Sanzioni GDPR e la challenge agility: cosa vuol dire essere compliant

Viviamo in un epoca in cui, nella vita manageriale, l’ingrediente principale e la sfida di tutti i giorni è la challenge agility: la prontezza nel cambiare. Affrontare i cambiamenti richiesti da normative, procedure e regolamenti dotati di senso di responsabilità aiuta notevolmente il management aziendale ad evolversi e quindi adeguarsi.

Durante l’ormai passato 2018 tutti i soggetti che trattano dati personali sono stati chiamati ad adeguare l’intero processo del loro trattamento secondo il regolamento GDPR EU 2016/679.

Ma ancora ad oggi sono eclatanti i casi di aziende che, complice la mancanza di senso di responsabilità, stanno ancora violando il Regolamento e non trattano le informazioni nel modo appropriato.

Un approccio responsabile e lungimirante permette di tutelare se stessi e i dati in possesso.

Il processo per essere GDPR Compliant è un percorso delicato che richiede un’attenta Risk Analysis, formazione e attività di Audit specifici e periodici.

Oltre a essere adeguate al Regolamento, in questo modo le aziende evitano le sanzioni del Garante della Privacy

Infatti a partire da gennaio 2019 i Garanti della Privacy europei hanno cominciato a sanzionare gli enti privati e pubblici per la violazione del trattamento dei dati. Si tratta di multe molto elevate, come quella di 50 Milioni di Euro applicata a Google dal Garante della Privacy francese.

Qui sotto alcuni esempi di multe applicate alle aziende nei primi 7 mesi del 2019:

Oltre alla sanzione pecuniaria l’ente è obbligato ad adottare misure correttive per la tutela dei dati e alcuni strumenti per l’individuazione delle anomalie procedurali; in alcuni casi l’azienda è stata punita anche con la limitazione nell’utilizzo delle informazioni.

Il rischio: quale cliente attuale o potenziale si rivolgerà a un’azienda che è stata sanzionata?

L’ente sanzionato avrà sicuramente dei danni reputazionali e di credibilità verso l’esterno, e l’azienda sarà ritenuta vulnerabile e poco credibile.

Uno dei casi più recenti di sanzioni applicate ad aziende è avvenuto in Italia a Eni Gas & Luce: il Garante della Privacy Italiano ha inflitto all’ente due multe per un totale complessivo di 11,5 milioni di Euro.

Ma quali sono state le motivazioni delle sanzioni a Eni Gas & Luce?

La prima sanzione è di 8,5 milioni di Euro, per trattamenti illeciti nelle attività di telemarketing e teleselling. In particolare sono state effettuate telefonate pubblicitarie senza il consenso delle persone contattate o senza l’attivazione delle specifiche procedure di verifica del Registro Pubblico delle Opposizioni.

La seconda sanzione di 3 milioni di Euro riguarda la violazione nella conclusione dei contratti non richiesti. Circa 7.200 consumatori hanno appreso della stipula di un nuovo contratto solo alla ricezione della lettera di disdetta del vecchio fornitore o dalle prime fatture.

Il Garante ha obbligato l’Ente ad alcune misure correttive, affinché venga applicato il Regolamento

Il Garante ha chiesto a Eni Gas & Luce di adottare misure correttive e implementare procedure e sistemi per la verifica dello stato dei consensi delle persone inserite nelle liste dei contatti; inoltre dovrà provvedere all’automatizzazione dei flussi di dati dal proprio database alla black list di chi non vuole ricevere pubblicità. Infine è stato vietato alla società l’uso dei dati forniti dai list provider senza l’acquisizione da parte di essi del consenso per la comunicazione di tali dati. (fonte: Garante per la protezione dei Dati personali).

La soluzione: perché un’azienda dovrebbe essere GDPR compliant?

Di fronte alla domanda della conformità al GDPR le aziende hanno reagito in modo diverso: alcune lo hanno visto come un altro regolamento e ulteriori faldoni da compilare per poter essere in regola; dall’altra parte un gran numero di enti non si è ancora conformato, nonostante le sanzioni non siano banali e le segnalazioni siano continue.

Adeguarsi alla normativa non significa solo essere in regola con il Regolamento Europeo GDPR 679/2016, ma responsabilizzare l’azienda e proteggere le informazioni private e aziendali.

Se anche tu senti senso di responsabilità verso i dati trattati dalla tua azienda e vuoi essere GDPR compliant, contattaci.