Oggi entra in vigore il Gdpr, la rivoluzione privacy che viene dall’Europa. In questi giorni avrete tutti ricevuto delle mail informative. Ma c'è ancora tanta confusione attorno a questa nuova normativa, molto delicata.
Per le aziende italiane comporterà un costo notevole. Si parla di circa 2 miliardi di euro. Ma questo giorno è visto con interesse da tutti i cittadini. Per i nuovi diritti privacy e protezione dati personali che porta loro. Da oggi, dunque, è applicabile dal 25 maggio il Regolamento dell'Unione europea 2016/679, noto come Gdpr (General Data Protection Regulation). Le aziende avevano tempo fino ad oggi per adeguarsi ai nuovi e stringenti obblighi, con cui devono tutelare i dati personali dei cittadini. E nei prossimi giorni partiranno, a tutti gli effetti, anche le attività di ispezione da parte del Garante Privacy, che può affibbiare sanzioni molto salate alle aziende inadempienti: fino a 20 milioni di euro o addirittura il 4 per cento del loro fatturato globale. Il che può portare a cifre stellari per le multinazionali che gestiscono dati di cittadini europei (come Google e Facebook), in caso di abusi o violazioni privacy. Il Garante ha specificato che la macchina dei controlli e delle sanzioni partirà in modo graduale (non aspettiamoci insomma subito super multe a tappeto), ma partirà senza dubbio e senza proroghe.
L’Italia non è riuscita – come altri Paesi europei del resto – a fare in tempo per il 25 maggio il decreto con cui armonizzare il regolamento europeo all’ordinamento italiano. Al momento il testo è in attesa di uscire in via definitiva dal Consiglio dei ministri (esercitando la delega del Parlamento). Per via di una proroga che si esercita in automatico in questi casi, il Governo – il nuovo, a questo punto – ha tempo fino ad agosto per l’adeguamento. Fino ad allora potrebbero sorgere alcuni dubbi interpretativi sull’applicazione del Gdpr, che però – essendo un regolamento europeo – entra in vigore immediatamente lo stesso. Con tutte le sue misure. Insomma, le aziende non possono evitare l’obbligo, in tutti i suoi effetti. Che comporta “costi di alcune decine migliaia di euro fino a centinaia di migliaia di euro, per le aziende più grandi e complesse”, spiega Gabriele Faggioli, docente ordinario del Politecnico di Milano, presidente del Clusit (associazione della sicurezza informatica italiana) e Ceo della società di consulenza P4I.
Ancora in queste ore i progetti di adeguamento al Gdpr sono in corso, poiché “solo poche aziende sono già del tutto conformi alle nuove regole”, dice Faggioli. Lo conferma anche un recente rapporto Capgemini, secondo cui il 48 per cento delle aziende italiane e il 25 per cento di quelle europee dichiara di che non sarà in grado di adeguarsi entro il 25 maggio.
COSA CAMBIA – Il regolamento, si legge sul sito del Garante della privacy (che offre una guida on line), “conferma che ogni trattamento deve trovare fondamento in un'idonea base giuridica; i fondamenti di liceità del trattamento sono indicati all'art. 6 del regolamento e coincidono, in linea di massima, con quelli previsti attualmente dal Codice privacy – d.lgs. 196/2003”. Inoltre, viene spiegato, “NON deve essere necessariamente 'documentato per iscritto', né è richiesta la 'forma scritta', anche se questa è modalità idonea a configurare l'inequivocabilità del consenso e il suo essere 'esplicito' (per i dati sensibili); inoltre, il titolare (art. 7.1) DEVE essere in grado di dimostrare che l'interessato ha prestato il consenso a uno specifico trattamento”. E ancora: “Il consenso dei minori è valido a partire dai 16 anni (il limite di età può essere abbassato fino a 13 anni dalla normativa nazionale); prima di tale età occorre raccogliere il consenso dei genitori o di chi ne fa le veci”.
COSA NON CAMBIA – Resta invece la parte dedicata al fatto che il consenso “DEVE essere, in tutti i casi, libero, specifico, informato e inequivocabile e NON è ammesso il consenso tacito o presunto (no a caselle pre-spuntate su un modulo)”. E che “DEVE essere manifestato attraverso 'dichiarazione o azione positiva inequivocabile' (per approfondimenti, si vedano considerando 39 e 42 del regolamento)”. E ancora, per quanto riguarda il capitolo 'Diritti dell'interessato', ad esempio, cambia la parte dedicata al termine per la risposta all'interessato che “è per tutti i diritti (compreso il diritto di accesso) 1 mese, estendibili fino a 3 mesi in casi di particolare complessità; il titolare deve comunque dare un riscontro all'interessato entro 1 mese dalla richiesta, anche in caso di diniego”. E “la risposta fornita all'interessato non deve essere solo 'intelligibile' ma anche concisa, trasparente e facilmente accessibile, oltre a utilizzare un linguaggio semplice e chiaro”. Mentre non cambia il fatto che “l'esercizio dei diritti è, in linea di principio, gratuito per l'interessato, ma possono esservi eccezioni”. Il titolare ha il diritto di chiedere informazioni necessarie a identificare l'interessato, e quest'ultimo ha il dovere di fornirle.
In questo momento, la nostra redazione è già al lavoro per adeguarsi alla nuova normativa. Per qualunque informazione siamo a disposizione per qualsiasi chiarimento.
C.d.G.