Il nuovo regolamento privacy

Il regolamento Europeo in materia di protezione dei dati personali (regolamento 2016/679), approvato in data 14 aprile 2016, dà tempo alle amministrazioni pubbliche per mettersi in regola sino al 25 maggio 2018, come ci illustra Gabriele Faggioli, Ad. Partners4innovation S.r.l.

La normativa ha dei contenuti rivoluzionari dal punto di vista dell'impostazione , di quello che vuol dire trattare dati personali: l'approccio “by design” e quindi il progettare il trattamento dei dati di prodotti e servizi, tenendo conto  di quelle che sono le esigenze di sicurezza  e di compliance, costringerà le PA e le aziende a impostare i trattamenti in modo sicuro,  rispetto alla privacy delle persone e dall'altra la richiesta  che tutte le aziende pubbliche e private facciano analisi dei rischi e quindi valutino l'adeguatezza delle misure di sicurezza che andranno ad applicare, rappresentano novità dietro cui la legislazione europea ed italiana era gran parte non abituata.

Questo vuol dire che tutti gli enti pubblici dovranno fare una serie di attività che passano attraverso l'analisi dei propri trattamenti, la scrittura del registro, l'analisi dei rischi, in larga parte si dovrà procedere con una valutazione di impatto e questo al fine di valutare l'adeguatezza delle misure da adottare che non sono più caratterizzate da un minimo di legge, ma invece vengono completamente demandate nella scelta, all'azienda pubblica e privata.
Nel mondo pubblico una novità assoluta è quella del DPO e quindi l'obbligo per tutti gli enti pubblici di avere un Data Protection Office, cioè un responsabile per la protezione dei dati, soggetto che può essere interno o esterno e rappresenta una novità dell'attenzione sul tema perché gli enti pubblici saranno evidentemente tenuti a tenere costantemente monitorata la materia e a verificare la compliance dei trattamenti effettuati.

Tra le altre novità vi è il diritto all'oblio che in qualche modo esiste già oggi, il diritto alla portabilità dei dati, quindi lo spostamento dei dati da un titolare ad un altro a richiesta del cittadino: sono tutti elementi che le pubbliche amministrazioni dovranno valutare e per quanto riguarda la propria competenza ad applicare.

Questo vorrà dire investimenti nel corso del prossimo anno, sia in competenze sia in organizzazione che tecnologie. è  molto difficile poter fare una valutazione sulla complessità del momento senza conoscere i trattamenti singoli degli enti pubblici: è evidente che il mondo sanitario sarà molto più coinvolto di altri settori del mondo pubblico, ma da un punto di vista generale, tutti saranno costretti a fare i conti con questa nuova normativa.

Altro elemento da considerare è la terziarizzazione: in Europa in corso una politica di grossa spinta verso l' esternalizzazione dei servizi informatici e del trattamento dei dati, basti pensare alla politica di sviluppo del cloud che la Commissione europea ha lanciato nel 2012 come orizzonte di 8 anni.  Il regolamento europeo spinge molto verso il trust, la fiducia dei servizi esternalizzati ed attribuisce ai responsabili del trattamento delle società esterne su cui ci si avvale, sia come enti pubblici che privati del trattamento dei dati, una responsabilità solidale, quindi una responsabilità diretta per le conseguenze di eventuali violazioni di legge o di violazione delle istruzioni ricevute.
 Questo vuol dire che oggi le pubbliche amministrazioni possono scegliere in maniera sempre più tranquilla se tenere in casa i trattamenti o semplicemente affidarsi all'esterno, valutando quelle che sono le caratteristiche dei provider e facendo la scelta più adeguata.

Questi saranno temi che nel prossimo anno saranno oggetto di grande attenzione, su cui si faranno progetti molto importanti di cui molti sono già partiti e l'attenzione, viste anche le conseguenze sanzionatorie che il regolamento ha per adesso abbozzato con i massimali con cui si arriva a 20 milioni di euro, si tratta sicuramente di una normativa di grandissima importanza e di grandissimo interesse.

Fonte RAI.it