GDPR: Cosa accadrà dal 25 maggio 2018

Perché la Cyber Security è uno dei problemi più preoccupanti di oggi?

Con l’aumentare del numero di persone online, è chiaro che è cresciuto anche il rischio di attacchi informatici. Milioni di aziende e cittadini ogni giorno sono esposti ad attacchi hacker, e la perdita economica, oltre che reputazionale, è ingente. A tal proposito, la Juniper Research ha stimato che gli attacchi informatici nel 2019 causeranno danni per duemila miliardi di dollari. Date le recenti (e per nulla incoraggianti) stime, è chiaro che la Cyber Security rivestirà un ruolo sempre più importante nella nostra società.

BSA Wholesale, a tal proposito, già mette a disposizione, tramite i suoi Collaboratori, un prodotto Cyber Risk molto efficiente.

Il GDPR, una grande novità in arrivo

La presenza di coperture assicurative Cyber Risk non è l’unica soluzione per prevenire gli attacchi hacker. Anche l’Unione Europea ha voluto fare la sua parte, ed è così che dal 25 maggio 2018 entrerà in vigore per tutti i Paesi dell’Unione Europea il GDPR (Data Protection Privacy Regulation). Tale Regolamento, che diventerà obbligatorio per tutte le aziende e i professionisti, mira a stabilire nuove regole nel trattamento dei dati personali all’interno dei Paesi membri della Comunità Europea. In questo modo si adotterà un approccio “security-first thinking”, ovvero un tipo di approccio mirato a salvaguardare i dati personali all’interno di sistemi di sicurezza di alto livello.

La situazione oggi

Finora le aziende e i professionisti hanno avuto come punto di riferimento il Decreto Legislativo 196 del 2003 (Codice in materia della Protezione della Privacy). Tale Regolamento sanciva che “chiunque ha il diritto di proteggere la propria privacy” e aveva istituito due figure di massima importanza:

1. Il “Titolare del trattamento dei dati”: questa figura si occupa delle modalità di trattamento dei dati, compreso il profilo della sicurezza. Inoltre, è incaricato di comunicare con gli interessati (le persone fisiche  a cui si riferiscono i dati personali) e l’autorità di riferimento, cioè il Garante della privacy;
2. Il “Responsabile del trattamento dei dati”: si occupa dell’utilizzo e del trattamento dei dati. Come da legge, questa figura deve essere nominata per iscritto

In questa fase di transizione, chi era già in regola con il Decreto Legislativo 196/2003 dovrà solo attuare alcune modifiche; chi, invece, non è al momento in regola, dovrà adottare nuove pratiche di controllo e sicurezza attraverso un professionista dedicato, di cui parleremo in maniera più approfondita nei prossimi paragrafi. In questo contesto, inoltre, il Titolare dei Dati e il Responsabile della loro gestione a nome dell’Azienda o del Professionista dovranno :

• pianificare la propria realtà dal punto di vista delle risorse informative;
• Valutare attentamente i rischi;
• Graduare il tipo di risposte;
• Avere un  controllo indipendente al proprio interno attraverso la figura del “Data Protection Officer”.

Le novità apportate dal GDPR

Sicuramente il GDPR porta con sé tantissime novità in materia di prevenzione da attacchi cibernetici. Ecco di seguito quali sono:

Cyber Security

Il principio alla base della General Data Protection Regulation è l’accountability. In questo senso, il Titolare dei Dati è responsabile della loro gestione e li deve custodire come un bene che gli è stato affidato. In caso di problemi, dovrà dimostrare di aver fatto tutto il possibile per limitare i rischi della perdita dei dati, producendo la documentazione in grado di attestarlo. Quindi, in caso di intervento da parte della magistratura o dell’autorità di garanzia, dovrà dimostrare come ha raccolto il consenso alla Privacy e indicare chi, nell’azienda o nello studio professionale, ha accesso ai dati soggetti alla privacy.

Tuttavia, Il GDPR, in più punti del regolamento, recita che una eventuale violazione dei dati personali non deve esser segnalata al Garante qualora questi dati siano stati resi indecifrabili ai non autorizzati. E’ quindi consigliato adottare l’uso di sistemi di crittografia per agevolare la protezione dei dati e limitare la responsabilità del Titolare dei Dati.

L’istituzione del Data Protection Officer (DPO)

Forse la più grande novità che verrà apportata dal General Data Protection Regulation risiede nell’istituzione del Data Protection Officer (DPO). Nel dettaglio, egli si occuperà di informare e fornire consulenza al titolare del trattamento, dovrà sorvegliare l’osservanza delle norme, fornire pareri e, in caso di necessità, cooperare col Garante e le autorità. Inoltre, questa figura professionale affiancherà il Titolare del Trattamento dei Dati e il Responsabile del Trattamento dei Dati e diventerà una figura obbligatoria:

1.In tutte le amministrazioni pubbliche;

2.In tutte le Aziende, gli Studi Professionali, le Organizzazioni che trattano su larga scala dati sensibili (es. ospedali, laboratori di analisi, compagnie assicurative, ecc.);

3.In tutte le Aziende, gli Studi Professionali, le Organizzazioni  che profilano il consumatore su larga scala (come, nel nostro caso, le Agenzie e i Brokers di Assicurazione);