Protezione dei dati: il GDPR compie un anno

 

Cos’è cambiato a un anno di distanza dall’introduzione del regolamento generale sulla protezione dei dati personali, meglio conosciuto come GDPR?

Un anno di GDPR

Il 25 maggio 2018 è entrato in vigore il regolamento europeo 2016/679 che tutela la raccolta, l’elaborazione e la conservazione dei dati personali da parte di pubbliche amministrazioni, imprese e liberi professionisti in ciascuno degli Stati membri dell’Unione europea. Nonostante la lunga gestazione del regolamento, durata oltre quattro anni, il GDPR è diventato in poco tempo un punto di riferimento per le normative sulla tutela dei dati personali. Lo stesso segretario generale della Commissione europea, Martin Selmayr, ha sottolineato in un recente tweet che «un anno dopo l’inizio della sua applicazione, il moderno standard GDPR è seguito in tutto il mondo, in paesi che rappresentano il 42% del PIL e il 34% del commercio mondiale».

Il decreto legislativo 101 del 10 agosto 2018 ha allineato la normativa italiana al nuovo regolamento europeo, a seguito della decisione degli organi di governo di intervenire sull’esistente Codice Privacy anziché adottare un nuovo testo che riflettesse le disposizioni europee. L’entrata in vigore del decreto è stata seguita da un periodo di grazia della durata di un anno, durante il quale le sanzioni amministrative sono state ridotte per dare ad aziende, professionisti e pubblica amministrazione la possibilità di adeguarsi alle disposizioni del GDPR durante la prima fase di applicazione.

 

Il bilancio sulle attività del Garante per la privacy

A maggio 2019 il Garante per la protezione dei dati personali ha presentato la relazione sull’attività svolta nel corso del 2018 che, oltre a illustrare le azioni intraprese dall’Autorità, fa il punto sullo stato di attuazione della nuova legislazione in materia di privacy nel nostro paese. Secondo i dati del rapporto, nel corso del 2018 l’Autorità ha fornito riscontro a oltre 22.800 quesiti, reclami e segnalazioni provenienti dai cittadini e ha emesso 517 provvedimenti collegiali, la maggior parte dei quali riguarda il tema del trattamento e della tutela dei dati personali. La protezione dei dati è stata anche al centro delle 707 violazioni amministrative contestate dal Garante e delle 27 notizie di reato comunicate alle autorità giudiziarie. I reati contestati riguardano principalmente il trattamento illecito di dati, la mancata adozione di misure di sicurezza adeguate, il telemarketing senza consenso, le violazioni di banche dati e l’omessa o inadeguata informativa agli utenti sul trattamento dei loro dati personali.

Anche le 150 ispezioni condotte dal Garante nel 2018 sono state collegate al tema del trattamento dei dati: come si legge nel rapporto, a essere oggetto di particolari accertamenti sono state le società e gli enti pubblici che erogano servizi medico-sanitari tramite applicazioni per smartphone e tablet, le aziende che si occupano di money transfer e le compagnie assicurative che offrono coperture per la responsabilità civile tramite l’installazione di ‘scatole nere’ a bordo dei veicoli degli assicurati. Il dato più significativo, tuttavia, riguarda le sanzioni: nel corso del 2018 l’ammontare delle sanzioni amministrative riscosse per violazioni della normativa sulla privacy ha superato gli 8 milioni di euro, registrando un aumento del 115% rispetto all’anno precedente.

 

I vantaggi per le aziende che hanno investito nella sicurezza

Sebbene il timore di incorrere in sanzioni sia stato il motivo principale che ha spinto le aziende ad adeguarsi al nuovo regolamento, i vantaggi di questo cambiamento di rotta sono stati ben più consistenti del semplice risparmio sulle potenziali sanzioni imposte dal Garante. Secondo le stime contenute nel Data Privacy Benchmark Study elaborato da Cisco, la multinazionale specializzata nella fornitura di infrastrutture di rete, il 59% delle aziende che operano in Europa ha già recepito la normativa, il 29% prevede di farlo entro un anno, mentre il 9% avrà bisogno di oltre un anno di tempo per raggiungere la piena conformità al regolamento. Ma il fenomeno più interessante evidenziato dal rapporto riguarda i benefici sperimentati dalle aziende che hanno investito per salvaguardare i dati dei propri utenti. Le compagnie più solerti nell’allinearsi alla nuova normativa sono state esposte a un rischio significativamente minore di data breach (74% anziché 89%) e anche nei casi in cui si è effettivamente verificata una violazione, le imprese con procedure e infrastrutture conformi al GDPR hanno sperimentato downtime decisamente più brevi rispetto a quelle non conformi (6,4 ore anziché 9,4) e anche il numero medio di record compromessi è stato drasticamente minore (79.000 contro 212.000).

Non sorprende quindi che le aziende preparate a recepire le norme del GDPR abbiano avuto perdite economiche nettamente inferiori anche quando sono state vittime di data breach: solo il 37% di queste aziende ha subito perdite superiori ai 500.000 dollari a causa di violazioni dei dati, mentre fra le aziende meno preparate la percentuale sale al 64%. Questi dati dimostrano che investire nella privacy crea un valore commerciale che va oltre la semplice conformità legislativa e rappresenta un vero e proprio vantaggio competitivo per le aziende.