GDPR in breve
Cosa cambia realmente
Si parla di GDPR da ormai molti anni, ma nelle aziende italiane c’è ancora poca consapevolezza sul tema. La raccolta dati amatoriale a fini commerciali non è più tollerata: ecco come adeguarsi, evitando una multa salata
Il GDPR, acronimo di General Data Protection Regulation, è entrato in vigore nel 2016. L’Unione Europea, visto l’approccio nuovo e innovativo alla protezione dei dati personali, ha concesso due anni di tempo alle aziende europee per adeguarsi ai nuovi standard. Se ad alti livelli le nuove direttive sembrano essere state recepite – seppur con eccezioni molto grandi – fra le piccole e medie imprese regna ancora tantissima confusione.
Il motivo è molto semplice: le normative italiane sulla Privacy, stilate alla fine degli anni Novanta, non erano adatte a normare l’esplosione digitale che sarebbe seguita negli anni successivi. Il risultato era sotto gli occhi di tutti: pur barrando caselle e firmando informative, l’utente non era mai davvero consapevole di come venissero trattati i propri dati.
Il GDPR tenta di risolvere questo tipo di problematica introducendo i concetti di trasparenza, prevenzione, territorialità e semplicità.
I quattro pilastri del GDPR: cosa significano?
Partendo da queste quattro definizioni è possibile capire meglio quali sono le modifiche introdotte rispetto al precedente Codice della Privacy. Al primo posto c’è ovviamente la trasparenza. Lo scopo del Regolamento è proprio quello di rendere consapevole il cittadino su come vengono utilizzati i dati personali. Ciò significa che, in ambito web, è vietato chiedere un consenso generico al trattamento: sarà necessario offrire una scelta multipla, in modo da rifiutare alcune autorizzazioni, ma concederne eventualmente altre. Il consenso, poi, non è permanente: il GDPR obbliga le aziende a prevedere un modo semplice per gestire eventuali revoche e richieste di cancellazione dei dati.
Fondamentale anche e soprattutto la prevenzione. Con lo spostamento progressivo delle nostre vite nel mondo digitale, i dati personali sono una miniera d’oro per criminali informatici o malintenzionati. Eventi come i data breach sono da evitare a qualsiasi livello. Ciò significa che l’azienda deve poter dimostrare di aver fatto il possibile per tutelare i dati personali conservati. Di conseguenza i database dovrebbero rispettare requisiti molto rigidi e l’utente deve essere avvisato entro 72 ore in caso di violazione.
Molto interessante, soprattutto per le grandi aziende, il concetto di territorialità. Fino a qualche anno fa aziende e multinazionali con sede all’estero godevano di una certa immunità sul trattamento dei dati personali. Il GDPR ha stabilito che ogni azienda operante in Europa (anche se con sede legale all’esterno dell’Unione Europea) deve rigorosamente rispettarne i dettami. In altre parole, il dato è visto come un bene prezioso del cittadino che non può essere esportato o trattato altrove senza le dovute garanzie.
C’è poi il tema della semplicità. Il GDPR, anche se percepito in maniera differente, nasce sostanzialmente per semplificare le cose e rendere chiari ruoli e responsabilità. Lo scopo è quello di sensibilizzare le aziende a passare a un modello “privacy by design”, ovvero nativamente rispettoso dei dati personali. Il messaggio è chiaro: non bisogna adattare ciò che già abbiamo, ma ricominciare da zero.
Le figure introdotte dal GDPR: quali sono?
Il GDPR ha introdotto una nuova figura nell’ambito del trattamento dei dati personali. Rimane ferma la responsabilità del Titolare del trattamento dei dati, ovvero una persona fisica o giuridica che risponda di ogni eventuale contenzioso. A questa si aggiunge quella del DPO (Data Protection Officer). Questa figura è naturalmente consigliata per ogni tipo di attività, ma è strettamente obbligatoria solo per le autorità pubbliche, chi raccoglie dati sensibili e chi monitora gli interessati “su larga scala”.
Il DPO è quindi una figura professionale con un’approfondita conoscenza del diritto e della gestione dei dati personali. Segnala al titolare del trattamento eventuali violazioni sulla gestione e conservazione.
Cosa non fare ed eventuali sanzioni
Alla luce di quanto appena visto, è quindi evidente che la raccolta dati per finalità di marketing dovrebbe essere effettuata in modo serio e conforme alla legge. Molte piccole attività, infatti, utilizzano i dati forniti in fase d’acquisto per finalità di marketing, utilizzano software non adatti per l’invio di newsletter, oppure non hanno ancora aggiornato la propria politica sui web cookie, profilazione e tracciamento.
Si tratta di violazioni più o meno serie che potrebbero sia condurre a un richiamo da parte delle autorità, ma anche a multe salate. Solo nel 2022, infatti, in tutta l’Unione sono state contestate sanzioni per 1,64 miliardi di euro, in costante aumento rispetto agli scorsi anni. Dall’entrata in vigore del Regolamento, infatti, le multe hanno raggiunto il tetto di 2,92 miliardi di euro.
A essere sanzionate sia grandi aziende che piccole aziende. L’Italia, attualmente, occupa il sesto posto nella classifica delle sanzioni elevate. I risultati, però, iniziano a diventare evidenti: il numero dei data breach è in costante diminuzione (il GDPR impone alle aziende di segnalarli tempestivamente agli utenti), e la consapevolezza sull’importanza dei dati sembra crescere.
Qual è il futuro del GDPR?
Sebbene si stia ancora lavorando per diffondere capillarmente il GDPR, già si pensa a quale possa essere il futuro del Regolamento. Una grande incognita è rappresentata dall’Intelligenza Artificiale, come ad esempio il famoso bot ChatGPT. Entro il 2023, infatti, dovrebbe essere pronta una bozza che regoli legalmente ed eticamente le varie Intelligenze Artificiali, ma per ora si sa ancora molto poco.
Cosa può fare Nunau per la tua azienda
Nunau è un’agenzia di comunicazione giovane e dinamica, capace di offrirti tutti gli strumenti per realizzare il tuo progetto digitale.. Il nostro approccio è da sempre aperto e innovativo: siamo pronti a confrontarci con le sfide del futuro per fornire un plus comunicativo ai nostri clienti. Saremo capaci di donare visibilità alla tua azienda e attrarre sempre nuovi clienti. Ti offriremo tutte le soluzioni di cui hai bisogno per rispettare i canoni GDPR. Potremo aiutarti a ideare campagne pubblicitarie rispettose della protezione dei dati personali. Contattaci per saperne di più e organizzare un incontro conoscitivo senza alcun impegno.
Contattaci per una chiacchierata, o incontrarci di persona presso le nostre sedi di Napoli o Milano per spiegarci le tue esigenze e per sentire le nostre proposte in merito.
☞Grazie per averci letto.
