Autore: wp_6910267

In questi giorni ho avuto modo di recuperare la lettura, in arretrato di qualche mese, di alcune riviste del mio settore.

Mi ha particolarmente interessato ad un articolo apparso nel numero di Giugno di (IN)Secure Magazine.

Il nòcciolo del ragionamento riguardava gli sforzi, organizzativi ed economici, che le aziende stanno sviluppando per proteggere i loro dati secondo le previsioni del GDPR: e via alle pseudonimizzazioni massive dei database centralizzati o al rafforzamento dei sistemi di rilevamento delle intrusioni nella rete. Peccato che studi recenti hanno dimostrato che il 60% dei dati rilevanti per le aziende risiede sui personal computer dei dipendenti e che quasi il 70 delle perdite dei dati è dovuto a difetti dei cosiddetti endpoint cioè i predetti PC.

Deve cambiare l’approccio che le organizzazioni hanno sui dati personali che trattano. Ogni operatore/utente del sistema informativo aziendale deve essere consapevole di avere come dovere quello di proteggere un asset ma anche di difendere diritti e libertà dei soggetti interessati.

È una realtà che, in qualche modo, avevamo già delineato: ai confini dell’utente può cascare il GDPR.

Qualche giorno fa il Garante per la Protezione dei Dati Personali ha pubblicato una scheda riepilogativa dei diritti di cui gode ciascuno di noi. D’istinto mi sono detto: caspita com’è colorata! D’altra parte, il Garante italiano caratterizza sempre le sue schede riepilogative con molti colori e con grandi immagini.

Non so se questo tipo di comunicazione sia efficace per il pubblico medio. Personalmente avrei sacrificato qualche immagine per essere più completo.

Infatti, la scheda mette bene in evidenza il diritto di accesso ed il diritto di opposizione, descrivendone le caratteristiche con specifiche spiegazioni. Mette insieme, invece, i diritti di rettifica, cancellazione, limitazione del trattamento e portabilità dei dati: diritti completamente diversi con effetti e dinamiche specifiche. Manca del tutto il diritto a non essere sottoposto ad un processo decisionale automatizzato, compresa la profilazione (art. 22 del GDPR); questo, nell’era del web e delle app, è uno dei diritti che, probabilmente, ci capiterà di esercitare con più frequenza.

Inoltre, c’è da sottolineare che, a voler leggere con attenzione il GDPR, possono emergere non solo i diritti direttamente azionabili dall’interessato. Esistono diritti che, sebbene non direttamente azionabili da ciascuno di noi, rimangono tali e che, pertanto, devono essere noti. Per esempio, nelle informative che predispongo per i miei clienti, ci tengo ad inserire, a beneficio degli interessati che leggono, il diritto alla comunicazione della violazione. Infatti, l’art. 34 prevede un dovere del titolare ovvero quello di comunicare all’interessato l’eventuale violazione occorsa ai dati personali affinché lo stesso interessato possa, da parte sua, applicare eventuali misure di contenimento dei rischi.

Il Garante informa sui diritti: ben fatto! Ma si può fare di meglio…