PESCARA . Si chiama Gdpr (General Data Protection Regulation), entra in vigore oggi in tutti i Paesi europei, e rappresenta un pilastro fondamentale in fatto di trattamento dei dati sensibili e tutela della privacy. Il regolamento che istituisce il Gdpr risale al 2016, ma solo con due anni di ritardo viene recepito dagli stati membri, compresa l’Italia, nonostante nel nostro Paese il concetto di privacy circolasse ormai dal 1993, anno in cui venne varata la prima legge, abrogata nel 2003 con l’approvazione del famoso decreto 196, il “Codice in materia di protezione dei dati personali”. Ne parliamo con il professor Antonio Teti, docente al Corso di Laurea magistrale di Economia e Management dell’Università D’Annunzio, e uno dei massimi esperti di Gdpr.
Professore, cosa cambia con il Gdpr?
«Cambia tutto, nel senso che è una vera e propria rivoluzione dal punto di vista del trattamento dati e della privacy. L’Italia parte da situazione di vantaggio perché la legge sulla privacy del 2003 aveva già pre-configurato alcune figure, come quella del responsabile della privacy all’interno delle aziende. Il Gdpr introduce il “principio dell’accountability”, un termine che non può essere tradotto alla lettera, ma che potremmo intendere come responsabilizzazione e rendicontazione. Le aziende dovranno dimostrare di aver messo in piedi il miglior sistema possibile in grado di salvaguardare l’integrità dei dati, sia quelli digitali, sia quelli cartacei o in qualsiasi altro formato disponibile».
E chi non si adegua?
«Le sanzioni arrivano fino a 20 milioni di euro o al 4% del fatturato».
Cosa prevede il Gdpr in tema di minori?
«Il legislatore concede a ogni singolo Paese di fissare l’età per il consenso digitale, in un range compreso tra i 13 e i 16 anni, con molte raccomandazioni sulla tutela dei minori in rete. In Italia si sta ancora ragionando su questi aspetti».
Che fine fa la vecchia legge sulla privacy, norma di rango inferiore rispetto al dettato europeo?
«In Italia sono stati avanzati dubbi e perplessità sull’applicazione del Gdpr, proprio perché andava a sovrapporsi con la legge sulla privacy. Diversi gruppi politici hanno chiesto l’intervento del legislatore per chiarire le zone d’ombra sull’applicabilità della norma. Il governo, per le note vicende, non si è ancora espresso, ma a breve dovrebbe esserci un chiarimento.
Davvero i cittadini saranno più tutelati?
«Assolutamente sì. A patto e condizione che le aziende si adeguino alla norma perché in Italia, pur essendo la nostra una nazione che ha legiferato in tempi non sospetti, ancora oggi da recenti statistiche sembra che solo la metà delle organizzazioni si sia adeguata. Sul Gdpr si tratta di fare cultura. Come al solito, anche questa legge è stata ignorata per circa due anni, e solo adesso se ne sta parlando in materia pressante. Questo può scatenare, e lo sta già facendo, una sorta panico che può portare ad affidarsi a soggetti improvvisati, pagando somme consistenti per la risoluzione del problema e ritrovarsi poi con un sistema di protezione che fa acqua, con il rischio di vedersi sanzionati in un futuro che ormai è imminente. Occorre prestare attenzione, e non cadere nel panico, anche se si è in ritardo, affidandosi a figure specializzate. La privacy è un investimento, non un costo, che può consentire di dormire sonni tranquilli e fornire garanzie che possono accrescere il business aziendale».
Cos’è il registro dei trattamenti?
«Rappresenta uno degli elementi basilari del Gdpr, un registro nel quale devono essere riportate le modalità di trattamento dei dati, chi vi accede, con quali applicazioni. Tra i vari adempimenti c’è anche quello della valutazione dell’impatto. Nel momento in cui l’azienda decide, per esempio, di cambiare fun ornitore deve fare una valutazione di impayto. Un monitoraggio contino sullo stato di sicurezza e integrità dei dati. Fin quando rimarrà in piedi la norma europea, ci vogliono persone che si occupino di questo ».
Secondo lei, quali possono essere i limiti?
«Potrebbero sorgere delle difficoltà nel momento in cui i dati raccolti vengono condivisi in Paesi extra Ue. Poniamo il caso di un’azienda che ha una partner commerciale in Iran. L’azienda europea dovrà dimostrare di aver messo in piedi un’infrastruttura tecnica in grado di gestire i dati con i criteri europei di sicurezza, ma l’azienda straniera non sarà soggetta alla stessa legislazione. E qui potrebbero sorgere problemi, perché potrebbero saltare collaborazioni con aziende che non sono in grado di gestire i dati uniformemente con gli standard europei, potrebbero saltare accordi commerciali, istituzionali, e anche in ambito accademico. Lo scenario è ampio, e non facilmente prevedibile».