n. 16 anno 2017

Il nuovo regolamento per la protezione dei dati non può aspettare

di Paola Pucci

Il Regolamento Generale per la Protezione dei Dati (GDPR) entrerà in vigore il 25 maggio 2018 in tutti i paesi membri dell'Unione Europea, uniformandone regole e sanzioni.
Quanto alle seconde il GDPR porta un deciso inasprimento, che porta il tema privacy in cima alla "to do list" in tutte le aziende: il nuovo impianto normativo prevede sanzioni che possono arrivare sino a 20 milioni di Euro o al 4% del fatturato mondiale dell'azienda inadempiente. Cifre decisamente importanti che impongono una gestione attenta della tematica.
Ma la sfida non sarà semplice per le aziende che dovranno mettersi in regola.
IL GDPR, infatti, nasce da un presupposto chiaro e molto più rigoroso rispetto al precedente Codice della privacy: da una parte, qualsiasi processo aziendale che comporti il trattamento di dati personali dovrà essere realizzato tenendo in considerazione la privacy sin dalla progettazione; dall'altra, chi tratta dati personali dovrà sempre essere in grado di dimostrare di aver posto in essere ogni misura adeguata e necessaria alla tutela della riservatezza degli interessati.
Questi i nuovi principi che pervadono tutto il Regolamento e si declinano, poi, in tutta una serie di nuovi adempimenti: dalla nascita di una specifica procedura per la comunicazione delle violazioni dei dati (data breach) alla regolamentazione della procedura di risposta alle domande di accesso ai dati degli interessati o, ancora, all'obbligo (in alcuni casi, in altri semplice raccomandazione) di adottare un registro per il trattamento dei dati che tenga traccia dei trattamenti effettuati.
I nuovi principi così come i nuovi adempimenti determinano nella maggioranza dei casi la necessità di ripensare e riorganizzare la gestione dei dati personali all'interno delle aziende, di riscrivere le policy, le lettere di incarico e le informative, di individuare ruoli, funzioni e mansioni chiare e precise.
Il tutto con la nascita - obbligata - di nuove figure come il Responsabile per la protezione dei dati (DPO), un esperto con garanzie d'indipendenza che controlli la corretta applicazione della normativa privacy in azienda.
Un percorso, dunque, che inizia necessariamente da subito e che modificherà i processi aziendali in via definitiva. Il momento di riflettere sui propri sistemi e sui propri processi è quindi già arrivato: in assenza di adeguate misure preventive, infatti, gestire i dati e le problematiche in modo efficace diventa impossibile.

avv. Paola Pucci, partner di Toffoletto De Luca Tamajo