Chi deve garantire il Gdpr non è pronto per l'arrivo del Gdpr

Tutto pronto, a parte le autorità che dovranno far rispettare le regole. Il Gdpr​, il nuovo regolamento europeo per la protezione dei dati personali, sarà in vigore dal 25 maggio. Ma spesso gli enti incaricati di vigilare sull'applicazione delle norme hanno budget e personale insufficienti. Italia compresa. Lo afferma un'indagine di Reuters.

Le regole in campo sono cambiate e le squadre (le aziende) non sono del tutto pronte. Il problema è che qui non sembra preparato neppure l'arbitro. Antonello Soro, presidente dell'Autorità garante per la protezione dei dati personali, si è detto favorevole al Gdpr, ma allo stesso tempo ha sottolineato l'inadeguatezza della sua struttura, non abbastanza ampia da reggere alle responsabilità imposte dal nuovo regolamento. Per il 2018, l'Autorità ha un budget di 25 milioni di euro. Servirebbe raddoppiarlo. Così come troppo esiguo è lo staff, composta da 122 persone. Secondo Soro ne servirebbero 300.

L'Italia non è un caso isolato. Tutt'altro.

Reuters ha inviato un questionario con quattro domande al garante italiano per la protezione dei dati personali e ai suoi omologhi nazionali e regionali. La supervisione del Gdpr, infatti, non è concentrata a Bruxelles ma delegata ai singoli Stati. A tutti è stato chiesto se sono pronti all'arrivo delle nuove regole. In 24 (18 autorità statali e sei sulle 16 federali tedesche) hanno risposto. In 17 hanno affermato che no, non sono preparati. Sottolineando, come fatto da Soro, che mancano fondi e personale. In 11 si aspettano di reperirli in in futuro, ma non in tempo per essere a pieno regime il 25 maggio. Insomma, sarà una partenza al rilento, con procedure da perfezionare sul campo.

Isabelle Falque-Pierrotin, presidente della francese Commission nationale de l'informatique et des libertés (Cnil) ha risposto a Reuters “di non avere risorse sufficienti per far fronte alle nuove responsabilità” che arriveranno con il Gdpr. Falque-Pierrotin e i suoi colleghi, sottolinea Reuters, non hanno però spiegato quali sarebbero i compiti delle autorità che potranno essere influenzati negativamente dalla mancanza di staff e budget. Di certo, però, Soro e colleghi si troveranno nella scomoda situazione di dover indicare delle priorità. Senza un budget e un staff capaci di coprire tutte le operazioni, alcune dovranno essere sacrificate. Il rischio, ha sottolineato il capo dell'Estonian Data Protection Inspectorate Viljar Peep, è che la qualità dell'applicazione del Gdpr dipenderà dalla “cultura amministrativa” dei funzionari. Generando quindi un quadro incoerente tra i diversi Paesi.

Perché preoccupa soprattutto Dublino

Tanti Stati, quindi, si trovano in una condizione simile. Ma su alcuni in particolare si poseranno gli occhi di Bruxelles. Tra le autorità che hanno preferito non rispondere a Reuters c'è quella che, probabilmente, sarà la più esposta: l'irlandese Dpc. Esposta perché da Dublino, per condizioni fiscali e regolatorie favorevoli, passano i dati di Google, Apple e Facebook. L'autorità ha comunque affermato che, in vista del Gdpr, i fondi ottenuti sono cresciuti a 11,7 milioni di euro. Una cifra che pare comunque sproporzionata rispetto a quella dei giganti da affrontare. Senza dimenticare che l'Irlanda, nella contesa tra società tecnologiche ed Europa sull'elusione fiscale, si è schierata accanto alle compagnie della Silicon Valley.