![\"Data](\"\/media\/filer_public_thumbnails\/filer_public\/c6\/e9\/c6e93b6f-25ee-41c5-97c4-38fd4664a248\/data_privacy_toffoletto_de_luca_tamajo.jpg__560x0_q85_crop_subsampling-2_upscale.jpg)
<\/picture><\/p>\nOrmai \u00e8 cosa nota: mancano poco pi\u00f9 di tre mesi all\u2019efficacia del nuovo Regolamento Generale sulla Protezione dei Dati<\/strong> (cd. GDPR<\/strong>).<\/p>\n Quello che colpisce, ad oggi, \u00e8 che \u2013 come pare confermato anche da alcuni dati che circolano in rete \u2013 risultano molte le aziende che non hanno ancora provveduto a mettersi in regola con le disposizioni del Regolamento.<\/p>\n L\u2019impressione \u00e8 che, se da un lato l\u2019offerta di assistenza si \u00e8 moltiplicata arrivando a coinvolgere societ\u00e0 che si occupano pi\u00f9 di servizi IT che non di consulenza legale, dall\u2019altro vi sia una generale tendenza a ritenere che, in qualche modo, la scadenza del 25 maggio<\/strong> valga solo per le big data<\/em><\/strong> e che, almeno nei primi mesi, non vi saranno controlli<\/strong> e sanzioni<\/strong>.<\/p>\n Il Legislatore italiano e il Garante privacy<\/em><\/strong><\/span><\/p>\n Probabilmente questa concezione \u00e8 in parte dovuta anche all\u2019atteggiamento del nostro Legislatore<\/strong> cos\u00ec come a quello del nostro Garante<\/strong>.<\/p>\n Il primo ha posto in essere alcuni interventi (a partire dalla Legge di delegazione europea<\/strong> dello scorso ottobre 2017) ma, da una parte non \u00e8 ancora intervenuto su alcuni aspetti importanti (ad es. la sopravvivenza delle disposizioni del Codice Privacy<\/strong> non incompatibili con il Regolamento), dall\u2019altra il provvedimento pi\u00f9 pregnante emanato sin ora, l\u2019inserimento nella Legge di Bilancio <\/strong>di un silenzio assenso sulle Valutazioni d\u2019Impatto sulla protezione dei dati, rischia di essere in contrasto con il Regolamento laddove il ristretto lasso di tempo (15 giorni) previsto per l\u2019istruttoria e l\u2019eventuale parere negativo non fosse sufficiente ad un\u2019analisi approfondita del trattamento.<\/p>\n Il secondo \u00e8 stato, sino ad oggi, sostanzialmente inattivo (le uniche linee guida organiche restano quelle, peraltro piuttosto generiche, pubblicate a met\u00e0 dello scorso anno), pur stimolato sul punto proprio dalla Legge di Bilancio.<\/p>\n Il ruolo di fornire pareri e indicazioni sulla normativa pare per ora integralmente affidato all\u2019organo competente a livello UE, il Gruppo di Lavoro ex art. 29<\/strong> anche se, lo si ribadisce, su molti punti sarebbero opportuni indicazioni e interventi a livello nazionale.<\/p>\n L\u2019approccio alla privacy <\/em>del GDPR <\/strong><\/span><\/p>\n Eppure non esistono elementi concreti dai quali desumere che vi saranno, per le piccole e<\/strong> medie imprese <\/strong>(di cui il tessuto economico del nostro Paese \u00e8 notoriamente ricco), esenzioni specifiche, maggiore flessibilit\u00e0 o che non vi saranno controlli e sanzioni. Anzi.<\/p>\n La Comunicazione della Commissione al Parlamento Europeo<\/strong> del 24 gennaio scorso parla di un piano di finanziamento dell\u2019UE mirato proprio ad innalzare il livello di consapevolezza <\/strong>proprio di tali operatori in merito agli obblighi previsti dal Regolamento.<\/p>\n In aggiunta, tra le poche indicazioni significative del Garante vi \u00e8 quella di adottare il Registro delle attivit\u00e0 di trattamento<\/strong>, previsto dal Regolamento soltanto per le aziende che impieghino almeno 250 dipendenti<\/strong>, anche al di sotto di tale limite.<\/p>\n Se si considera, poi, che l\u2019approccio al tema introdotto dal GDPR \u00e8 totalmente diverso da quello del Codice privacy allora si comprende che \u00e8 necessario che tutti gli operatori economici si adeguino e in fretta.<\/p>\n Al di l\u00e0 delle novit\u00e0 pi\u00f9 note e sulle quali si \u00e8 detto tanto, come la necessit\u00e0 di introdurre procedure per il caso di data breach<\/em><\/strong> oppure di Valutazioni d\u2019impatto<\/strong>, il nuovo Regolamento impone di scomporre e ridefinire totalmente l\u2019organizzazione aziendale e i processi, ponendo il flusso dei dati e il suo trattamento al centro della vita dell\u2019azienda.<\/p>\n Gli ormai celebri principi dell\u2019accountability<\/em><\/strong>, della privacy by design<\/em> e by default<\/em><\/strong>,<\/em> comportano la necessit\u00e0 di porre in essere misure di sicurezza<\/strong> pi\u00f9 efficaci, cos\u00ec come la creazione di team\/dipartimenti<\/strong> e procedure <\/strong>ad hoc<\/em> (per la gestione della privacy, delle crisi o anche delle richieste degli interessati) oppure l\u2019assegnazione di nuove mansioni<\/strong>, con conseguente modifica degli organigrammi<\/strong>.<\/p>\n