Il caso
Il 15 marzo 2018 pomeriggio, il Il Fatto Quotidiano Online ha fatto emergere il caso delle contestazioni mosse al Movimento Cinque Stelle dall’Autorità Garante della Privacy, risvegliando negli uffici privacy di tante aziende i timori che già vi aleggiavano e che stanno accompagnando il recepimento del “nuovo” General Data Protection Regulation (GDPR) UE 2016/679.
Il nuovo sistema
Il nuovo sistema introdotto dal Legislatore Europeo prevede infatti che in caso di violazione dei dati personali, il titolare del trattamento debba notificare la violazione all’Autorità di Controllo – nella maggior parte dei casi entro 72 ore dal momento in cui ne è venuto a conoscenza – a meno che sia improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone fisiche coinvolte (art. 33).
Inoltre, qualora la violazione dei dati personali sia suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento deve comunicare la violazione anche all’interessato, senza ingiustificato ritardo (art. 34).
La notifica della violazione non è naturalmente senza conseguenze, sia per le importanti sanzioni amministrative, sia per le possibili conseguenze risarcitorie.
Queste regole, però, come spesso spieghiamo ai nostri clienti, non sono una vera e propria novità ed infatti il Garante per la protezione dei dati personali aveva già adottato una serie di provvedimenti che fissavano l’obbligo di comunicazione, nei casi in cui, a seguito di attacchi informatici, accessi abusivi, incidenti o eventi avversi, si fosse verificata la perdita, la distruzione o la diffusione indebita di dati personali trattati.
(Art. 32-bis d.lgs. 196/2003, Regolamento UE 611/13, Provvedimento del Garante n. 161 del 4 aprile 2013, Provvedimento n. 513 del 12 novembre 2014, Provvedimento n. 331 del 4 giugno 2015, Provvedimento n. 392 del 2 luglio 2015).
La novità
La vera novità, invece, sta nell’entità delle sanzioni che, come ormai noto, possono raggiungere il 4% del fatturato annuo.
Da quanto riportato dalla stampa il Movimento, dopo avere subito alcuni attacchi informatici, aveva denunciato l’accaduto al Garante e quest’ultimo aveva colto l’occasione per disporre accertamenti sul trattamento dei dati delle persone che accedono al blog, rilevando, sembra, la mancata designazione di due società di telecomunicazione come Responsabili del Trattamento dati, in ragione delle attività da queste svolte.
Tali attività avrebbero quindi configurato un illecito trattamento dei dati, in ragione della comunicazione degli stessi a soggetti terzi, in mancanza del consenso degli interessati.
Il Garante ha contestato gli addebiti ed entrare nel merito, come tecnici, non sarebbe serio senza leggere la documentazione del caso.
Ma prendendo spunto da obblighi di compliance ormai consolidati, che ritroveremo nel nuovo quadro normativo, vale la pena fare cenno ad un paio di nuovi argomenti che il GDPR porta con se, che sembrano sfuggire a molti commentatori, ma che saranno temibili nemici per chi crede di poter evitare di rivoluzionare il proprio sistema di gestione privacy ed in futuro sarà probabilmente protagonista sulle pagine dei giornali per sanzioni irrogate dall’Autorità Garante.
Privacy by design e by default
Molto si parla infatti di privacy by design e by default, come due cardini della normativa europea di settore, ma poco ci si sofferma su come applicare questi nuovi principi.
Lo Studio del GDPR e l’incrocio con le normative ad adempimento volontario che il Regolamento presuppone, porta a comprendere che per essere compliant con le sue regole, occorre svolgere alcune fondamentali attività, da pianificare per tempo:
1) progettare ed attuare un programma di implementazione delle nuove regole;
2) creare un vero e proprio strumento che, con una apposta sequenza logica, consenta all’azienda di individuare i suoi processi interni, estrarne i suoi trattamenti dati, tipici ed atipici, valutarne lo stato attuale rispetto ai requisiti prescritti dal GDPR e di conseguenza stabilire gli interventi da effettuare;
3) attuare il piano di interventi di adeguamento (privacy e sicurezza) appena formulato.
Non scordiamo infatti che non basterà creare un manuale dedicato al GDPR, se non si sarà in grado di documentare all’Autorità Garante un serio percorso valutativo, all’esito del quale sia stato approntato un effettivo sistema di protezione dei dati fin dalla fase di progettazione (by design) di qualsiasi trattamento e che il titolare abbia attuato specifiche misure che garantiscano un idoneo trattamento dei dati, personalizzato sulla base delle finalità e del tipo di operazioni da porre in essere (by default).
I consigli di FGA
Ai nostri clienti, ad esempio, stiamo proponendo uno strumento che, basandosi sull’esperienza che abbiamo maturato nei sistemi di gestione per la qualità e nell’analisi dei rischi, fonde le valutazioni e i controlli generali prescritti dalla norma, i controlli necessari per la predisposizione del Registro dei Trattamenti e quelli del Privacy Impact Assessment, con risultati molto interessanti, sfociando in un piano di interventi che consente alle diverse funzioni aziendali di intervenire nelle rispettive aree di competenza.
Vale la pena ricordare, infatti, l’estrema pragmaticità che contraddistingue la fase attuativa di qualunque progetto di implementazione del GDPR e che quindi occorrerà coinvolgere attivamente in queste attività diverse figure professionali, tra le quali figurano sicuramente le funzioni legali, organizzative ed IT ed ognuna di queste risorse, avrà bisogno di tempo e … il tempo stringe.
