GDPR, per le Regioni la privacy rimane un miraggio

ROMA - Il traguardo dell'adeguamento alla privacy europea è ancora molto lontano per le regioni italiane. E' quanto emerge dall'indagine della Global Privacy Enforcement Network (Gpen): per il 2018 risulta che il 48% delle Regioni non ha policy e procedure per la gestione di richieste e reclami da parte degli interessati; il 20% delle regioni non ha ancora adottato una procedura interna per la gestione dei dati; addirittura il 58% non ha processi documentati per la valutazione di impatto.

A dare notizia dei risultati dell'indagine, con particolare riguardo al caso Italia, è il Garante per la protezione dei dati personali, che coglie anche segnali di miglioramento in questi ultimi mesi. Gli esiti della ricerca fotografano comunque una realtà molto distante dall'allineamento alla normativa (regolamento Ue 2016/679), che pure è operativa fin dallo scorso 25 maggio 2018.

Vediamo i numeri della analisi, che ha coinvolto 19 soggetti pubblici (regioni e province autonome) e 54 società in-house e che disegnano diffuse lacune. Un quinto delle regioni non ha ancora adottato o applicato adeguatamente una procedura interna per la gestione dei dati.

Il 48% delle regioni (e anche il Il 24% di società in house) non hanno policy e procedure per la gestione delle richieste e dei reclami da parte degli interessati, o delle stesse autorità: il punto è sottolineato come un grave inadempimento da parte del Garante.

Un quinto delle organizzazioni non ha ancora una procedura di risposta agli incidenti di sicurezza (data breach) e un quarto non ha nemmeno un registro per documentare le violazioni subite. Il 58% delle regioni (e il 24% delle società in-house) non ha processi per la valutazione dei rischi sulla protezione dei dati personali, in relazione all'utilizzo di nuovi prodotti, tecnologie o servizi.

Anche se la maggior parte dei soggetti analizzati ha creato un registro dei trattamenti, un quinto delle regioni, aggiunge il garante, dovrebbe fare uno sforzo maggiore per tenere traccia anche dei dati personali comunicati o trasmessi a terzi. Infine, alcune note positive: le informative agli interessati sono adeguate, anche se alcune organizzazioni appaiono limitarsi a presentare la sola privacy policy del sito web.

(Articolo di Antonio Ciccia Messina)