Privacy e GDPR: Accountability and Compliance

L’art. 5, par. 1, lett f), del regolamento europeo stabilisce che i dati personali sono “trattati in maniera da garantire un’adeguata sicurezza dei dati personali, compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentali («integrità e riservatezza»)”.

Il regolamento sposta il fulcro della normativa dalla tutela dell’interessato alla responsabilità del titolare e dei responsabili del trattamento dei dati che si devono concretizzare nell’adozione di comportamenti proattivi a dimostrazione dell’ adozione del regolamento. L’approccio del GDPR è basato sulla valutazione del rischio (risk based), con il quale si determina la misura di responsabilità del titolare o del responsabile del trattamento, tenendo conto della natura, della portata, del contesto e delle finalità del trattamento, nonché della probabilità e della gravità dei rischi per i diritti e le libertà degli utenti.
Un approccio risk based ha l’evidente vantaggio di pretendere degli obblighi che possono andare oltre la mera conformità alla legge, è sicuramente più flessibile e adattabile al mutare delle esigenze e degli strumenti tecnologici; ha però lo svantaggio di delegare all’azienda la valutazione del rischio. Con il GDPR, inoltre, i titolari del trattamento dovranno identificare la base giuridica del trattamento (ad esempio il consenso dell’interessato) e documentarla e a seconda di essa  possono variare i diritti dell’interessato. La base giuridica è tra gli elementi essenziali dell’informativa e deve essere evidenziata in riscontro ad una istanza di accesso.