A cura di Antonello Arrè

Il nuovo Regolamento Generale sulla Protezione dei dati, noto con l’acronimo “GDPR – General Data Protection Regulation”, entrerà in vigore il 25 maggio 2018. Si tratta di una normativa molto discussa, approvata dal Parlamento Europeo nell’aprile 2016 con l’obiettivo di organizzare le leggi sulla riservatezza delle informazioni e sulla privacy di tutti i Paesi Europei, tenendo al sicuro i dati sensibili degli utenti utilizzati dalle aziende.

Il GDPR costituisce un importante passo in avanti in tema di standardizzazione delle politiche europee e di protezione dei dati. Ciò che cambia è l’estensione della giurisdizione a tutte le società che trattano dati personali di soggetti risiedenti nell’Unione Europea, indipendentemente dalla localizzazione geografica dell’azienda o del luogo in cui i dati vengono gestiti ed elaborati. Anche le imprese non europee che elaborano dati di cittadini europei dovranno comunque nominare un rappresentante interno all’UE.

È necessario, dunque, che le aziende rivedano fin da subito i propri processi interni, ponendo la privacy degli utenti come elemento primario a cui garantire priorità e precedenza. Inoltre è necessario prevedere la formazione del personale per chiarire da subito i limiti di responsabilità.
Un aspetto fondamentale normato nel GDPR, infatti, è il concetto di Privacy by Design. In particolare, viene stabilito che le misure di protezione dei dati debbano essere pianificate con le relative applicazioni informatiche di supporto, a partire dalla progettazione dei processi aziendali. Quanto normato implica che debbano essere processati solo i dati “veramente indispensabili” allo svolgimento dei propri obblighi professionali e che, quindi, venga limitato l’accesso alle informazioni solo agli utenti incaricati a svolgere l’elaborazione.

Altro aspetto importante è la Breach Notification, che prevede che le notifiche di violazione dei dati siano obbligatorie laddove la violazione può mettere a rischio i diritti e le libertà degli individui.

Riguardo la struttura interna dell’azienda stessa, con il GDPR la nuova normativa darà maggior risalto al team IT ed ai CEO aziendali, introdurrà la figura del Data Protection Officer (DPO) con il compito di vigilare sui processi interni alla struttura e di fungere da consulente. Il DPO sarà nominato sulla base di qualità professionali, esperienza in materia di diritto e di pratiche di protezione dei dati e dotazione delle risorse idonee. Sarà inoltre semplificato il controllo dei processi interni di gestioni dei dati.

Cosa comporterà l’introduzione del GDPR per le banche?
Da anni le banche investono enormi capitali sulla sicurezza dei dati e delle proprie infrastrutture informatiche: con la continua espansione dei canali digitali anche nel mondo finanziario e bancario, infatti,  sono in crescita la quantità e la frequenza delle violazioni dei dati.
La costante evoluzione delle minacce e l’assenza di chiarezza tra i leader di mercato spiega probabilmente perché, nonostante gli investimenti ingenti, molti degli operatori finanziari e bancari non possiedano una strategia di sicurezza equilibrata, né robuste pratiche dedicate alla riservatezza dei dati.
L’entrata in vigore del GDPR metterà in evidenza le violazioni registrate nelle banche più importanti, che saranno probabilmente rese pubbliche poco dopo essere avvenute.
I consumatori ritengono essenziale la fiducia nelle banche e e la sicurezza dei dati tanto quanto i propri averi. Per questo considerano la fiducia nella sicurezza e nella riservatezza dei dati come un fattore estremamente significativo nella scelta della propria banca.

Nonostante l’importanza attribuita alla sicurezza ed al trattamento di dati finanziari sensibili, sembra che i consumatori si fidino istintivamente delle banche senza un reale motivo. Il divario tra la percezione dei consumatori e la realtà effettiva è forse esemplificato dal fatto che, nonostante un istituto finanziario su quattro abbia dichiarato di esser stato colpito da attacchi informatici, sono pochi i consumatori che credono che la propria banca abbia mai subito violazioni di questo genere.

E’ ora, dunque, di ricorrere ai ripari: con l’introduzione del GDPR, le banche dovranno continuare ad investire sulla sicurezza dei propri dati ed infrastrutture informatiche. La Cybersecurity è la vera sfida che attende l’era della digital transformation.