GDPR

Cos'è

Il GDPR (General Data Protection Regulation, Regolamento UE 2016/679) è il regolamento europeo sulla protezione dei dati personali, in vigore dal maggio 2018 in tutti gli stati membri senza bisogno di leggi nazionali di recepimento, essendo appunto un regolamento e non una direttiva. Stabilisce i principi con cui un'organizzazione può raccogliere e trattare dati personali — liceità, minimizzazione, limitazione della finalità, esattezza, conservazione limitata nel tempo — e i diritti riconosciuti agli interessati: accesso ai propri dati, rettifica, cancellazione (il cosiddetto "diritto all'oblio"), portabilità verso un altro fornitore. Sul piano organizzativo impone obblighi precisi e verificabili: nomina di un DPO (Data Protection Officer) dove richiesto dalla natura del trattamento, un registro dei trattamenti sempre aggiornato, valutazioni d'impatto (DPIA) per i trattamenti a rischio più elevato, e notifica delle violazioni di dati personali entro 72 ore dalla scoperta.

Perché conta

Anche se non è una normativa di cybersecurity in senso stretto, il GDPR impone misure di sicurezza "adeguate al rischio" (art. 32) che si sovrappongono in buona parte a quelle richieste da normative più recenti come la NIS2: cifratura dei dati, controllo rigoroso degli accessi, capacità di ripristino in tempi ragionevoli, test periodici delle misure adottate. Chi ha già lavorato sulla conformità GDPR parte quindi da un vantaggio concreto quando deve affrontare la NIS2, non da zero. Le sanzioni, fino a 20 milioni di euro o il 4% del fatturato globale annuo (si applica l'importo più alto tra i due), sono tra le più severe nel panorama normativo europeo, e non sono affatto teoriche: negli ultimi anni sono arrivate a colpire anche PMI, non solo le grandi multinazionali che fanno notizia. I controlli reali, nella mia esperienza osservando i casi pubblicati, sono spesso innescati proprio da un data breach mal gestito o da un reclamo di un interessato, molto più che da un'ispezione a sorpresa senza motivo scatenante.

Cosa cambia davvero per un'azienda che lo prende sul serio

Nella pratica il GDPR per un'azienda medio-piccola non significa scrivere un faldone di policy che nessuno legge più dopo la firma iniziale. Significa sapere rispondere, in ogni momento, a domande semplici: che dati personali trattiamo, dove sono fisicamente conservati, chi vi accede, per quanto tempo li teniamo, e con quale base giuridica lo facciamo. Se non sai rispondere a queste domande al volo, il resto — informative, registro dei trattamenti, DPIA — diventa solo carta scritta senza fondamento reale sotto. Il lavoro tecnico che seguo più spesso è mappare i sistemi che trattano dati personali (CRM, gestionale, email, backup) e verificare che accessi e retention siano coerenti con quanto dichiarato nelle informative — perché è proprio lì, nello scarto tra quello che è scritto e quello che succede davvero nei sistemi, che nasce la maggior parte dei problemi in caso di controllo o di data breach.