Il Regolamento 2016/679 sulla General Data Protection Regulation (GDPR), indica le linee da seguire sulla gestione e la protezione dei Dati.
Il termine per l’adeguamento è Maggio 2018. Dal 2018 in poi, le aziende dovranno utilizzare soluzioni di sicurezza all’avanguardia per proteggere i dati personali.
In caso di violazione dei dati, per le aziende sono previste multe fino al 4% dei loro ricavi annui o all’importo di 20 milioni di Euro (si applica il valore maggiore), oltre all’obbligo di informare l’autorità di vigilanza del proprio paese. Il costo medio della violazione dei dati è aumentato del 23% dal 2013. I costi maggiori si verificano nei settori: SANITARIO, FORMATIVO e FINANZIARIO, ma non solo.
Nonostante tali stringenti disposizioni, i livelli di awareness sulle sue implicazioni sono al momento molto bassi.
GDPR, art 23: Privacy by design e Privacy by Default
La General Data Protection Regulation (GDPR) riconosce espressamente il concetto di privacy by design espandendo le previsioni dell’attuale normativa (privacy by default). Si tratta di un concetto già presente negli Usa e Canada e poi adottato nel 2010 nel corso della 32ma Conferenza mondiale dei Garanti privacy.
Qualsiasi progetto (sia strutturale sia concettuale) va realizzato considerando dalla progettazione (appunto by design) la riservatezza e la protezione dei dati personali.
Le aziende dovranno, quindi, valutare la natura dell’attività di trattamento contestualmente ai rischi che tali attività comportano per i diritti degli utenti, nel momento della progettazione delle politiche di trattamento. L’approccio basato sul rischio, riconoscendo che esistono diverse categorie di trattamenti e di conseguenti rischi, aiuta a capire come calibrare l’applicazione dei principi nel contesto, decidendo così quali sono le priorità, e determinando l’allocazione delle risorse in funzione della probabilità di rischio.
Nella pratica significa che gli obblighi devono essere proporzionati al rischio, e il livello di responsabilità si potrà elevare o ridurre in funzione del rischio percepito per l’attività. Questo approccio porta, quindi, a valutare maggiori attenzioni (e quindi obblighi più stringenti) per le ipotesi di trattamento dati sensibili, dati sanitari e finanziari e per i grandi insiemi di dati.
Diventa indispensabile avere dei piani di recovery che possano consentire il tempestivo ripristino della disponibilità e accessibilità ai dati; per essere in regola senza introdurre irragionevoli vincoli alle attività operative Sarce propone di agire su due principali aree di intervento.