Parliamo di Privacy con Stefano Vergani VP di FEDERCONTRIBUENTI

Negli ultimi mesi si è rilevato un forte aumento delle attività ispettive e delle relative sanzioni amministrative e penali (cosa che non avviene spesso nel nostro Paese) dimostrando così che l’Autorità del Garante viaggia a velocità spedita nei suoi piani istituzionali e di controllo. E pare non finisca qui visto che sul sito del Garante sono già state annunciate alcune importanti iniziative per l’autunno, sempre in materia di controllo. Ce ne parla Stefano Vergani fondatore, CEO e Corporate Partner di Solaris (www.gruppoconverg.it/solaris-sas/) società del Gruppo Converg, sovente ospite delle nostre riflessioni sui temi della compliance e oggi presente, con questo contributo, nel ruolo di Vice Presidente dell’Associazione Non profit FEDERCONTRIBUENTI (www.federcontribuenti.it).

Buongiorno Vergani. Siamo a commentare oggi le attività dell’Autorità del Garante sul caldo tema della privacy. Pare che, nonostante le tante recriminazioni generali, in Italia qualcosa funzioni e molto bene.

I tanti articoli degli ultimi anni legati al tema degli hackeraggi, alla crescita esponenziale delle frodi via remota, a situazioni critiche e di rincorsa delle aziende che faticano a stare al passo delle evoluzioni normative (strategicamente ed organizzativamente), mettono il tema della “protezione dei dati” in pole position. Il Garante nazionale – decisamente meglio strutturato ed operativo rispetto ad altre organizzazioni di controllo e sensibile alla tutela dei consumatori (sia aziende, che privati) – è in grado di pianificare molto bene le sue determinazioni e le programmazioni preventive. Infatti, come si evince dal sito stesso del Garante, con Deliberazione del 3 agosto 2023 è stato reso pubblico il piano delle attività ispettive relative al secondo semestre del 2023. Sotto la lente dell’autorità vi saranno, in particolare, il settore della statistica e della ricerca scientifica, il telemarketing, il riconoscimento facciale, i gestori ed i fornitori di servizi che utilizzano lo SPID e la carta d’identità elettronica (CIE) nell’ambito di servizi online offerti anche tramite app, nonché gli strumenti di tracciamento.

Quindi quali potrebbero essere le priorità ispettive da parte dei funzionari del Garante?

Sulla base delle tante denunce di invasione della privacy provenienti dalle aziende o da denunce da parte di privati, le priorità ispettive poi pianificate riguarderanno nello specifico:

accertamenti nel settore della Ricerca Scientifica e Sanità ed in particolare sul tema della pseudonimizzazione
accertamenti sui trattamenti di dati personali da parte di operatori del settore energetico con specifico riferimento all’attivazione di contratti non richiesti e allo svolgimento di attività di telemarketing nel controverso contesto di superamento del c.d. mercato tutelato
prosecuzione delle verifiche anche attraverso lo strumento degli accertamenti on line in ordine alla corretta implementazione delle Linee guida sui cookies
infine accertamenti nei confronti di soggetti pubblici e privati, al fine di verificare l’osservanza delle disposizioni in materia di reclami e segnalazioni formali proposti all’Autorità ed in istruttoria presso i relativi Dipartimenti e Servizi

Quindi un grosso passo in avanti sia verso le attività preventive, con le analisi dei siti web da remoto, sia le attività di verifica scaturite da denunce.

Anche se le ispezioni del Garante vengono generalmente svolte fisicamente e in presenza presso le sedi dei soggetti da controllare, l’Autorità potrà in modo massivo ed anonimo svolgere la propria attività anche da remoto con accertamenti online in riferimento al trattamento di dati personali effettuato tramite siti internet da parte dei titolari del trattamento siano essi pubblici o privati.

Le ispezioni del Garante consisteranno nella verifica della correttezza di tutti i sistemi, delle modalità e dei tempi di acquisizione, archiviazione, protezione, gestione, variazione e cancellazione dei dati personali trattati da un’azienda, e non si tratta di controlli puramente formali o documentali, ma azioni pratiche volte ad accertare che i trattamenti di dati personali avvengano in conformità al GDPR e alla normativa in vigore in materia di protezione dei dati personali.

Ma fino a quali limiti si potranno spingere tali controlli e quali saranno i nuovi rischi per le aziende?

Con il progressivo potenziamento dei controlli – che prevedono la condivisione degli stessi con altri soggetti dello Stato (come, ad esempio, quello previsto dal protocollo di intesa con la Guardia di Finanza del 30.03.2021) –, le ispezioni potranno essere condotte unitamente ad altre forze per aprire parallelamente ulteriori attività ispettive per tutte quelle realtà apparentemente sane ma che, invece, usano il web per guadagni illeciti. Certo pagheranno molte sanzioni (amministrative e penali) anche le aziende che non seguono con celerità gli aggiornamenti normativi, ma – del resto – per mia personale convinzione (ndr. Vergani è anche ex dell’Arma dei Carabinieri) la mancata attuazione della compliance pesa sulla leale competitività delle imprese. Le moltissime imprese, anche non criminali, che non si adattano alle disposizioni legislative stanno alla stessa stregua delle imprese che non attuano, ad esempio, le direttive di Salute, Igiene e Sicurezza, causando un danno concorrenziale alle aziende che invece sono ligie alle leggi.