GDPR: interessato, titolare e chi sta in mezzo
- Gestione Privacy
Ci siamo passati tutti
GDPR. Quattro lettere che hai sentito almeno cento volte. Dal commercialista, dall’agenzia, dal consulente di turno, dal tizio al convegno che parlava con aria seria. Forse le hai anche scritte tu, in qualche email, in qualche documento. Hai presente quelle fastidiose finestrine che si aprono sui siti e devi cliccare e ricliccare prima di poter leggere? Ecco, è questa roba qua.
Ma se oggi qualcuno ti chiedesse “ok, ma cos’è esattamente il GDPR?” — cosa risponderesti?
Scommetto che la risposta onesta sarebbe qualcosa tipo: “È una roba europea sulla privacy. Burocrazia che complica la vita. Bisogna metterla sul sito — la mia segretaria ha trovato in rete una cosa che andava benissimo, qualche frase fatta, i cookie e non so che altro.”
Capito. E adesso però diciamoci la verità: ti spiego perché quella roba trovata chi sa dove in rete probabilmente non fa esattamente il caso tuo o, peggio, non c’entra proprio niente. Ma facciamo prima un passo indietro e partiamo dall’inizio.
Capire il GDPR cos’è davvero non è complicato come sembra.
In principio era il verbo. E nel nostro caso quel verbo portava il nome di Direttiva 95/46/CE. Classe 1995.
Per capire il contesto: internet era agli albori, i social network non esistevano, lo smartphone era fantascienza. Eppure già allora l’Europa cercava di proteggere i dati personali dei cittadini. Dati personali. Per l’epoca era un tentativo serio, e in certi sensi rivoluzionario.
Ma c’era un problema nel giardino dell’eden europeo. Il problema era strutturale. Essendo una Direttiva e non un Regolamento, ogni paese europeo l’aveva recepita a modo suo. Risultato: 28 paesi, 28 leggi diverse sulla privacy. Un’azienda che operava in tutta Europa doveva fare i conti con 28 normative differenti. La legge italiana era diversa da quella tedesca, che era diversa da quella francese. Un disastro per chiunque cercasse di fare impresa in modo serio.
E nel frattempo il mondo cambiava senza sosta. Sono arrivati i social network, il cloud, i big data, i cellulari. Miliardi di dati personali che viaggiavano ogni giorno, senza regole adeguate a gestirli.
Nel gennaio 2012 la Commissione Europea, su impulso della commissaria Viviane Reding, mette sul tavolo una proposta di riforma. L’obiettivo era semplice a parole ma complicato nei fatti: una sola legge, valida in tutta Europa, aggiornata ai tempi, con sanzioni che facessero davvero effetto.
Il percorso non fu breve. Le grandi riforme non lo sono mai. Ci sono voluti quattro anni di lavori, un fiume di oltre 4.000 emendamenti, e una pressione costante da parte delle grandi multinazionali tecnologiche che avrebbero preferito regole più morbide. Alla fine, nell’aprile 2016, il testo definitivo viene approvato dal Parlamento Europeo e dal Consiglio.
Il Regolamento entra in vigore nel maggio 2016, ma con un periodo di grazia di due anni per permettere a imprese e pubbliche amministrazioni di adeguarsi. Il 25 maggio 2018 diventa pienamente operativo. Da quel giorno le regole sono le stesse per tutti: da Berlino a Roma, da Parigi a Sofia.
La svolta non è solo tecnica. È concettuale.
Una Direttiva chiede agli stati di recepirla con leggi nazionali, ognuno a modo suo. Un Regolamento è direttamente applicabile in tutti gli stati membri, senza passaggi intermedi. Niente interpretazioni, niente variazioni locali. Stesso testo, stesso peso, ovunque.
In Italia, il vecchio Codice Privacy del 2003 è stato armonizzato al GDPR con il D.Lgs. 101/2018. Non sostituito, armonizzato: alcune norme nazionali convivono ancora con il Regolamento europeo.
E le sanzioni? Nella vecchia direttiva erano basse e variabili. Con il GDPR si arriva fino a 20 milioni di euro, o al 4% del fatturato globale annuo. Per le grandi aziende, numeri che fanno effetto.
Il GDPR introduce tre concetti che ribaltano il modo di pensare alla privacy.
Preciso per i più pignoli: sto semplificando. Il GDPR è un documento di 99 articoli. L’obiettivo qui è capire il quadro generale, non superare un esame di diritto.
Forse stai pensando: tutto molto interessante, ma io ho un piccolo sito, non sono una multinazionale.
Il GDPR non fa distinzioni di taglia. Se tratti dati personali di cittadini europei, le regole si applicano. Un e-commerce, uno studio professionale, un artigiano con il sito vetrina. Anche chi ha soltanto un semplice form di contatto. Basta raccogliere un nome e una mail per rientrare nel perimetro del Regolamento.
Non a caso, il 2018 è stato un anno particolare. Per la prima volta, aziende grandi e piccole si sono trovate a fare i conti seriamente con la privacy. C’è stata una corsa all’adeguamento: qualcuno l’ha fatto bene, qualcuno ha incollato un banner sul sito e ha pensato di aver risolto. Ma qualcosa era cambiato. La consapevolezza che queste regole esistono, che hanno denti, e che ignorarle ha un costo.
Se vuoi capire cosa raccoglie concretamente il tuo sito — analytics, pixel pubblicitari, plugin, form — ne parliamo nell’articolo Il tuo sito raccoglie dati. Lo sai?. Per approfondire invece i principi, i diritti degli utenti e gli obblighi concreti, il passo successivo è GDPR: i principi e i tuoi diritti.
Per chi vuole andare alla fonte, il testo ufficiale del Regolamento UE 2016/679 è disponibile su EUR-Lex. Sul sito del Garante Privacy italiano si trovano invece le linee guida, i provvedimenti e gli aggiornamenti nazionali. Fonti autorevoli, gratuite, e spesso più chiare di quanto si pensi.
Da quando è online il tuo sito? Hai mai fatto una revisione seria di come gestisce i dati?
