Dal prossimo 25 maggio, il General Data Protection Regulation sarà pienamente applicabile nei 28 Stati dell’Unione Europea.
La regolamentazione
Nonostante il Regolamento non richieda provvedimenti attuativi dei singoli Stati, i legislatori nazionali potranno prevedere norme apposite in contesti specifici, ad esempio per il trattamento di categorie particolari di dati personali - come quelli biometrici - ovvero nei casi di profilazione decisionale. Anche dal Garante per la protezione dei dati personali potranno arrivare input di indirizzo normativo: oltre ad avere compiti di vigilanza, ispettivi e sanzionatori, infatti, l’Autorità ha anche il compito di emettere linee guida su misure regolamentari, quali appunto il GDPR. Infine, le organizzazioni dovranno confrontarsi con un terzo attore, il Working Party 29, ente sovranazionale che redige opinioni e linee guida sull’interpretazione e l’attuazione del regolamento: questa fonte di “soft law” negli ultimi mesi è stata particolarmente prolifica, ad esempio sui temi di trattamento “su larga scala”, di valutazione d’impatto (DPIA), di data breach, nonché di Data Protection Officer (accanto a Titolare e Responsabile, è uno dei tre “protagonisti” del Regolamento).
Per le banche sarà più semplice
Quello in cui le banche dovranno muoversi è dunque un quadro normativo estremamente composito, in cui Titolare e Responsabile devono muoversi per raggiungere il risultato atteso (la tutela del dato) richiesto dal GDPR: il Regolamento, infatti, lascia alle singole organizzazioni, secondo il principio dell’accountability, la responsabilità di scegliere gli strumenti più idonei a raggiungere lo scopo. Non ottenere la compliance normativa nei tempi prestabiliti, potrebbe implicare da una parte le sanzioni - in alcuni casi parametrate al fatturato annuo - dell’Autorità e dall’altra esporsi alle class actions degli Interessati. In questo contesto, però, gli istituti bancari si trovano in una posizione di vantaggio rispetto alle altre realtà interessate dal GDPR: dovendo già adempiere diversi obblighi imposti dalla normativa di settore in tema di sicurezza e gestione del dato, le banche potrebbero essere già di fatto in grado di operare un data management completo ed effettivo.
Ma quali strumenti usare?
Tuttavia, dal momento che sicurezza e privacy non sono sinonimi, non è scontato che gli strumenti fin qui adottati dagli istituti di credito siano sufficienti a garantire anche il rispetto del GDPR. È, quindi, cruciale affidarsi a un partner capace di fornire, dal punto vista tecnologico le soluzioni più innovative e affidabili, come i Trust service di InfoCert: ad esempio la firma elettronica laddove il particolare tipo di trattamento richieda un consenso espresso, digitalizzando quello che in alcuni casi oggi viene ancora raccolto su carta nonché strumenti di notifica opponibili a terzi, come la PEC (Posta Elettronica Certificata), per l’e-delivery delle comunicazioni tra Titolare, Responsabile, Autorità e Interessato. Inoltre, attraverso strumenti di access e log monitoring è possibile garantire la ricostruzione e l’audit sul trattamento dei dati, avendo la certezza che i dati siano trattati solo nei modi e dai soggetti autorizzati. Lo scenario delineato dal GDPR non va dunque sottovalutato. Per le banche, saper scegliere le soluzioni più appropriate e affidarsi al partner giusto sarà fondamentale per farsi trovare pronte.
