Le sanzioni previste dal GDPR sono sproporzionate, sembra una normativa concepita ad hoc per colpire le multinazionali

Troppa leggerezza nella tutela del dato

Il regolamento interviene per colmare una lacuna degli ordinamenti giuridici degli Stati membri: la troppa facilità con cui aziende, portali web, siti ed enti pubblici carpiscono dati personali dell’utente. Occorrono informative chiare e un consenso espresso, ma soprattutto occorre un cambio di mentalità, affinché i dati non vengano forniti con la consueta leggerezza, ma ragionando sulle possibili conseguenze della loro circolazione. Così Antonello Soro, presidente del Garante per la protezione dei dati personali: “Le grandi imprese del digitale sfruttano la naturale pigrizia delle persone per barattare servizi apparentemente gratuiti, che ci semplificano la vita di tutti i giorni, con la costruzione di profili dettagliatissimi de[lle] nostre abitudini e dei nostri gusti, consentendo di scavare senza limiti nella nostra stessa personalità. II Regolamento UE aumenterà la consapevolezza delle persone interessate, obbligando ogni titolare del trattamento, pubblico o privato che sia, a fornire agli interessati informazioni più chiare e complete su come sono utilizzati i dati personali raccolti” (Giovanna Gueci, "Privacy, più tutele nella società digitale" - Intervista ad Antonello Soro, “Il Quotidiano del Sud”, I aprile 2018, consultata sul sito “garanteprivacy.it”).

Una guida per utenti e aziende

Il GDPR rappresenta una vera e propria guida per utenti e aziende, che possono così, gradatamente, effettuare le modifiche necessarie nel proprio assetto organizzativo. Cambiamenti tecnici ma anche cambiamenti di mentalità, una maggiore responsabilizzazione di titolare e responsabile del trattamento e un’ottima occasione per la crescita di un’azienda. Loredana Rossiello, Data Protection Officer e Consulente Privacy e Sicurezza Dati, conferma: “La legge sulla Privacy non è la legge del no, ma del come. Non va vista come una negazione ma come una spiegazione di cosa è possibile fare e in quali, corrette, modalità” (“La GDPR richiede una rivoluzione aziendale”: le dichiarazioni di Loredana Rossiello, consulente privacy e sicurezza dati, “infoazienda.net”, 6 luglio 2017).

Perdita di tempo o straordinaria occasione?

Il regolamento dell’Unione Europea è visto dai più come una scocciante seccatura che impone ad aziende e soggetti di fare qualcosa, ma sicuri che sia proprio così? Bisogna adeguarsi alla nuova legge passivamente o si può cogliere una buona opportunità per crescere e per accrescere il proprio mercato?
L’avvocato Massimo Bacci, esperto in proprietà intellettuale, afferma: “Le sanzioni fanno paura e ci sarà molto da fare. Ma siamo sicuri che il GDPR non possa rappresentare un’opportunità per le aziende? Essere ‘privacy compliant’ può diventare per un’azienda, per uno studio professionale, per un software etc. un valore aggiunto” (Massimo Bacci, Il GDPR (General Data Protection Regulation), “iprights.it”, consultato il 3 giugno 2018). Si pensi alle certificazioni e ai codici etici o di condotta, un vero e proprio surplus che colloca l’azienda in uno scalino più alto.

Sanzioni? No, perdita di dati

In realtà, l’aspetto che dovrebbe più spaventare le aziende è la possibile perdita di dati riferiti a persone fisiche. La maggior parte delle imprese non ha ancora chiaro cosa significa un’intrusione nella sfera personale, un attacco informatico, una divulgazione non autorizzata di informazioni. Tutti si preoccupano delle sanzioni a nove zeri, trascurando il nocciolo della questione: come organizzarsi affinché non si creino situazioni di emergenza riguardanti il dato?
Marco Gentilini, blogger e consulente privacy dichiara: “Un approccio del genere, a mio avviso, è sbagliato perché la minaccia più grande non è la sanzione, bensì i possibili danni che può arrecare una perdita di dati” (Marco Gentilini, Il GDPR scatterà il 25 Maggio 2018, termine entro il quale tutte le aziende europee devono adottare le misure adeguate in base al nuovo Regolamento Europeo per la Protezione Dati EU-GDPR 2016/679, “marcogentilini.com”, consultato il 03/06/2018).

Pene esemplari

C’è una differenza non così tanto sottile tra pene esemplari, che possono fungere da deterrente per la corretta applicazione delle norme del codice, e pene spropositate, che prevedono una forbice enorme tra minimo e massimo e che impongono il pagamento di una somma che solo poche aziende, in genere multinazionali, possono permettersi.
L’avvocato Antonio Ciccia Messina afferma: “È indubbio che i massimi edittali, se sono adeguati per colossi dell’economia mondiale, possono, negli altri casi, risultare sproporzionati se non draconiani. Ed inoltre la mancata predeterminazione di una forbice ragionevole (tra minimo e massimo) espone a forti criticità la normativa europea, se letta con l’occhio delle garanzie costituzionali italiane” (Regolamento Privacy UE: pro e contro del nuovo sistema sanzionatorio, “olitinformatica.wordpress.com”, 20 ottobre 2016).

Normativa ad hoc

In attesa dell’esercizio della delega da parte del governo, per scoprire se verranno inserite anche sanzioni penali a dolo specifico, è di tutta evidenza che il GDPR sia stato concepito per punire in maniera esemplare le multinazionali, specie Google e Facebook, per le recenti violazioni in materia di privacy.
A confermarlo anche l’avvocato Angelo Greco: “Impossibile allontanare il sospetto che la nuova legge sulla privacy, nella sostanza identica alla precedente se non per l’aggiunta di regole più stringenti, non sia altro che una reazione di carattere politico contro il comportamento di Google e di altri big dell’informatica” (Angelo Greco, Privacy: perché il Gdpr è già fallito, “laleggepertutti.it”, 31 maggio 2018).

Ricerca del Garante più debole

La normativa europea particolarmente rigida porta le multinazionali a scegliere soluzioni alternative, dislocando le proprie sedi altrove, in Paesi extrauropei dove è presente un’Autorità garante più morbida. Il presidente dell’autorità belga Willem Debeukelaere ha affermato: “Le aziende decidono di basare le loro attività nel paese dove si trova il Garante più debole, sollevando il caso dell’Irlanda dove l’autorità sembra alquanto morbida con le aziende. Sono già diverse le grandi multinazionali che, non a caso, hanno il loro quartier generale europeo in Irlanda, e il Garante di Dublino dovrebbe da solo occuparsi di gran parte dei casi che riguardano i grossi player internazionali, basti pensare a Google e Facebook” (Garanti privacy Ue, pochi soldi e personale scarso. Ma il nuovo regolamento è dietro l’angolo, “privacyitalia.eu”, 10 aprile 2017).

Claudio Alessandro Colombrita, 17 giugno 2018