Il Gdpr, General data protection regulation, è una pietra miliare nella sicurezza a livello informatico; una regolamentazione che il mondo riconosce come all’avanguardia e che fungerà da modello per le leggi in materia di protezione dei processi di trattamento dei dati in molte altre parti del mondo. Ma come sta andando la sua applicazione in Italia e in Europa? Il 29 maggio 2018, la data che segnava l’inizio della sua reale applicazione, è ormai passata da un pezzo e da allora le autorità sono state molto molto morbide nel comminare multe ed eseguire controlli. Un report di Dla Piper sugli incidenti informatici riportati e sulle multe comminate svela uno scenario ancora molto blando.

In Europa, fino a dicembre del 2018, sono state segnalate oltre 59mila infrazioni informatiche che hanno causato una perdita di dati, ma la distribuzione geografica lascia perplessi. Al primo posto per notifiche troviamo i Paesi Bassi con 15.400, al secondo posto la Germania con 12.600 e al terzo il Regno Unito con 10.600. Questi tre Paesi, da soli, rappresentano il 65% delle violazioni totali denunciate in Europa nel 2018. Il quarto posto, occupato dall’Irlanda, ne conta un terzo rispetto al Regno Unito. L’Italia, che sta a metà classifica, solo 610. È evidente che qualcosa non torna e abbiamo chiesto a chi lavora nel settore cosa ne pensa. «L’applicazione concreta del Gdpr, almeno in Italia, dopo un anno è molto a macchia di leopardo – dice Fabrizio Croce, Area director south Europe WatchGuard Technologies – molto più presente e applicata in aziende più strutturate ma sostanzialmente abbastanza ignorata nel nostro enorme tessuto delle Pmi e anche nella Pa». Più ottimista è Andrea Muzzi, Technical Manager F-Secure, che ha visto molta attenzione al tema, ma pone l’accento su aspetti tecnici e organizzativi gravi che rallentano la reale messa in opera delle misure di sicurezza. «Dalla nostra collaborazione con le aziende – dice Muzzi – vediamo come alcune stiano ancora lavorando su elementi di base e altre abbiano già iniziato lentamente gli audit di terze parti, i trasferimenti internazionali e un trattamento dei dati più complesso ed elaborato».

Una lentezza che può anche esser giustificata da una carenza dal punto di vista infrastrutturale interno. «Abbiamo ancora molte sfide – continua Muzzi – soprattutto a livello tecnico: molti sistemi, in particolare i sistemi legacy, non sono progettati per la privacy e non sono facilmente configurabili per minimizzare l’accesso ai dati. Questo richiederà forse una o due generazioni di sistemi prima di vedere un cambiamento».

Ma le aziende italiane potrebbero non avere tutto questo tempo a disposizione prima che il sistema di multe inizi a ingranare. Mentre nel 2018 sono state elevate solo 91multe per infrazioni al Gdpr, di cui solo una di grande entità (50 milioni di euro) comminata a Google dall’autorità francese, lo scenario per il 2019 sembra farsi molto più movimentato. In Italia, abbiamo visto già due multe: la prima per 16.000 euro comminata a un medico che ha usato i dati dei propri pazienti per fare propaganda politica e la seconda all’Associazione Rousseau, condannata a pagare 50.000 euro per la violazione al combinato disposto degli artt. 32 e 83, paragrafo 4, lettera a) del Regolamento UE 2016/679. E le cose non possono che farsi più “serie”.

Come scrive l’avvocato Giulio Coraggio, partner di Dla Piper, su Wired, quello che si è visto dal 25 maggio 2019 in poi è un deciso incremento del livello di dettaglio nelle richieste indirizzate dal Garante della Privacy alle aziende. Le liste di informazioni vengono definite “infinite” e soprattutto viene specificato che poi vengono davvero controllate con lo stato di fatto dell’azienda.