A più di un anno dall’entrata in vigore del Regolamento Europeo sulla protezione dei dati personali, lo scenario di applicazione del Gdpr in Italia procura diverse perplessità. All’indomani della sanzione di 150.000 euro comminata dall’Autorità Garante per la protezione dei dati personali ellenica a un Datore di Lavoro per uso illegittimo dei dati personali dei propri dipendenti, l’Italia sembra essere rimasta uno dei pochi Paesi europei a non aver ancora applicato a pieno regime il Regolamento Europeo sulla protezione dei dati personali.
Nonostante il generale aumento di segnalazioni e di data breach rispetto all’anno precedente, l’Italia ha un risultato mediocre paragonato agli altri Paesi europei e si posiziona a metà classifica con sole 610 violazioni rilevate nel 2018.
Innanzitutto, si deve rilevare un generale approccio moderato tenuto sinora dalle Autorità Garanti per la protezione dei dati personali europee che sono state abbastanza “morbide” nell’esecuzione di controlli per la verifica dell’adeguamento al Gdpr e delle relative sanzioni. Infatti, le novità applicative introdotte dalla nuova normativa sulla Privacy a partire dal 25 Maggio 2018 e il repentino aumento della mole di lavoro da parte delle Autorità Garanti europee, hanno comportato un graduale inizio e una modesta attività ispettiva e sanzionatoria.
A esclusione della multa da 50 milioni di euro comminata a Google da parte del Cnil (Autorità Garante francese), le altre sanzioni rilevate ai sensi del Gdpr in Europa sono risultate sinora abbastanza temperate. In particolare, in Italia è stato espressamente previsto un periodo di indulgenza sanzionatoria disciplinato nel D.Lgs. 101:2018 per i primi 8 mesi di applicazione della nuova normativa sulla protezione dei dati personali durante i quali l’Autorità Garante ha comminato due sanzioni amministrative: una da 50.000 euro all’Associazione Rousseau relativamente alla piattaforma utilizzata per il voto online e un’altra sanzione di 16.000 euro ad un medico per trattamento illecito di dati personali che, con tutta probabilità, sarebbero state estremamente più salate se non mitigate ai sensi del D.Lgs. 101:2018. La ratio di tale periodo “di grazia” risiede presumibilmente nell’incentivazione del processo di adeguamento al Gdpr da parte di aziende pubbliche e private e di tutti gli obbligati ai sensi di legge, andando incontro alle difficoltà tecnico organizzative e strutturali di compliance by design del Regolamento Europeo.
È evidente, però, che tale periodo non è stato sufficiente e abbia prodotto con tutta probabilità un effetto boomerang di rallentamento al processo di adeguamento alla normativa sulla Privacy: oggi la situazione generalmente rilevata nella maggior parte delle Pubbliche Amministrazioni italiane è abbastanza desolante e, nonostante dati più positivi vengano rilevati nel privato in complessi più strutturati, risulta ancora tanto da fare nelle piccole e medie imprese.
Dal 20 Maggio 2019 è ufficialmente terminato il periodo di indulgenza sanzionatoria dell’Autorità Garante per Protezione dei dati personali concesso dall’art. 22, co.13 del D.Lgs.101:2018 che avrebbe dovuto dare il via a una piena applicazione sanzionatoria così come prevista dalla normativa sulla protezione dei dati personali senza più sconti per il periodo di prima applicazione della legge.
Vale la pena ricordare l’asprissimo impianto sanzionatorio previsto dal GDPR che comprende:
• sanzioni amministrative fino a 20 milioni di euro o fino al 4% del fatturato aziendale (mondiale)
• responsabilità civile nei confronti degli interessati per danni materiali o immateriali causati da qualsiasi violazione del GDPR
• sanzioni penali
Inoltre, è necessario sottolineare che, unitamente all’eventuale sanzione, c’è la possibilità in carico agli interessati dei trattamenti, di avanzare istanze per la tutela dei propri diritti direttamente al titolare del trattamento che, in caso di inottemperanza o mancato riscontro delle richieste ricevute, darà la possibilità di proporre un Reclamo al Garante o un Ricorso all’Autorità Giudiziaria con le relative implicazioni economiche.
Da un punto di vista opportunistico, questi ritardi per alcune realtà potrebbero rappresentare un vantaggio consentendo ancora oggi di iniziare l’attività di adeguamento alla normativa europea per la protezione dei dati personali nelle more dell’elezione del nuovo collegio dell’Autorità Garante e dell’inizio effettivo della sua attività.
Infatti prima o poi il sistema sanzionatorio inizierà ad ingranare ed il rischio è che avendo avuto un periodo maggiore del previsto per adeguarsi alla normativa europea sulla protezione dei dati personali, venga presentato il conto di tutta l’indulgenza concessa sinora. L’attività di adeguamento al Regolamento Europeo sulla protezione dei dati personali è lunga e complessa, ma iniziarla potrebbe in ogni caso concedere una valutazione positiva in termini di somministrazione di una eventuale sanzione

Fonte cybersecurity360.it