I primi due anni del GDPR, una partenza a rilento

A due anni esatti di distanza dall’entrata in vigore definitiva del GDPR è possibile tracciare un primo bilancio per capire se la normativa abbia saputo o meno ammodernare la gestione delle informazioni adottando un approccio più rispettoso e trasparente. Una novità che ha riguardato i colossi del mondo online così come le realtà più piccole, per un periodo alle prese (non senza difficoltà) con l’esigenza di adattare le proprie modalità operative al concetto di compliance.

GDPR e l’approccio morbido alla compliance

Il Regolamento Generale sulla Protezione dei Dati prevede pene severe di carattere pecuniario per coloro che non dimostrano di essere conformi a quanto imposto. Nel mese di gennaio abbiamo pubblicato un articolo affermando che nei primi 20 mesi sono state comminate sanzioni per un totale pari a 114 milioni di euro. Una di queste, da 50 milioni, è stata stabilita dalla Francia nei confronti di Google per questioni legate al sistema operativo Android. Un’altra indirizzata a una big della Silicon Valley ha colpito in Germania una sussidiaria locale di Facebook per una cifra però di gran lunga inferiore, pari a 51.000 euro.

Una partenza di certo non lanciata quella del GDPR, ma non poteva essere altrimenti. Ricordiamo quando in occasione di un incontro con la stampa nella primavera 2018 un rappresentante del Garante Privacy nostrano ha affermato senza troppi giri di parole che almeno in un primo momento l’applicazione sarebbe stata quantomeno morbida, in considerazione delle difficoltà incontrate non tanto dai giganti del Web, quanto dalle piccole imprese anch’esse chiamate a intervenire sul proprio modus operandi.

È tempo di fare sul serio

Ora però è tempo di accelerare. Lo chiedono in molti. Capofila di questo movimento Max Schrems, attivista austriaco già più volte pronunciatosi su un approccio troppo blando nell’applicazione della nuovo regolamento da parte delle autorità europee, con una lettera rivolta alla Commissione Europea, al Parlamento Europeo, all’European Data Protection Board e al Irish Data Protection Commission. Quest’ultima è la realtà delegata a far rispettare la normativa in Irlanda, paese che ospita la sede di diversi big californiani nel vecchio continente.

Chiediamo alla Commissione Europea di agire con procedure di violazione nei confronti degli stati membri la cui legislazione impedisce un’effettiva applicazione del GDPR a causa di procedure lunghe ed eccessivamente complicate.

Ai singoli paesi è stato affidato il compito di recepire la direttiva e integrarla nel proprio ordinamento legislativo, dunque possono essere ritenuti direttamente responsabili in caso di mancanze. Per quanto riguarda l’Italia, ad esempio, la pubblicazione in Gazzetta Ufficiale è avvenuta nel settembre 2018. Ricordiamo infine che per le violazioni la multa può arrivare al 4% del fatturato globale di una società.