Il GDPR non è tarato per le piccole medie imprese e non livella adeguatamente il mercato. Falliscono dunque gli obiettivi dell’UE

Maggiore competitività

Il GDPR consegna un sistema maggiormente garantista che incide sicuramente in positivo sulla competitività delle imprese europee e incentiva le imprese fuori dall’Europa ad adottare standard simili.
Antonello Soro, presidente del Garante per la protezione dei dati personali, afferma: “Le aziende europee sono impossibilitate a competere, nell'economia digitale, con pochi oligopolisti stranieri, che sino ad ora hanno potuto continuare ad accrescere i loro profitti grazie anche alle minori garanzie accordate, nei loro Paesi, ai dati degli utenti. Dall'altro, obbligando le società straniere ad adottare standard di tutela analoghi a quelle europee, dovrebbe spingere a un riequilibrio del mercato dei dati, favorendo così la concorrenza nel rispetto della privacy" (Giovanna Gueci, "Privacy, più tutele nella società digitale" - Intervista ad Antonello Soro, “Il Quotidiano del Sud”, I aprile 2018, consultata sul sito “garanteprivacy.it”).

Una presa di coscienza: l’accountability

Il regolamento europeo introduce un concetto molto importante, fulcro di tutto il testo, il principio di “accountability”. Titolare e responsabile del trattamento sono responsabilizzati nella corretta conservazione del dato, che deve avvenire con modalità ben definite, dopo un’attenta valutazione del rischio. Essi devono inoltre essere pronti a rispondere alle richieste dell’interessato in termini molto brevi e agli eventuali controlli dell’Autorità garante. Giovanni Buttarelli, presidente del Garante europeo, afferma: “Le aziende devono prendersi le loro responsabilità in termini di accountability e trasparenza, con policy interne ben definite, senza aspettare di fare il compitino sotto dettatura per ogni singolo dettaglio normativo da parte delle autorità” (Paolo Anastasio, Garanti privacy Ue, pochi soldi e personale scarso. Ma il nuovo regolamento è dietro l’angolo, “privacyitalia.eu”, 10 aprile 2017).

 

Maggiori investimenti in sicurezza

Investire in sicurezza diventa quindi fondamentale, un investimento non fine a se stesso e che, nel lungo termine, porta benefici consistenti per le singole imprese e per l’intera economia. Non bisogna agire sulla difensiva per evitare sanzioni, ma programmare e progettare interventi di ristrutturazione aziendale.
Giuseppe D'Acquisto, funzionario direttivo del Garante Privacy e relatore del parere adottato dai Garanti Europei sui sistemi di traporto intelligenti C-ITSG, afferma: “Dovremmo vedere gli investimenti in sicurezza innanzitutto come una leva per attirare investimenti molto più grandi, e non come un modo per difendersi da perdite o attacchi. Questa è la vera sfida per la sicurezza come principio: la sicurezza per la produttività e la concorrenza” (Giuseppe D’Acquisto, GDPR, perché investire in sicurezza: il nuovo approccio basato sul rischio, “agendadigitale.eu”, 25 maggio 2018).

Investire sulle competenze dentro l’impresa

La sfida più importante del GDPR è quella di responsabilizzare l’impresa che deve trovare, al suo interno, le figura adatte che si occupino di privacy. Oltre al responsabile del trattamento che deve essere nominato dal titolare con atto di nomina o contratto, sarebbe opportuno dotarsi di strumenti informatici di protezione e di registri per il trattamento dati. Per le aziende che necessitano del Data Protection Officer, sarà in genere necessario riferirsi a soggetti esterni all’impresa, con professionalità specifiche, anche per evitare conflitti di interessi.
Elena Ferrari, docente di Informatica presso il Dipartimento di Scienze Teoriche e Applicate presso l’Università degli Studi dell’Insubria, dichiara: “Bisogna investire inoltre sulle competenze: servono persone con una preparazione tecnica di livello per affrontare queste complessità e la volontà di investire su di esse, anche in realtà medio piccole e non solo in grandi aziende. Le sfide in settori di grande rilevanza come la cybersecurity e la tutela privacy non si possono infatti vincere esternalizzando completamente la loro gestione” (Elena Ferrari, GDPR: un approccio unificato alla tutela della privacy e alla gestione del rischio cyber, “agendaditale.eu”, 30 maggio 2018).

Un regolamento che fa paura

L’Unione Europea, con l’emanazione del regolamento, ha cercato di uniformare le discipline giuridiche dei singoli Stati membri in un’ottica di semplificazione della normativa, tuttavia, dai primi risultati, sembra aver ottenuto il risultato opposto. Non si nota infatti una semplificazione nelle procedure e una rassicurazione dei protagonisti, che anzi si trovano a rincorrere, presi da molti punti interrogativi, un dettato normativo che incombe sempre più con sanzioni spropositate.
Nicola Bernardi, presidente di Federprivacy, aggiunge: “Il rischio più grosso per le aziende italiane è però quello di recepire in modo negativo la nuova normativa sulla privacy, come se fosse l’ennesimo fardello dettato da Bruxelles che ci impone regole su regole, finendo per penalizzare l’economia” (Privacy, ecco perché il Regolamento Ue è un’opportunità per le imprese, “corrierecomunicazioni.it”, 18 aprile 2016).
L’economia dunque non beneficia di certo dell’entrata in vigore del GDPR e ancora una volta Bruxelles ha delineato una disciplina senza dare gli strumenti concreti agli Stati membri per adeguarsi.

Il mercato resta squilibrato

L’Unione Europea, con il GDPR, vuole anche intervenire per riequilibrare il rapporto tra mercati europei e mercati mondiali. Attraverso un modello di norme unificate, si vuole tutelare il cittadino dell’UE ma anche il dato in sé, che circola con le dovute garanzie. Ottemperando agli adempimenti previsti, le aziende possono infatti fare un importante balzo avanti rispetto ai competitors extraeuropei.
Rocco Panetta, avvocato, esperto di Internet e tutela dei dati, afferma: “Potrebbe essere pericoloso, e in prospettiva ingenerare confusione, il fatto di presentare il Gdpr come uno ‘onestopshop’: se è vero che potrebbe essere una killer application, è allo stesso tempo vero che le aziende non potranno fare a meno di misurare il proprio livello di compliance alle tante altre norme locali che si intrecciano indissolubilmente con quelle sulla privacy, altrimenti a regnare sarà la confusione, con un incremento del contenzioso” (Nuova privacy Europa, Panetta: “Legge subito o col Gdpr sarà caos”, “corrierecomunicazioni.it”, 12 settembre 2017).

Una patata bollente per piccole e medie imprese

Non è vero poi che piccole e medie imprese siano aiutate dal GDPR. Si nota anzi che il corpo normativo è rivolto quasi esclusivamente ai colossi come Facebook e Google, maxi aziende con più di 250 aziende, che devono dotarsi di registro dei trattamenti e di un DPO con specifiche competenze. Le piccole e medie imprese si chiedono infatti quali siano gli adempimenti richiesti e se siano necessari, date le dimensioni ridotte della struttura. D’altro canto, però, temono ugualmente le sanzioni, che non sono di certo tenere. Francesca Spidalieri, Senior Fellow for Cyber Leadership presso il Pell Center dell’Università “Salve Regina”, conclude: “Piccole e medie imprese sono tutt’altro che preparate al GDPR e avranno sicuramente difficoltà ad applicarne le previsioni, specialmente se non hanno le risorse e le capacità necessarie a creare programmi dettagliati per la sicurezza e la privacy” (Francesca Spidaleri, Impatto del GDPR sulle piccole e medie imprese: il buono, brutto e il cattivo, “agendadigitale.eu”, 25 maggio 2018).

Claudio Alessandro Colombrita, 16 giugno 2018