Prevenire (e progettare) è meglio che curare (…e soprattutto costa meno).
La normativa sulla “privacy” contenuta nel GDPR, che è direttamente applicabile a tutti i cittadini per gli stati membri e dunque vincolante tutte le imprese, recepisce principi che sono stati consacrati a livello internazionale all’inizio del nuovo millennio.
Gli Stati, infatti, hanno preso atto che le informazioni delle persone, in un mondo tecnologicamente evoluto e sempre più online, hanno acquisito un valore eminente e devono essere protetti come gli altri beni più legati alla sfera dell’individuo (salute, benessere economico, integrità patrimoniale).
L’art. 25 del GDPR introduce due concetti che nella versione inglese sono chiamati “privacy by design” e “privacy by default”.
Il primo significa che le organizzazioni aziendali devono essere in grado di prevenire i rischi derivanti dai propri trattamenti dei dati personali e quindi dominarli in modo consapevole. Inoltre, è fondamentale che questi trattamenti siano precisamente individuati ed effettuati in modo trasparente, cioè in grado di poterli descrivere a chiunque avesse necessità di conoscere il funzionamento degli stessi.
Il secondo (privacy by default) significa che per impostazione predefinita le imprese dovrebbero trattare solo i dati personali nella misura necessaria e sufficiente per le finalità previste e per il periodo strettamente necessario a tali fini. È importante quindi progettare il sistema di trattamento di dati garantendo la non eccessività dei dati raccolti.
