GDPR: obblighi e anche opportunità per le aziende

Che il 25 maggio sia stata una data importante per le aziende lo si è capito da tempo. Migliaia di annunci su piattaforme social, milioni di proclama pubblicitari sulla rete.
In questo contesto l’imprenditore ha digerito con difficoltà le nuove disposizioni interpretandole come mere imposizioni.
Al di là delle pesanti regole imposte e sanzioni previste, il GDPR può rappresentare una opportunità per le imprese italiane (europee) per tre macro ragioni connesse tra loro.
1.MONITORARE E METTERE IN SICUREZZA I PROCESSI
Identificare, memorizzare, classificare, eventualmente cancellare i dati sono tra le attività che quasi tutte le aziende si trovano a svolgere quotidianamente ed è per questo che l’applicazione del GDPR dovrebbe quindi apparire come “vantaggiosa” per migliorare, standardizzare e “securizzare” i propri processi interni ma soprattutto come beneficio per i clienti/utenti.
Il GDPR porta dei significativi vantaggi anche nel classificare dati spesso dimenticati e non custoditi secondo dei criteri di sicurezza aggiornati.
Se sfruttata l’occasione, quindi, si potrà procedere ad una riorganizzazione e razionalizzazione dei dati aziendali al fine, in primis, di evitare i rischi associati al Regolamento, ma soprattutto per fare ordine nei dati e realizzare significative economie di scala (ad esempio, l’utilizzo dello spazio di archiviazione: dal classico data center interno al cloud, rafforzando il livello di sicurezza garantita da specifiche certificazioni).
2.PREVENZIONE DEGLI ATTACCHI INFORMATICI
Con l’uso quotidiano di piattaforme online come social network, gestionali, ERP, CRM, e-commerce, Internet banking e l’emergere di oggetti connessi (IoT), i dati personali sono ovunque sul web.
L’obiettivo del GDPR è chiaro: proteggere le persone dall’uso illecito dei propri dati e dai crimini informatici in genere. È evidente che per gli hacker i servizi online sono un obiettivo primario essendo spesso esposti a delle vulnerabilità e falle di sicurezza. Utilizzando varie modalità infatti, possono recuperare elenchi di dati bancari, dati di accesso a servizi on line e persino informazioni soggette al segreto professionale o dati altamente sensibili come quelli posseduti dalle strutture sanitarie.
Gli attacchi, infatti, non risparmiano neanche i giganti ITC della Terra: Sony Computer Entertainment nel novembre 2014 ed il più recente “Facebook gate”.
3.GDPR COMPLIANCE COME CERTIFICAZIONE DI AZIENDA 4.0
Le aziende non sono monadi a se stanti, comunicano costantemente con altri soggetti commerciali e non.
L’essere “conforme” alle regole del Regolamento 679 equivale ad un cenno di assicurazione verso i terzi di una corretta gestione delle informazioni e dei dati, così come si è abituati a pensarlo per aspetti finanziari (di esposizione al debito), aspetti di sicurezza fisica (di esposizione a furti o danneggiamenti).
Quale soggetto economico vorrebbe interfacciarsi con un partner che pone se stesso e gli altri ad un rischio di esfiltrazione di dati (data breach).
PASSI VERSO LA COMPLIANCE
Sintetizzandoli in pochi passaggi, le aziende devono essere in grado di gestire e razionalizzare le informazioni e comprendere:
• quali sono i dati ospitati;
• quali sono i metodi di raccolta;
• quali sono i metodi e le tecnologie di trasferimento;
• quali sono gli attributi di sicurezza;
• quali sono i metodi di autenticazione.
Occorre quindi cambiare i processi aziendali, non solo istituire formalmente figure e registri (come era per il d.lgs. 196/2003) perché tra l’altro altra grande innovazione del GDPR è l’accountability: la responsabilità degli Amministratori (con ampi margini di discrezionalità nelle modalità di applicazione del Regolamento) che dovranno dimostrare il pieno rispetto dei diritti dei soggetti passivi della norma. Nicola Tigri