GDPR, i falsi miti da sfatare

Dal 25 maggio 2018 è entrato in vigore in via definitiva il nuovo Reg.to UE n. 679/2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione degli stessi.

Ormai è tardi per dire che non lo sapevamo(!)

Dal punto di vista pratico, tralasciando le mere difficoltà interpretative più e più volte analizzate da esperti teorici in materia, l’esperienza ha insegnato che la maggior parte delle imprese e dei professionisti non sono a conoscenza degli obblighi legati al corretto trattamento dei dati personali e, addirittura, non lo erano nemmeno in virtù del precedente D.lgs. 196/2003 e ss. mm. ii.

Spesso e volentieri le imprese e i professionisti che richiedono un’analisi pre-adeguamento sollevano eccezioni del tutto infondate; a mero titolo esemplificativo, ma non di certo esaustivo, il fatto che i loro clienti non siano persone fisiche ma persone giuridiche e che, dunque, non vi sia necessità di alcun adeguamento GDPR.

Invero, non è sufficiente soffermarsi solo sulla questione clientela, ma ciò che deve essere concretamente analizzato è tutto l’asset societario. L’impresa o il professionista ha dei dipendenti? È titolare di un sito web? Usufruisce di pagine social a fini promozionali? Queste sono le principali domande che le imprese ed i professionisti devono porsi per comprendere realmente se possono devono essere GDPR compliance o meno.

È sufficiente, dunque, un solo dipendente, un sito web attivo, una pagina social aperta, per rendersi – anche indirettamente – titolari del trattamento dei dati personali di persone fisiche.

Ad oggi, forse, l’unico spiraglio derogatorio della disciplina, peraltro già smentito dal Garante della Privacy Italiano, è l’attesa dell’approvazione del Decreto Attuativo che abrogherà definitivamente il vecchio T.U. sulla Privacy, lasciando così spazio al nuovo Reg.to UE. Ciò, a ben vedere, non potrà comunque essere usato come pretesto per un omesso o tardivo adeguamento. L’indifferenza non paga, è necessario adeguarsi quanto prima.

Ogni impresa ed ogni professionista, pertanto, dovrà necessariamente comprendere – grazie anche all’ausilio di un consulente legale ad hoc – quali siano le manovre, informatiche e non, necessarie per essere completamente GDPR compliance ed evitare le esigue sanzioni che, sino ad oggi, non hanno mai trovato spazio alcuno nel nostro ordinamento. Tali sanzioni, è utile sottolineare, verranno applicate a prescindere dal furto o dalla violazione dei dati personali trattati dall’impresa o dal professionista; ciò che andrà preventivamente dimostrato è la diligenza nella conservazione e la prova effettiva di aver attuato tutte le misure minime necessarie a garantire una corretta protezione dei dati.

L’uomo è una creatura che sa presto, ma mette in pratica tardi diceva Goethe, il troppo tardi non salverà dal triste destino di chi, pur consapevole delle incombenze, ha disatteso la normativa voltandole le spalle.

Dott. Luca Gambirasio
Privacy Officer