Il Garante della privacy rassicura sull'impatto del regolamento al via dal 25 maggio "Niente proroghe, ma in avvio occorreranno un po' di duttilita' e di buon senso" (Intervista ad Antonello Soro, Presidente del Garante per la protezione dei dati personali)

C'e' una data che non lascia dormire sonni tranquilli: e' il 25 maggio 2018, quando entrera' in vigore il temuto Gdpr, il Regolamento europeo per la protezione dei dati personali. Riguarda tantissime realta' che, oltre a non avere le idee chiare sui nuovi oneri, non sono preparate. Ne abbiamo parlato con Antonello Soro, presidente dell'Autorita' Garante della privacy.

Che cosa cambiera' con il Gdpr?

"Si tratta di un regolamento, e in quanto tale e' direttamente applicabile in ogni suo elemento, per il quale non sono previsti atti di recepimento da parte degli Stati, e uniforma le norme in tutta la Ue. Per la prima volta introduce una disciplina organica di un diritto fondamentale come quello della protezione dei dati personali e sistematizza le tutele necessarie in un ambito territoriale tanto vasto. Si applica non solo ai titolari di trattamento con sede nella Ue ma anche a quelli che, pur avendo sede in Paesi terzi, offrono servizi o monitorano il comportamento di persone che si trovano nella Ue. Cio' comporta una efficacia che nella societa' digitale e' decisiva".

Onere o valore aggiunto?

"Il Gdpr ha un approccio per certi versi rovesciato rispetto alla norma precedente: affida al titolare l'onere di valutare, in prima istanza, il grado di tutele adeguato ai propri trattamenti, mentre l'autorita' garante ha un ruolo successivo di verifica. Questa innovazione e' stata percepita inizialmente come una responsabilita' aggiuntiva, forse un onere, ma in realta' e' una novita' positiva. Occorre responsabilizzarsi perche' i dati non sono cifre aride inserite in un computer, ma tessere di un mosaico che ricompone noi stessi e il cui uso illecito puo' esporci a pericolo. E la capacita' di protezione e' un sinonimo di buona impresa, di competitivita e buona reputazione. Un'impresa che non sa proteggere il proprio patrimonio informativo tendenzialmente si trovera' emarginata dal mercato perche' da una parte sara' vulnerabile ad attacchi informatici e furti di identita', dall'altra avendo indebolito le garanzie offerte su questo terreno ai clienti, sara' meno competitiva".

La nuova figura del Dpo?

"Impresa e pubblica amministrazione hanno interesse a organizzare l'attivita' in maniera coerente con le nuove norme, hanno quindi bisogno anche di una nuova professionalita' in grado di assicurare l'adeguatezza delle misure adottate a tutela dei dati. Il Dpo, in questo senso, e' una figura centrale, in quanto deve mettere il titolare in condizione di dimostrare di aver fatto tutto quel che era necessario. Questo soggetto non solo lavora all'interno dell'impresa, ma e' anche l'interlocutore privilegiato nei confronti del Garante".

L'impressione e' che molti non siano pronti.

"Lo sento dire, ma vorrei ricordare che tutti abbiamo avuto due anni di tempo per prepararci a questo appuntamento. E il regolamento Ue non e' di quelli che nascono col pensiero recondito di poterne spostare la data di applicazione. E' una norma europea di diritto primario che, in quanto tale, prevale sulle norme nazionali ed e' applicabile a decorrere da due anni dall'approvazione, cosi' da consentire ai titolari di prepararsi per tempo. Se poi qualcuno ha atteso l'ultima settimana, chiaro che avra' qualche difficolta' in piu'".

C'e' paura per i costi.

"Chiaro che non e' un problema che dobbiamo porci noi, ma e' l'imprenditore a doversi chiedere se ritenga piu' importante l'aspetto della gestione dei dati o la... sponsorizzazione della societa' di calcio. Si continua a pensare che mettere in regime di protezione i dati sia solo un onere burocratico. No, e' un investimento. Sarebbe come se uno che fa impresa decidesse di lasciare aperto la notte l'ingresso dell'azienda. Proteggere i dati significa proteggere l'essenza piu' importante dell'attivita'".

Piccoli e grandi realta' avranno uguali impegni?

"So dei timori delle piccole imprese. Ma il Gdpr prevede una serie di vincoli piu' significativi per le imprese di dimensioni importanti, ad esempio quelle oltre i 250 dipendenti tenute, tra l'altro, all'adozione del registro dei trattamenti. Poi c'e', a scalare, un uguale impegno per le aziende anche minori quando trattino dati sensibili o giudiziari o comunque con modalita' caratterizzate da particolari rischi. Faccio un esempio: non si possono porre sullo stesso piano un parrucchiere e un laboratorio di analisi. Per cui il regolamento ha previsto una modulazione degli obblighi dei titolari in ragione delle caratteristiche del trattamento. Inoltre il decreto legislativo di adeguamento dell'ordinamento interno al Gdpr, nella versione approvata dal Consiglio dei ministri, prevede un'ulteriore semplificazione per le micro, piccole e medie imprese, rimettendo al garante la previsione di ulteriori semplificazioni".

Spaventa l'entita' delle sanzioni.

"Sono giustamente proporzionate al rischio che comporta il trattamento dei dati nella societa' digitale. E' singolare quello che affermano alcuni osservatori che giudicano troppo deboli le nostre misure nei confronti di Google o Facebook, ma poi si sollevano criticita' sulle cornici edittali previste in via generale in questa materia".

Sara' pugno duro da subito?

"Abbiamo fatto decine di incontri, tanta comunicazione, ma siamo consapevoli che nella fase di avvio occorrera' un po' di duttilita' per governare col buon senso questo cambiamento. Niente proroghe, comunque".

Fonte: La Nuova Sardegna (di Antonello Palmas, "La Nuova Sardegna", 20 aprile 2018)