I rischi della privacy fai da te

Avv. Gianni Dell’Aiuto
Si tratta di una banalissima coincidenza, una semplice casualità, ma la circostanza che l’informativa per il trattamento dei dati personali del D. Lgs. 196/2003 è disciplinata dall’art. 13 e che anche nel GDPR è sempre lo stesso articolo a indicare gli elementi di cui deve essere portato a conoscenza l’interessato, sembra stia ingenerando un po’ di problemi. Non è infatti raro il caso di imbattersi in informative privacy che, a scanso di equivoci, anche perché nel più ci sta il meno, sono così formulate:

“Gentile Cliente, ai sensi dell’art. 13 del D. Lgs. 196/2003 (di seguito “Codice Privacy”) e dell’art. 13 del Regolamento UE n. 2016/679 (di seguito “GDPR 2016/679”), recante disposizioni a tutela delle persone e di altri soggetti rispetto al trattamento dei dati personali, desideriamo informarLa che i dati personali da Lei forniti formeranno oggetto di trattamento nel rispetto della normativa sopra richiamata”.

All’apparenza nessun problema, a parte il fatto che l’art. 13 della Legge Privacy, il D. Lgs. 196/2003 è stato abrogato dal D. Lgs. 101/2018. Ecco che troviamo in giro informative che, nel dubbio, li inseriscono entrambi. Usare questi moduli presi online, come una volta si potevano acquistare in cartoleria i moduli dei contratti di locazione, può essere un boomerang.

Niente di grave alla resa dei conti potremmo dire, ma non è una svista da poco inserire in un’informativa, un documento che è anche l’immagine di un’azienda, un articolo di legge abrogato. Si tratta di un evidente segnale di come alla privacy non viene dedicata ancora la dovuta attenzione e sembrano non sortire effetto le notizie dei continui attacchi ransomware e furti di dati, lo spamming continuo, il phishing. Il Garante ha emesso anche emesso sanzioni importanti, prima fra tutti una da oltre dodici milioni di Euro nei confronti di Vodafone, ma tutto ciò non sembra ancora sufficiente per far comprendere l’importanza della protezione dati per le imprese nonchè aumentarenell’utenza il livello di consapevolezza e attenzione sull’importanza della propria riservatezza.

Come detto, per un’azienda, ai fini pratici e di possibili conseguenze sanzionatorie, inserire un articolo di legge abrogato all’interno della proprie informative non comporta conseguenze se non di immagine quantomeno per quella parte di utenza, ancora poca ma si spera in aumento, che pone l’attenzione su dettagli apparentemente piccoli ma fondamentali. In ogni caso si tratta di un danno di immagine, ma è un’applicazione della teoria della finestra rotta. Si tratta di una fattispecie che, nata in ambito sociale e criminologico, si applica anche all’economia e alle realtà aziendali. Un piccolo particolare non curato può portare a successivi danni: una finestra rotta non riparata o sostituita prontamente, è un buco che permette a chiunque di entrare in un’azienda. Oggi un foro di ingresso, anche piccolissimo, può rivelarsi un traforo enorme per chi già da minuscoli spazi riesce introdursi nei nostri computer per rubare dati, metterli in giro o ricattare un’azienda

E’ stato più volte posto in evidenza come il GDPR non si riduca alla firma del modulo privacy e ad un buon antivirus. Il regolamento è un insieme di attività fatto di elementi informatici e anche legali che non sono meno importanti dei software di protezone. Informative, lettere di incarico, contratti e formazione del personale per non esporre la propria impresa a rischi che vanno ben oltre le sanzioni a tanti zeri da parte del Garante. Danni di immagine, reputazione, affidabilità sul mercato, perdita di dati, pagamento riscatti e non solo. Potrebbe risentirne l’intera stabilità dell’azienda.