Cerca
[A cura di: dott. Ivano Rossi consulente privacy e CEO & Founder ROKLER Management & Consulting Srl] Il 16 maggio 2019 rappresenta la data in cui terminerà il “periodo transitorio” durante il quale il Garante per la protezione dei dati personali tiene conto, nell’applicazione delle sanzioni amministrative, della novità dei nuovi obblighi sulla privacy introdotti dal Regolamento UE 2016/679.
Tale periodo di grazia è stato introdotto dalla legge di armonizzazione della normativa italiana a quella europea, ossia dal d.lgs. 101 del 10 agosto 2018 entrato in vigore il 19 settembre 2018.
In questi otto mesi il Garante, nel comminare sanzioni amministrative a coloro che non hanno ancora proceduto all’adeguamento ai dettami del GDPR, ha usato (e, ancora per un paio di mesi, userà) la mano leggera , considerando di buon occhio l’avvio di procedure di adeguamento anche non portate a termine.
L’iter
Dal prossimo 16 maggio, però, verrà abbandonata definitivamente la linea morbida per entrare nell’era del GDPR al 100%, nessuno sconto, nessuna scusa. D’altra parte, non dimentichiamo che il Regolamento Europeo sulla protezione dei dati personali è entrato in vigore il 24 maggio 2016 e ci sono stati, quindi, ben due anni di tempo per mettersi in regola. Trascorso questo periodo nel silenzio generale, solo a ridosso del 25 maggio 2018 si è assistito per qualche settimana ad un isterismo generale: una sorta di rincorsa al “che cosa devo fare?”. Poi, di nuovo un rilassamento in attesa del decreto di armonizzazione tra l’alternarsi di notizie di proroghe, non applicabilità, incostituzionalità.
Finalmente, il 10 agosto 2018 viene pubblicato sulla Gazzetta Ufficiale il decreto legislativo 101 che abroga una serie di articoli del decreto legislativo 196/2003 introducendone degli altri in recepimento del RGPD. Tra questi, viene introdotto l’articolo 22 comma 13 che recita “per i primi otto mesi dalla data di entrata in vigore del presente decreto, il Garante per la protezione dei dati personali tiene conto, ai fini della applicazione delle sanzioni amministrative e nei limiti in cui risulti compatibile con le disposizioni del Regolamento (UE) 2016/679, della fase di prima applicazione delle disposizioni sanzionatorie”.
Da allora molti hanno incominciato a interessarsi agli adempimenti richiesti dal Regolamento, intraprendendo i primi passi verso un adeguamento per la protezione dei dati personali vissuto come un obbligo, un ulteriore onere da sostenere per la propria attività. Altri hanno, invece, colto l’opportunità per comprendere quali attività venivano svolte all’interno della propria azienda o studio, mettendo in evidenza carenze di sicurezza e rischi giornalieri che avrebbero potuto creare gravi danni all’attività e ai propri clienti. Hanno introdotto procedure che hanno in realtà snellito i compiti e i controlli da parte dei titolari responsabilizzando chi materialmente viene investito di alcuni compiti.
In condominio
Questo è accaduto anche per diversi amministratori di condominio. Quelli che si sono adeguati completamente, sono professionisti lungimiranti che hanno interpretato in modo corretto il Regolamento UE 2016/679, in alcuni casi portando dei cambiamenti radicali al proprio modo di lavorare e modernizzando la propria struttura. Hanno investito su se stessi e sulla formazione dei loro collaboratori. Hanno saputo cogliere l’opportunità per esternalizzare il loro cambiamento come valore aggiunto per i propri clienti-condomini.
Lungimiranti sono stati anche quegli amministratori che hanno saputo ben leggere l’articolo 28 paragrafo 1 del regolamento. In esso è fatto esplicito richiamo all’obbligo del Titolare del trattamento, e cioè al condominio, di “…ricorrere unicamente a responsabili del trattamento… (gli amministratori condominiali) …che presentino garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate in modo tale che il trattamento soddisfi i requisiti del regolamento”.
L’amministratore dovrà dimostrare con evidenze il rispetto del Regolamento UE 2016/679 nel trattamento dei dati personali dei condòmini. La mancata presentazione di garanzie lo pone a rischio di mancata nomina da parte dei condòmini o di revoca da parte di quest’ultimi qualora sia già in carica. Infatti, essendo un obbligo di legge del Titolare del trattamento (il condominio) questo non può esimersi dal verificare se il soggetto a cui affida i propri dati personali, (l’amministratore) abbia le competenze e gli strumenti idonei a salvaguardare le informazioni comunicate. Tale controllo può essere chiesto dall’assemblea di condominio ma anche da parte di un singolo condomino.
L’amministratore condominiale
Ma come l’amministratore di condominio può dare evidenza del rispetto del Regolamento UE 2016/679? Egli dovrà in prima analisi informarsi e comprendere cosa chiede il Regolamento sulla protezione dei dati personali per prendere consapevolezza dell’importanza della normativa e saper trasferire ai propri collaboratori i principi specifici della norma. È buona prassi, oltre alla formazione, redigere un manuale sinottico che descriva le procedure dell’organizzazione, assegnando i vari ruoli e pertanto le responsabilità. In caso di affidamento di trattamenti a soggetti esterni dovrà verificare se questi a loro volta rispettino il regolamento e i casi in cui è necessaria l’autorizzazione del Titolare del trattamento.
Definite le finalità, identificate le modalità di trattamento, determinate le misure adeguate di sicurezza sulla analisi dei rischi e i tempi di trattamento, dovrà redigere l’informativa per sé e per i propri dipendenti secondo quanto disposto dalla norma. È consigliato di redigere anche il registro dei trattamenti o – in mancanza – documentare la scelta della mancata redazione. Importante, inoltre, predisporre il registro delle violazioni e prevedere almeno con cadenza annuale il riesame della documentazione, dei trattamenti, della formazione.
Il Regolamento UE 2016/679 è focalizzato sul concetto di accountability del Titolare del trattamento. Ed è per questo motivo che è viene chiesta la dimostrazione – attraverso la creazione di evidenze – del rispetto della normativa a protezione dei diritti e delle libertà fondamentali degli interessati. Occorre però stare attenti: è un errore pensare che il GDPR sia solo produzione di carta. Infatti, non a caso ho utilizzato il termine inglese accountability e non la traduzione italiana “responsabilità”. Questo perché parlare di responsabilità andrebbe a ridurre il concetto che si vuole esprimere con “accountability”. La responsabilità è legata al concetto del dover agire, l’accountability al concetto del dar conto dell’azione fatta o fatta fare a qualcun altro. Quando parlo di evidenze, non mi riferisco solo a quello che è stato eseguito e perché, ma anche allo spiegare e al prendere nota del motivo per il quale una qualche operazione non venga eseguita.
È sostanzialmente questo il lavoro che occorre mettere in campo per il rispetto del Regolamento e per comprendere e avere coscienza delle azioni svolte e dei loro rischi.
