Protezione dei dati e GDPR: le ragioni di un mercato unico per l'economia digitale

Il nuovo regolamento della protezione dati dell’Unione Europea (GDPR), approvato nel 2016 e in vigore dal maggio 2018 mette in discussione la gestione dei dati da parte di provider ed aziende di ogni ordine e grado. Se da una parte l’obbligo della compliance fa riflettere sulle possibili ripercussioni di ordine economico che tale disposizione può innescare in termini di limitazione della data economy, la cui visione europea si contrappone da sempre al modello più spregiudicato che si è andato affermando nell’economia a stelle e strisce, dall’altra pone questioni pratiche sul modo in cui il GDPR debba essere gestito a livello tecnologico per poter garantire quanto formulato dal diritto europeo.

Si richiamano spesso a questo proposito la capacità di avere a disposizione soluzioni per la gestione di dati che rispondano a due fondamentali novità: il diritto all’oblio, ovvero la legittimità del singolo individuo di richiedere la cancellazione definitiva dei dati e l’obbligo di rendere pubblici attacchi informatici che abbiano provocato data breach, manomissione o compromissione dei dati. Le aziende devono sapere dove risiedono i dati, ovunque essi siano, e avere la possibilità di accedere in modo univoco e intelligibile, nei formati prescritti, alle informazioni.

Ma qual è il rapporto tra tecnologia e protezione dei dati? Le misure che devono essere adottate necessitano di soluzioni di data management di nuova generazione così come di soluzioni di sicurezza emergenti, di intelligence security, che vadano al di là della sicurezza infrastrutturale implementata a difesa del perimetro d’impresa? Dipende essenzialmente qual è il punto di partenza e aggiornamento tecnologico che le singole organizzazioni evidenziano allo stato attuale. Soprattutto, dipende da quanto un’azienda ha investito sul fronte della compliance e da quante risorse sono state sinora dedicate alla gestione dei dati.

Problematiche, quelle di cui sopra, che trovano un livello di attuazione assolutamente diverso a seconda che si prendano in esame grandi organizzazioni o Pmi, le prime più attrezzate a gestire problematiche di questo tipo, le seconde più vulnerabili. Dove esiste la presenza di un chief data officer o nella migliore delle ipotesi una figura a lui complementare ovvero quella di un data protection officer appare evidente che la roadmap al GDPR appare più soft. Più complicato invece per tutti coloro che hanno sinora gestito in modo random tutti le problematiche che sottende la nuova forma giuridica dell’Unione Europea.

Le aziende che offrono tecnologia, soluzioni e servizi per  soddisfare la compliance della protezione di dati devono poter dare risposte a tutte queste domande, in modo chiaro e trasparente. Non è una questione prettamente tecnologica. Altrettanto, se non più importante,  è avere una chiara visione delle implicazioni che vengono sollevate all’interno di ciascun settore di attività. Possono gioire i consulenti legali che si trovano ad avere un campo d’azione prima inimmaginabile. Stiamo pur certi che quest’ultimo aspetto avrà una sua rilevanza nella competizione che si giocherà nel complesso mondo della data economy di cui è espressione il GDPR.

E’ inevitabile essere giunti alla formulazione di una nuova disposizione per la privacy dei dati in quanto si va sostanzialmente a modificare un impianto normativo datato. Internet, social network, cloud computing, mobile, big data, tutte queste ondate tecnologiche hanno radicalmente modificato lo scenario di mercato. In particolare si rileva come la dispersione geografica dei dati, tipica di un economia digitale globalizzata, implichi il passaggio dei dati da una giurisdizione a un’altra, anche al di fuori dell’UE.

“La rapidità dell’evoluzione tecnologica e la globalizzazione hanno mutato profondamente la portata e le modalità di raccolta, consultazione, uso e trasferimento dei dati personali”, si legge in un documento informativo dell’Unione. “Esistono diversi buoni motivi per rivedere e migliorare le norme attuali, adottate nel 1995: il carattere sempre più globale dei flussi di dati, il fatto che le informazioni personali siano raccolte, trasferite e scambiate a livello globale nel giro di pochi millisecondi e la nascita dei servizi di cloud computing”.

Secondo l’UE il nuovo regolamento favorirà l’economia digitale e offrirà l’opportunità di raggiungere un primo livello di omogeneità. “Oggi le imprese dell'UE devono operare in base a 28 normative diverse sulla protezione dei dati, si afferma. Questa frammentazione è un costoso onere amministrativo che ostacola l'accesso di molte aziende, soprattutto delle PMI, a nuovi mercati. La riforma ridurrà la burocrazia. Il regolamento introdurrà un'unica normativa paneuropea per la protezione dei dati: le imprese dovranno quindi rispettare una sola legge, e non 28 diverse. Le nuove regole porteranno benefici stimati a 2,3 miliardi di euro all'anno”.

Ricadute positive potrebbero derivare in termini di aumento della domanda digitale. “La riforma della protezione dei dati aiuterà le imprese a riconquistare la fiducia dei consumatori nei servizi offerti. A questo proposito si cita un sondaggio di Eurobarometro del 2015, secondo il quale otto persone su dieci ritengono di non avere il pieno controllo dei loro dati personali.

La semplificazione del commercio che può indurre il GDPR è infine espressa con un semplice esempio. “Una piccola agenzia pubblicitaria vorrebbe espandere le proprie attività dalla Francia alla Germania. Al momento le sue attività di trattamento dei dati sono soggette a una serie distinta di norme in Germania e l'agenzia dovrà operare con un nuovo regolatore. I costi dell'assistenza legale e dell'adattamento dei modelli commerciali per accedere a questo nuovo mercato potrebbero essere proibitivi. Le nuove regole elimineranno l'obbligo di notifica e i relativi costi eliminando costi e facilitando l'espansione delle attività delle imprese in tutta Europa”.