In era digitale la quantità di dati personali raccolti e gestiti dalle aziende e il concomitante incremento dei cyber attacchi ha necessariamente portato all’aggiornamento delle regole sulla protezione delle informazioni, avvenuto in Europa con il GDPR. Il nuovo regolamento europeo impone alle aziende di apportare dei significativi cambiamenti nei loro programmi di sicurezza e nelle procedure di gestione dati e infrastrutture ICT. A un mese dall’entrata in vigore sono ancora però molte le aziende ad avere problemi nell’adeguamento.
In considerazione di ciò, guardiamo allora a ciò che il GDPR ha portato con sé, a partire da quali sono i suoi principi fondamentali.
- Il regolamento europeo introduce prima di tutto una chiara distinzione di ruoli e responsabilità tra chi controlla i dati e coloro che li processano. I primi essendo ad esempio un individuo/azienda che prende decisioni sulle attività di processamento dei dati, e si tratta del ‘titolare del trattamento’ o ‘data controller’. I secondi sono invece i soggetti che stipulano un accordo con il controllore per gestire e raccogliere i dati, ovvero il ‘responsabile del trattamento’ o ‘data processor’.
- Il GDPR estende quindi la portata della definizione di ‘dati personali’, includendo nomi, contatti, numeri e luoghi dei documenti di identità, così come indirizzi IP, cookies e transazioni digitali.
- La normativa assegna poi il ruolo di Autorità di protezione dei dati personali a un unico garante per Stato membro, responsabile dell’applicazione del GDPR e dell’obbligo per tutte le aziende di notificare qualsiasi data breach ai consumatori entro 72 ore dalla scoperta, oltre a riportare il fatto all’autorità garante competente.
- Viene inoltre riconosciuto il diritto degli utenti di accedere alle proprie informazioni memorizzate, o precedentemente rilasciate, e di ottenere queste informazioni in un formato scritto in chiaro e facilmente trasferibile, per poterle trasferire a un altro controllore di dati.
Vi sono infine aumenti delle sanzioni per inadempienza alle prescrizioni del GDPR, relative in particolare a protezione dei dati e notifica di possibili data breach, pari a 10 milioni di euro, o il 2% del fatturato annuo della compagnia, e 20 milioni, o il 4% del fatturato annuo, in caso di violazioni più serie.
Infine, alcune regole per non temere il GDPR, con invito a pensare che la normativa rappresenta per le PMI una opportunità concreta di migliorare i propri programmi di sicurezza, pur mantenendosi all’interno dei budget a disposizione.
- In primo luogo, ogni organizzazione deve essere chiaramente consapevole del tipo di informazioni che detiene, raccoglie e processa, di dove conserva i dati, di chi può accedervi e come vengono protetti.
- In secondo luogo, le imprese e gli altri enti devono capire bene i rischi cyber cui sono esposte, valutare le misure tecniche e politiche di sicurezza esistenti, inclusa la strategia di risposta agli incidenti e i piani di continuità di business dopo una interruzione. Risorse umane e finanziarie adeguate devono essere allocate per minimizzare i rischi cibernetici, assicurandosi che tutti i dipendenti siano preparati e aggiornati sul GDPR, sulle modalità di protezione dei dati e di segnalazione di eventuali violazioni.
- Terzo, le organizzazioni dovrebbero poter dimostrare ‘due-diligence’ nella filiera, certificando che tutti i loro fornitori e appaltatori siano conformi al GDPR, onde evitare che questi siano causa di incidenti informatici (third-party breach).
- Infine, se non è necessario raccogliere e conservare tutti i possibili dati personali dei propri consumatori per ragioni di business, meglio allora non raccoglierli proprio, o cancellarli una volta che il loro trattamento non serva più.
La nuova normativa, guardata infine nel suo insieme e nel contesto globale, seppure per molti al momento comporti oneri e sforzi per rincorrere la compliance, rappresenta infine uno standard rivoluzionario per un sistema di protezione dei dati dalle minacce informatiche efficace. Un sistema europeo che potrebbe essere in futuro preso ad esempio anche da altri Paesi nel mondo.