Due anni sono passati dall’entrata in vigore del GDPR e il 25 maggio 2018 è trascorso con un bombardamento di mail.
Uno straordinario sforzo di adeguamento al GDPR
Si è chiesto ad aziende grandi e piccole, pubbliche amministrazioni e professionisti si compiere uno straordinario sforzo di adeguamento a una normativa sicuramente fortemente innovativa, ma anche onerosa in termini di necessità di analisi, di proceduralizzazione, di sicurezza.
Questo sforzo, perlomeno nello strato delle grandi aziende, è stato avviato come dimostrano i numeri dell’Osservatorio Sicurezza & Privacy del Politecnico di Milano.
Moltissime grandi aziende, soprattutto nei settori dove il dato del consumatore viene trattato massicciamente (per fare alcuni esempi: telecomunicazioni, banche, assicurazioni, grande distribuzione, retail) hanno posto in essere importanti (e costosi) progetti di adeguamento.
La pressione mediatica sugli incidenti di sicurezza
I numeri che l’Osservatorio del Politecnico ha raccolto dimostrano che l’attenzione sul tema del trattamento dei dati è aumentata enormemente in questo ultimo anno e mezzo complice anche, a mio avviso, la pressione mediatica che costantemente c’è sugli incidenti di sicurezza e comunque ogni volta che emerge un caso di trattamento illecito di dati (uno per tutti quest’anno: Cambridge Analytica).
Gli impatti sul mercato dell’adeguamento al GDPR
I progetti di adeguamento al GDPR hanno quindi creato una serie di impatti sul mercato rilevantissimi: aumento degli investimenti in compliance, aumento dell’attenzione (e prospetticamente degli investimenti) sul tema della sicurezza informatica e in particolare in tutto il settore dell’innovazione digitale, dell’IoT, del cloud, del mobile, rivisitazione delle logiche sottese al rapporto contrattuale fra clienti e fornitori di servizi informatici (per l’impatto del GDPR sugli accordi contrattuali) e, infine ma forse come elemento di maggiore importanza, impatto occupazionale.
L’impatto occupazionale
Mai come in questi mesi il mercato ha ricercato figure specializzate in compliance e sicurezza.
I responsabili della protezione dei dati i cui dati sono stati comunicati all’Autorità Garante per la Protezione dei Dati Personali sono decine di migliaia. Si tratta per una parte importante di soggetti operanti nella Pubblica Amministrazione e per il resto in aziende private che quando non obbligate hanno comunque scelto di dotarsi della figura.
I DPO saranno un volano rilevante sul mercato perché il loro stesso lavoro, in decine di migliaia di entità, determinerà la costante attenzione sul tema del trattamento dei dati personali e della sicurezza il che presumibilmente determinerà l’avvio di un circolo virtuoso perlomeno nel breve-medio termine in cui all’aumento di attenzione seguiranno investimenti.
Investimenti in sicurezza vantaggio per tutti
Gli investimenti fatti in questi mesi, e quelli che saranno fatti in futuro, sono stati e saranno quindi utili.
Utili ad aumentare, e dove inesistente creare, la consapevolezza che la sicurezza informatica non serve solo a chi investe per dotarsene. Serve a proteggere tutti.
I dati che il CLUSIT ha prodotto nel Report 2018 parlano chiaro: gli attacchi sono in aumento, così come i danni che gli attacchi arrecano.
La mancata emanazione del decreto di adeguamento
In questo contesto risulta forse stonato il fatto che non si sia riusciti a emanare il decreto legislativo di adeguamento della normativa italiana al GDPR. Dal 25 maggio deve trovare piena attuazione il GDPR senza alcun dubbio, ma sarebbe stato corretto e sensato poter affrontare i progetti di adeguamento conoscendo cosa rimarrà del Codice, sarebbe stato utile poter conoscere nel dettaglio l’impianto sanzionatorio, anche per poterne valutare i rischi, sarebbe stato utile sapere se e quali elementi di utilità per le aziende che nel corso degli anni sono stati inseriti nel panorama normativo vigente fino al 25 maggio saranno salvaguardati.
Si attenderà invece ancora alcune settimane, con la conseguenza che in piena estate ci sarà un ritorno di attenzione sul tema.
Da una parte si chiede alle aziende e alle pubbliche amministrazioni di dare adempimento alla normativa, spesso ironizzando sul ritardo con cui cronicamente partono i progetti, ma dall’altra parte lo stesso legislatore non arriva in tempo in scadenze conosciute da anni. Non è uno splendido esempio di coerenza.
Cosa succederà ora
In attesa del completamento del panorama normativo i progetti verranno portati a compimento ma, soprattutto, oltre all’avvio di tutte le attività dei DPO saranno fatte scelte in termini di soluzioni tecnologiche. È presumibile infatti che le analisi dei rischi e le valutazioni di adeguatezza previste dal GDPR siano state svolte in larga parte in un periodo incompatibile con i budget 2018. Ci attendiamo invece che i budget 2019 e perlomeno 2020 porteranno a un aumento rilevante della spesa in sicurezza informatica.
L’aumento della spesa in sicurezza informatica
L’Osservatorio Sicurezza & Privacy ha stimato essere il 12% l’aumento della spesa in sicurezza informatica avvenuto fra il 2016 e il 2017 (da oltre 900 milioni di euro a quasi un miliardo e cento milioni). Vedremo cosa accadrà nel 2018 in termini di spesa ma vedremo anche se e quali casi eclatanti saranno portati all’attenzione delle cronache e quale sarà l’effetto del ruolo dei DPO nel mercato.
Insomma, siamo davanti a una rivoluzione. Sarebbe stato meglio viverla con un apparato normativo completo.
