Privacy e organizzazione aziendale: un binomio non più prorogabile
La violazione dei dati degli interessati è diventata, per molte grandi imprese, materia prima: i big data come vantaggio competitivo. L’Unione europea ha risposto, dal 25 maggio 2018, con il GDPR. La novità più rilevante è l’accountability: l’onere, in capo al titolare, di dimostrare misure adeguate. Non basta dire di essere in regola. Occorre poterlo provare.
Quelle prove hanno un nome: analisi dei rischi di dispersione dei dati; procedure interne di data protection; attestati di formazione nominale; procedura di data breach; registro dei trattamenti aggiornato. Nel 2019 le notifiche di data breach in Italia sono state 1.443. La privacy non è più l’informativa, il consenso e l’allegato B del D.Lgs. 196/2003. È un sistema di gestione dei dati.
Chi non si adegua rischia sanzioni tra il 2% e il 4% del volume d’affari. Le verifiche, coordinate in Italia anche dalla Guardia di Finanza – Nucleo operativo privacy, arrivano sempre più da remoto: una PEC chiede il sistema documentale, i tempi di risposta sono brevi, spesso dopo una segnalazione dell’interessato. Non c’è margine per un adeguamento ex post.
Cosa deve fare la società, con uno specialista
- Identificare i responsabili del processo di valutazione
- Analizzare i processi in cui si trattano dati
- Identificare interessati, tipologie, categorie, finalità e modalità
- Mappare le funzioni: responsabile, autorizzato, amministratore di sistema
- Valutare necessità, proporzionalità, rischi inerenti e residui
- Aggiornare misure, procedure, informative, consensi, formazione, nomine e flussi
- Monitorare e riesaminare periodicamente la conformità
Solo così, in verifica, si può esibire un sistema e non una giustificazione.
Cosa ci ha detto il Garante
Nella relazione sull’attività 2019, presentata il 23 giugno 2020, il Presidente Antonello Soro ha reso evidente che il tema non è più rinviabile. Sanzioni pesanti sul telemarketing (tra cui 27,8 e 11,5 milioni di euro), nuove regole sui sistemi di informazione creditizia, oltre 8.000 reclami e segnalazioni su marketing, sanità, credito, sicurezza informatica, banche, lavoro ed enti locali. In verifica sono emerse anche notizie di reato: inosservanza dei provvedimenti, falsità nelle dichiarazioni, un accesso abusivo a sistema informativo. Improvvisare in ispezione ha un costo anche penale.
Il 2020 ha poi imposto la gestione dei dati sanitari legati al COVID-19, spesso a imprese che non avevano ancora un assessment privacy. Il Garante ha ribadito, tra l’altro, che il datore non può diffondere l’identità del dipendente positivo; che la rilevazione della temperatura, se associata all’identità, è un trattamento e va minimizzata; che informare i contatti stretti spetta alle autorità sanitarie, non all’azienda.
La nuova privacy non riguarda solo la tutela di una libertà individuale violata da qualcuno. È l’esigenza, ormai inequivocabile, di organizzare l’intero flusso dei dati — anche in una realtà piccola — con processi interni sani. Quegli stessi processi servono all’imprenditore per governare la struttura e attraversare il ventennio digitale.