Proseguono nelle aziende i lavori di adeguamento al GDPR, anche se il termine per la piena applicabilità di quanto prescritto dalla nuova normativa europea sulla protezione dei dati personali è di fatto già passato. Molti sono infatti i progetti ancora in corso, e molte le sfide che le aziende stanno ancora fronteggiando.

Tra queste, le principali riguardano l’avere i registri dei trattamenti pronti, aver posto in essere l’analisi dei rischi e aver valutato l’adeguatezza delle misure di sicurezza adottate in azienda. Serve quindi aver predisposto la nuova modulistica, soprattutto per quanto riguarda le informative e i consensi, e aver aggiornato i contratti fra clienti e fornitori, in rispondenza a quanto contenuto all’art. 28 del GDPR. Occorre infine aver adottato il nuovo modello organizzativo della data protection, aver nominato il DPO, per chi obbligato o per chi ha scelto di dotarsene, e avere adottato procedure per la gestione dei diritti degli interessati.

Si tratta di attività molto complesse e delicate, in molti casi probabilmente avviate ma non ancora pronte. E la quantità di mail arrivate nei giorni scorsi, che sollecitano consensi in modalità opt-in e opt-out, testimoniano la mole di lavoro ancora in corso. D’altra parte, il legislatore stesso ha difettato in tempestività, dal momento che manca il decreto di adeguamento per quanto riguarda gli elementi del Codice privacy che rimarranno vigenti, lasciati di pertinenza dei singoli Stati membri dal GDPR stesso.

Si stima intanto che tutte queste attività abbiano determinato costi importanti in capo alle aziende: i dati dell’Osservatorio Sicurezza & Privacy del Politecnico di Milano dicono che il 75% delle aziende intervistate (un campione di 160 imprese) ha dichiarato di avere aumentato il budget in sicurezza informativa, e ciò è dovuto in gran parte ai progetti di adeguamento al GDPR. La ricerca rileva inoltre che nel 2017 il 23% delle aziende ha dichiarato di avere un budget con orizzonte pluriennale in tema di sicurezza, e il 35% di avere un budget annuale.

Confersercenti ha quindi fatto una stima dei costi del GDPR per le aziende italiane, parlando addirittura di 2 miliardi di euro, laddove IDC indica costi pari a 200 milioni di euro. Per il 70% del campione di IDC, il costo e la complessità maggiori sono legati all’obbligo di notifica data breach con il GDPR entro 72 ore. A seguire tra le voci di maggior costo compaiono quindi l’implementazione concreta e su larga scala delle soluzioni di crittografia, anonimizzazione e mascheramento dei dati (circa il 60% delle imprese), e altri temi legati alla gestione dei processi, come la gestione del consenso e delle richieste di accesso (SAR, subject access request).