Il 25 maggio entrerà in vigore il GDPR, il nuovo regolamento europeo per la protezione dei dati. Cosa accadrà nell’immediato a quelle aziende che non sono ancora pronte per rispettare tutte le nuove norme? Quali saranno i cambiamenti e le conseguenze per gli utenti e le persone? Trend Micro Italia, per voce del suo Country Manager Gastone Nencini, propone una riflessione su cinque scenari che potrebbero manifestarsi in seguito all’entrata in vigore del nuovo regolamento.

Nessuna grossa multa…per ora

In base al GDPR le aziende potrebbero essere sanzionate con multe fino al 4% del fatturato annuo o fino a 20 milioni di euro. È improbabile che venga esercitato subito questo potere, ma queste sanzioni non sono simboliche e col passare del tempo potremmo vedere le prime penalizzazioni.

È possibile che la prima grande multa non venga data per una grande violazione, ma per un caso individuale, nel quale un’azienda non abbia rispettato i nuovi diritti del cittadino circa l’accesso e la custodia dei suoi dati personali. Le conseguenze peggiori riguarderebbero i danni di immagine e relativi alla fiducia, piuttosto che il valore della multa in sé. Come altro provvedimento, i legislatori potrebbero anche sospendere e vietare il trasferimento dei dati verso altri Paesi e ciò spingerebbe l’azienda sanzionata ai margini del business.

Estorsioni legate al GDPR

Il nuovo regolamento stabilisce delle sanzioni economiche in caso non venga rispettato. I cyber criminali potrebbero impossessarsi dei dati di un’azienda, calcolare la probabile sanzione e chiedere una somma di denaro leggermente inferiore per non rendere pubblica la violazione. Nel caso l’azienda non dovesse cedere al ricatto, i cyber criminali porterebbero avanti l’estorsione vendendo i dati online. E la beffa sarebbe doppia.

gdpr

Un incidente relativo a un fornitore

Secondo il nuovo regolamento, le aziende che processano i dati, come ad esempio i cloud provider, hanno le stesse responsabilità di chi li controlla in caso di violazioni. Al di fuori dell’Unione Europea le leggi in materia di dati sono meno rigide e per questo bisogna assicurarsi che tutti i fornitori abbiano le stesse policy e procedure per mantenere gli standard del GDPR.

Non dire tutta la verità

Nonostante le possibili sanzioni economiche, i danni reputazionali e le interruzioni di servizio, alcune aziende potrebbero essere tentate dal non denunciare le violazioni del regolamento o dal non dire tutta la verità. Magari perché non hanno tutte le informazioni ed è per questo che un continuo monitoraggio della rete e un piano di risposta agli incidenti sono essenziali per rispettare il tempo di notifica delle 72 ore imposto dal GDPR. Il regolamento vuole indurre le organizzazioni a essere più trasparenti; non esserlo porterebbe ovviamente a serie e peggiori conseguenze.

Un periodo di aggiustamento

È importante ricordare che il GDPR non è un esercizio di velocità a mettersi in regola in vista di una scadenza singola, ma un processo continuo che si evolve nel tempo. Questo è anche un vantaggio, perché rende possibile un primo periodo di aggiustamento, nel quale i legislatori saranno più morbidi con le organizzazioni in difetto. Per avere successo nel lungo periodo però, le aziende dovranno vedere il regola mento come un processo di business, formulando strategie sia all’interno che all’esterno dell’organizzazione. Quello che è importante sottolineare è che il GDPR è qui per restare. Le aziende devono abbracciare il cambiamento e imparare a innovare, crescere e competere in questo nuovo scenario legislativo.