Protezione dei dati: a 107 giorni dal Regolamento europeo è ancora molto alto il numero di imprese “non compliant”

Ad appena 107 giorni dall’entrata in vigore del Regolamento Ue 2016/679 (General Data Protection Regulation – Gdpr) sulla protezione dei dati sensibili delle persone fisiche, professionisti e imprese cercano informazioni e soluzioni per gestire i dati rilevanti nel modo più sicuro e in linea con le nuove disposizioni (che sostituiscono integralmente, e in modo unitario a livello europeo, le normative nazionali, in particolare in Italia il Codice per la protezione dei dati personali, il D.Lgs 196/2003). Entro il 25 maggio i titolari del trattamento, oltre a strutturare e organizzare la raccolta e gestione dei dati – come già avviene – dovranno soprattutto identificare nuovi profili professionali, competenze e responsabilità all’interno di ogni organizzazione, pubblica e privata.

Per gestire al meglio i nuovi adempimenti l’Ordine degli avvocati e la Fondazione Forense di Milano – sulla scia dei primi eventi realizzati nel 2016 e nel 2017 – hanno organizzato un corso avanzato, accreditato ai fini della formazione e dell’aggiornamento professionale continuo, che si svolgerà in due sessioni pomeridiane, martedì 20 febbraio e 6 marzo dalle 14,30 alle 18, nella Sala Conferenze “Eligio Gualdoni” dell’Ordine degli avvocati, nel Palazzo di giustizia di Milano. Il corso è affidato a tre avvocati esperti della materia: Maria Grazia Monegat, Consigliere dell’Ordine degli avvocati di Milano, Giovanna Raffaella Stumpo, formatore e auditor ISO9001 per studi legali, e Vincenzo Colarocco, capo Dipartimento protezione dei dati personali, compliance e sicurezza informatica dello Studio Previti. Il corso è rivolto a un massimo di 50 avvocati che già ricoprono il ruolo di managing partner o di responsabile organizzativo e compliance; o responsabile del trattamento, in quanto titolare dello studio o incaricato in uno studio associato; o infine agli avvocati attivi nella consulenza privacy rivolta a imprese e pubbliche amministrazioni (informazioni sulla piattaforma Sfera del sito dell’Ordine: http://pubblico.sferabit.com/servizi/eventi/index_eventi_pubblici.php?id=1080).

«L’intera disciplina della privacy ha come finalità la protezione delle persone, in un quadro di tutela dell’individuo: l’avvocato – garante dei diritti di libertà, inviolabilità ed effettività della difesa – è il professionista che prioritariamente deve conoscere e applicare le nuove norme – spiega Maria Grazia Monegat -. Deve perciò attrezzarsi in vista dell’entrata in vigore del Gdpr, non solo per evitare i rischi connessi alla mancata protezione dei dati, ma anche e soprattutto per cogliere l’opportunità di dotarsi di qualificate competenze da offrire alla clientela».

«Il Regolamento europeo sulla protezione dei dati personali nasce come conseguenza di due fattori: la sempre maggiore sensibilità per la protezione dei dati personali, il continuo incremento del cyber rischio – osserva Vincenzo Colarocco -. Sempre più spesso i nostri dati sono oggetto di cyber attacchi, con un incremento dell’8,35% nel primo semestre 2017 rispetto al semestre precedente, secondo il Rapporto 2017 sulla sicurezza Ict del Clusit, l’Associazione italiana per la sicurezza informatica». Da qui l’esigenza di adeguare la protezione dei dati personali all’evoluzione tecnologica e all’aumento dei volumi di dati scambiati, in area Ue e all’esterno, garantendo ai cittadini trasparenza e controllo sui propri dati. «Il processo di adeguamento al Gdpr ha diversi impatti economici per ogni azienda e pubblica amministrazione – aggiunge l’avvocato Colarocco – a cominciare dai costi di gestione di carattere tecnico-legale e organizzativo per mitigare i danni ed evitare che si ripetano. C’è poi il rischio di sanzioni elevate. Si pensi alla violazione dei dati (data breach) che può costare sino a 20 milioni di euro o al 4% del fatturato mondiale del gruppo, se superiore; oltre ai danni conseguenti e indiretti: da quello d’immagine alla diminuzione della clientela, per il venir meno della fiducia sulle capacità dell’azienda di gestire i dati che le sono affidati».

Secondo un studio di settore i danni provocati dagli attacchi informatici in Italia possono portare le aziende sia a perdite di fatturato che di clientela, ben oltre i costi di adeguamento. Si aggiunga anche che la non corretta gestione del dato costa alle aziende ritardi nelle vendite sino a due mesi. Gli investimenti richiesti dal Gdpr (in consulenze, personale, infrastrutture IT, processi, ecc.) riducono il rischio di danni maggiori ed accrescono la consapevolezza, la trasparenza e la sicurezza nel trattamento dei dati personali.

Sul piano metodologico-organizzativo, e con particolare riferimento all’Italia, il Regolamento privacy introduce una vera e propria svolta culturale, afferma Giovanna Raffaella Stumpo: «Ci attendiamo una risposta attiva dai principali players di mercato (Pubbliche amministrazioni, aziende di prodotto e servizi), per superare il modello organizzativo, ormai obsoleto, dell’attuale Codice in materia di protezione dei dati personali. Si passa dalla somma di adempimenti obbligatori a un approccio “per processi”, alla protezione dei dati in ottica Risk Based». In tutti i principali settori merceologici di riferimento cresceranno gli investimenti in Ict security, attualmente stimati in quasi un miliardo di euro, secondo il citato Rapporto Clusit 2017: importo elevato, ma inadeguato per la sicurezza dei beni e servizi Ict, il cui valore ammonta a 66 miliardi di euro. «Tutto questo apre nuove prospettive per la consulenza in materia di tutela dei dati personali, anche per il settore delle attività professionali non regolamentate, alle quali sono indirizzate specifiche norme tecniche per qualificare le competenze di nuovi profili professionali», conclude l’avvocata Stumpo.