Man mano che le economie avanzate iniziano a riprendersi dalla pandemia, sempre più aziende annunciano la ripresa delle proprie attività. Ciò solleva alcune domande: anche le autorità di regolamentazione sono pronte a entrare in azione? Se ne sono mai andati?
Ebbene, proprio come molte altre aziende, le autorità di regolamentazione e di vigilanza sono passate al lavoro da remoto e hanno adeguato i propri protocolli, ma non sono scomparse.
Forse, alla luce dello sconvolgimento causato dal COVID-19 e delle sfide che esso ha posto alle imprese, sarebbe opportuno porsi la seguente domanda: le autorità di regolamentazione hanno allentato alcune norme per concedere alle aziende un po’ di respiro durante la pandemia?
Si prenda ad esempio il Regolamento generale sulla protezione dei dati dell’Unione Europea (GDPR), entrato in vigore tre anni fa. La normativa, concepita per disciplinare il trasferimento dei dati personali al di fuori dell’Unione europea e dello Spazio economico europeo e per garantire alle persone il controllo sulle proprie informazioni, ha determinato un cambiamento epocale per qualsiasi azienda che gestisca i dati personali e intrattenga rapporti commerciali con il blocco dei 27 Stati membri.
La normativa ha consentito ai paesi dell’UE di infliggere alle aziende sanzioni fino al 4% del fatturato annuo in caso di violazioni dei dati.
Spinte dal timore di sanzioni esorbitanti, le organizzazioni hanno investito risorse ingenti nell’adeguamento normativo in vista dell’entrata in vigore dell’ GDPR. Secondo LegalJobs, , una piattaforma di reclutamento per professionisti del settore legale, quasi otto aziende statunitensi su 10 hanno adottato misure per prepararsi all’entrata in vigore delle norme, con il 27% che ha speso oltre mezzo milione di dollari per adeguarsi alle disposizioni.
Tasto di scelta rapida
Con l’aggravarsi della pandemia lo scorso anno, secondo quanto riferito da Omer Tene , vicepresidente e Chief Knowledge Officer dell’, presso l’International Association of Privacy Professionals (IAPP), le autorità di regolamentazione hanno riconosciuto le circostanze particolari in cui si sono trovate le imprese a causa dell’interruzione delle catene di approvvigionamento, dello stravolgimento dei rapporti commerciali e del passaggio di intere forze lavoro al lavoro da casa. Tuttavia, man mano che le aziende tornano alla normale operatività, è prevedibile che le autorità preposte alla protezione dei dati «cambino marcia e accelerino le procedure di applicazione della normativa, anche in settori particolarmente delicati quali la tecnologia pubblicitaria e i trasferimenti globali di dati», afferma Tene.
«. Teniamo traccia delle multe e abbiamo effettivamente riscontrato una tendenza all’aumento delle sanzioni.»Hilary Wandall, vicepresidente senior responsabile della privacy intelligence e consulente legale presso TrustArc
Ovviamente, nessuna autorità di regolamentazione ammetterà che durante la pandemia le norme e gli obblighi di conformità siano stati allentati. Da parte sua, l’Ufficio del Commissario per l’informazione del Regno Unito ( ) ha dichiarato che adotterà un approccio “flessibile” e si concentrerà sui “rischi più gravi e sulle minacce più serie per il pubblico” nel proprio approccio normativo pubblicato su 4 giugno 2021. Il mese scorso, Dominic Cummings, il controverso ex consigliere di punta del primo ministro Boris Johnson, ha dichiarato nel corso di un’audizione parlamentare della Commissione per l’ e di aver chiesto alle agenzie di ignorare le leggi dell’UE in materia di protezione dei dati al fine di contribuire a coordinare la risposta del Regno Unito alla pandemia.pa
Hilary Wandall, vicepresidente senior per la privacy intelligence e responsabile legale presso TrustArc, società di consulenza in materia di governance delle informazioni e sicurezza dei dati, afferma che, sebbene si possa avere l’impressione che l’applicazione della normativa “ GDPR ” in senso generale abbia subito un rallentamento, in realtà vengono comminate un numero maggiore di sanzioni.
«Teniamo traccia delle multe e abbiamo effettivamente riscontrato una tendenza all’aumento delle sanzioni», afferma Wandall.
L’autrice sottolinea la multa di 6 milioni di euro inflitta a CaixaBank dall’Autorità spagnola per la protezione dei dati (AEPD) all’inizio di quest’anno per non aver trattato i dati personali in modo lecito e per non aver fornito ai clienti informazioni adeguate in merito alle politiche sulla privacy. Il mese precedente, nell’ambito dell’operazione “ dicembre 2020”, l’AEPD aveva inflitto a un’altra banca spagnola, la BBVA, una sanzione di 5 milioni di euro per violazioni della normativa “ GDPR ”.
Nonostante la pandemia, le aziende dovrebbero mantenere alta la guardia e prepararsi a controlli più rigorosi e a sanzioni potenzialmente severe, afferma Rene Bentvelzen, responsabile globale della protezione dei dati presso la società olandese Unit4, che fornisce applicazioni aziendali per i servizi professionali e che ha avviato un’iniziativa di conformità e sensibilizzazione in occasione dell’entrata in vigore dell’ GDPR .
Afferma inoltre che l’ GDPR e non si limita alla semplice prevenzione di sanzioni paralizzanti e che la conformità alle normative rappresenta «semplicemente una buona pratica aziendale e un fattore positivo per l’immagine reputazionale».
L'ira delle autorità di regolamentazione
Esistono diverse misure che le aziende possono adottare per garantire la conformità all’ GDPR , al fine di evitare le sanzioni delle autorità di regolamentazione. Un buon punto di partenza è stabilire quali normative siano applicabili, afferma Wandall. Le aziende devono valutare le interrelazioni tra le normative e, successivamente, elaborare un approccio programmatico.
Wandall raccomanda di ricorrere a una struttura quadro a sostegno della governance. «Occorrono persone che comprendano i requisiti legali, ma anche gli ingegneri che sviluppano le soluzioni software devono sapere come integrare la tutela della privacy», afferma. “Tutto dipende da come gestite i dati per ottenere il massimo valore e da come gestite il rischio.”
“Tutto dipende da come si gestiscono i dati per ottenere il massimo valore e da come si gestiscono i rischi.”
Brian Spanswick, responsabile della sicurezza informatica e direttore del reparto IT presso Cohesity, società di consulenza nel settore dei dati, sottolinea che non vi è nulla di nuovo sotto il sole quando si tratta di conformarsi all’ GDPR. Le aziende possono migliorare la protezione dei dati e la visibilità crittografando i dati riservati sia in transito che in archiviazione; limitando o eliminando le opzioni che consentono agli utenti di scaricare dati riservati sui propri dispositivi personali; e utilizzando reti sicure con reti private virtuali (VPN) quando si accede a dati riservati.
«È necessario ricordare che queste misure di tutela della privacy stanno prendendo piede per un motivo ben preciso, e non si tratta solo di ottemperare alle normative», afferma Spanswick. «Si tratta anche di gestire in modo responsabile i dati dei nostri clienti e dei nostri partner».
A tal fine, le aziende devono stare un passo avanti ai malintenzionati, che cercano di sfruttare le vulnerabilità e le configurazioni errate presenti negli endpoint e nelle reti. L’utilizzo di una piattaforma adeguata per la gestione della configurazione della sicurezza degli , in grado di fornire dati in tempo reale e strumenti di correzione, può aiutare i CISO e i responsabili delle operazioni IT non solo a migliorare l’igiene informatica, ma anche ad acquisire una visibilità quasi immediata su decine di migliaia di endpoint presenti nelle loro reti.
«: non si tratta solo di rispettare le normative». Si tratta anche di gestire in modo responsabile i dati dei nostri clienti e partner.”Brian Spanswick, responsabile della sicurezza informatica e direttore del reparto IT presso Cohesity
Queste piattaforme offrono inoltre metriche in tempo reale per la rendicontazione e gli audit di conformità, il che migliora la sicurezza e la produttività, poiché i lavoratori non devono più raccogliere manualmente i dati da diversi strumenti. Ciò semplifica il flusso di lavoro, elimina la proliferazione di strumenti di " " e riunisce i dati relativi alla conformità in un unico luogo.
Molti commentatori concordano sul fatto che, man mano che usciremo dalla crisi del COVID-19, le aziende saranno tentate di ignorare l’ GDPR e altre normative in materia di privacy, ed è compito dei loro consulenti legali e di sicurezza far loro comprendere appieno i rischi che ciò comporta.
«È altamente probabile che la conformità alle norme “ GDPR ” abbia perso un po’ di importanza per alcune organizzazioni», afferma Oliver Cronk, capo architetto per la regione EMEA presso Tanium. «Ritengo che potrebbero verificarsi alcune omissioni che comporteranno ingenti multe da parte dell’ GDPR e nel corso del prossimo anno o dei prossimi due anni.»
