Cosa significa GDPR.
GDPR è l'acronimo di: General Data Protection Regulation
Se il significato di "Genaral", "Data" e "Protection" è chiaro a tutti desidero entrare nel merito di "Regulation".
Il termine specifico "Regulation" significa che tutti i Paesi membri dell’UE si trovano di fronte ad una legislazione omogenea in termini di obiettivi, adempimenti e struttura; ovvero una “legge” Europea che diventa parte integrante delle leggi di tutti gli stati membri.
Sostanzialmente il GDPR è una Legge EU comprensiva e vincolante che riguarda la protezione dei dati.
Questo significa che dal 25 Maggio 2018 potremo attenderci un controllo, e se questo non ci troverà in regola potremo vederci comminata una sanzione amministrativa fino a 20 milioni di Euro, oppure fino al 4% del fatturato totale annuo dell’esercizio precedente, se superiore alla predetta cifra.
Non aspettiamoci un dettaglio tecnico.
Nel testo del GDPR non troveremo un dettaglio o un manuale di istruzioni. La norma deve essere interpretata, molti dei riferimenti fatti in merito alle implementazioni IT ad esempio parlano di misure “adeguate” senza fornire uno specifico dettaglio. Questo significa che il GDPR richiede anche di fare scelte consapevoli ed informate. L'assenza di specifiche è stata appositamente voluta per rendere la norma attuabile ad un mondo tecnologico in continua evoluzione, ma non pensiamo che questa indeterminatezza ci autorizzi ad utilizzare sistemi operativi obsoleti tipo Windows XP, o credere che il firewall sia efficace senza la dovuta gestione o cose del genere, come potremmo poi dimostrare che sono state attuate tutte le “ragionevoli” misure di protezione?
Anche se siamo piccoli dobbiamo seguire le regole.
Non importa quale sia la dimensione della nostra attività, le regole vanno seguite da tutti. Ognuno di noi ha l’obbligo di implementare le misure adatte in maniera “ragionevole” e confacente alle proprie necessità. Tradotto questo significa che non possiamo fare finta di niente e relegare l’IT in secondo piano; per esempio:
- i backup devono essere eseguiti, replicati e devono essere ripristinabili,
- il firewall deve essere gestito da personale qualificato e non installato ed abbandonato a se stesso,
- le connessioni da remoto alla rete aziendale devono avvenire in modalità protetta,
- il flusso dei collegamenti ad Internet deve essere raccolto in appositi file di log e conservato per un adeguato periodo di tempo.
Possiamo provare di avere adottato tutte le adeguate misure di protezione?
Vale l'inversione dell’onere della prova: siamo colpevoli fino a che non proviamo la nostra innocenza.
Ebbene sì, secondo il GDPR siamo noi che dobbiamo dimostrare di essere allineati ai dettami di legge. Il non essere in grado di farlo è già di per sé una ammissione di colpa.
Chi ci verrà a controllare ci chiederà di dimostrargli che abbiamo fatto le cose per bene.
Questo è esplicitamente espresso nel testo e più volte rinforzato come quando si specifica chiaramente che il rischio residuo, se troppo grande, deve essere concordato con l’autorità di riferimento.
Il rischio di cui ci dobbiamo preoccupare è al di fuori della nostra azienda, questo cambia i parametri della valutazione.
Quando nel testo si parla di rischio deve essere chiaro che il rischio è quello di danneggiare la libertà dell’individuo al quale i dati sono correlati.
In altre parole non dobbiamo valutare solamente quanto sia facile che ci buchino la rete o ci rubino i dati, ma anche che cosa può accadere se quei dati vengono usati male nei confronti del soggetto al quale sono riferiti.
Le sanzioni vengono applicate per ogni punto specifico, e rimane il danno arrecato a terzi.
Molti di noi non hanno chiaro il fatto che la struttura delle sanzioni previste dal GDPR non ci garantisce di coprire tutte le inadempienze con una sola sanzione. Rischiamo di riceverne più di una nel caso di una multinazionale o se trovati in carenza su più aree (ndr: firewall e backup sono in regola?), ed in ogni caso le sanzioni fanno riferimento alla non attuazione della normativa, ma non coprono i danni procurati alle persone alle quali i dati sono riferiti, e le eventuali cause civili e/o penali associate.
I soggetti non sono solo i nostri clienti.
Il GDPR fa riferimento ai cittadini e residenti in UE. in questa categoria rientrano non solo i nostri clienti, ma anche i contatti di marketing, i fornitori, i dipendenti, etc.
Un semplice test.
Noi siamo pronti per sopportare l'entrata in vigore del nuovo Regolamento europeo, ed abbiamo messo a punto un semplice test per scoprire se anche voi lo siete, è sufficiente scaricarlo cliccando qui.
Le premesse fatte sono state sufficienti?
Allora vi auguro una buona lettura del GDPR:
Dario Bruno