Privacy, GDPR operativo anche senza decreto di adeguamento

Privacy, è operativo da oggi 25 maggio 2018 il GDPR, il nuovo Regolamento UE che introduce nuovi diritti, maggiori tutele e nuovi adempimenti per professionisti e imprese.

Novità che proprio nel giorno in cui il GDPR diviene operativo, così come le relative sanzioni, vengono analizzate punto per punto a Roma, durante il 7° Privacy Day Forum organizzato da Federprivacy.

Il giorno zero della riforma della privacy, dal 25 maggio pienamente applicabile in tutta Europa, rappresenta un giorno di partenza e non certo di arrivo. Soprattutto per l’Italia, in ritardo con l’emanazione del decreto legislativo di adeguamento al GDPR.

Un ritardo che, tuttavia, non comporterà alcuna proroga dell’entrata in vigore delle sanzioni amministrative e penali applicabili da oggi nei confronti di chi violerà le norme previste dal GDPR.

Importi pesanti, che potranno arrivare fino a 20 milioni di euro o al 4% del fatturato, ma che saranno ispirate a principi di progressività e gradualità.

Riforma della privacy, operativo il GDPR: decreto di adeguamento in ritardo

Ad aprire il Privacy Day Forum 2018 è Giovanni Buttarelli, European Data Protection Supervisor, con un messaggio di saluto nel quale non manca di sottolineare la mancata approvazione da parte dell’Italia del decreto di adeguamento al GDPR.

Ritardi e criticità che tuttavia non comporternno nessuna proroga dell’entrata in vigore del Regolamento UE sulla privacy così come non vi sarà nessun rinvio delle sanzioni.

Eppure è innegabile sottolineare come imprese e professionisti siano ancora oggi impreparati all’avvio della nuova normativa sulla privacy e la mancanza di un decreto di adeguamento è una delle cause.

Cosa fare e quali soluzioni adottare? Innanzitutto considerare il 25 maggio 2018 come punto di partenza e non di arrivo: ad affermarlo è Diego Fulco, direttore dell’Istituto Italiano per la privacy.

Il GDPR non fornisce tutte le risposte richieste e ad oggi la maggior parte delle soluzioni ancora non ci sono: manca la normativa italiana, il decreto legislativo di riforma del Codice Privacy e mancano i codici di condotta introdotti dal GDPR.

Privacy 2018, sanzioni poco chiare, mancano precedenti

Sanzioni sia amministrative e penali per chi violerà le disposizioni previste dal GDPR e, anche in questo caso, non ci saranno proroghe.

C’è da sottolineare come il GDPR riporti soltanto gli importi massimi delle sanzioni amministrative applicate dal 25 maggio 2018 che potranno arrivare a:

• 10 milioni di euro o 2% del fatturato mondiale annuo dell’anno precedente per le imprese che, ad esempio, non avranno nominato il DPO, non comunichino data breach all’Autorità garante, violino le condizioni sul consenso dei minori oppure che trattino in maniera illecita i dati personali degli utenti;
• 20 milioni di euro o 4% del fatturato per le imprese nei casi, ad esempio, di trasferimento illecito di dati personali ad altri Paesi o di inosservanza di un ordine imposto dal Garante.

Le uniche indicazioni arrivate ad oggi dal Garante della Privacy hanno tuttavia ribadito che le sanzioni non saranno uguali per tutti e che, in ogni caso, saranno applicate sulla base dei principi di gravità, natura e durata della violazione.

Interpretazioni vaghe e tutt’altro che rassicuranti per tutti coloro che si chiedono cosa si rischia con il GDPR. Mancano giurisprudenza, provvedimenti, casistica ed interpretazione: come saranno applicate le nuove regole?

Ad oggi non ci sono precedenti e di certo le linee guida ad oggi disponibili non aiutano: indicazioni compilative e non analitiche, il trionfo dell’“incertezza del diritto”. Critica, questa, mossa da Luca Bolognini, Presidente dell’Istituto Italiano della Privacy.

Insomma, se imprese e professionisti si sentono ad oggi impreparati all’avvio del GDPR, a rassicurarli sono gli stessi esperti del settore. Il 25 maggio 2018 è soltanto un punto di partenza: quel che è certo è che da oggi più che mai sarà necessario concentrarsi sui nuovi diritti dei cittadini e doveri degli autorizzati al trattamento dei dati degli utenti.