giuridiche, informatiche, di marketing, gestionali; inoltre, si richiede molta esperienza nel settore, anche da punto di vista emotivo e psicologico, che difficilmente può essere associata ad un new entrant nel mercato del lavoro” (Nuova privacy Europa, Panetta: “Legge subito o col Gdpr sarà caos”, “corrierecomunicazioni.it”, 12 settembre 2017).
Siamo davanti ad un paradosso evidente, si chiede dunque esperienza ad un soggetto il cui ruolo è stato definito ora. Il rischio di banalizzazione è sempre dietro l’angolo. Le imprese che non hanno l’obbligo di nominarlo non lo faranno di certo, le aziende che invece devono farlo, brancolano nel buio e rischiano di affidarsi al primo soggetto che capita a tiro.
L’avvocato Antonio Ciccia Messina, esperto di privacy, evidenzia un problema importante, che si presenta nelle amministrazione pubbliche: “Nei comuni, per esempio, ci si chiede se il segretario comunale possa fare il Dpo. Applicando le regole del Gdpr la risposta è negativa, considerato che il segretario ha anche compiti gestionali e di coordinamento dei dirigenti. Peraltro considerato il rischio che si finisca a non trovare, soprattutto negli enti piccoli e medi, un soggetto idoneo, sarà opportuno che il Garante o le associazioni dei comuni diano indicazioni di dettaglio con eventuale apertura a certe condizioni per figure interne. In questo caso a prevalere saranno urgenze di fatto più che ragioni di stretto diritto” (Antonio Ciccia Messina, Privacy, per la p.a. è d'obbligo nominare il Dpo, “italiaoggi.it”, 30 aprile 2018).
L’urgenza di trovare una figura andrà certamente a scapito della qualità del controllo.