Per anni la Privacy è stata raccontata come una materia fatta di documenti: informative da consegnare, consensi da raccogliere, registri da compilare, nomine da firmare. In molte organizzazioni la conformità veniva misurata quasi esclusivamente dalla presenza di una cartella piena di modelli e procedure – una visione rassicurante – che dava la sensazione di essere in regola. Poi è arrivato il GDPR ed è cambiata la prospettiva: non basta più avere i documenti, ma occorre comprendere se il modo di trattare i dati adottato dall’azienda è in linea o meno con i princìpi stabiliti dal Regolamento, e quanto effettivamente siano utili a proteggerli.
Oggi chi si occupa di protezione dei dati sa bene che il Regolamento europeo non può essere letto come un insieme di regole statiche. Il testo normativo rappresenta il punto di partenza, ma la sua reale portata emerge ogni giorno e prende forma nella pratica. In particolare, è attraverso le decisioni del Garante per la Protezione dei Dati, le linee guida, le FAQ, i provvedimenti correttivi e le sanzioni che si contribuisce a trasformare princìpi apparentemente astratti in indicazioni operative e concrete.
In questo senso il GDPR prende vita, si adatta, evolve e si confronta continuamente con nuove tecnologie, nuovi modelli organizzativi e nuovi rischi. Basta pensare alla portata dell’intelligenza artificiale, una tecnologia che, quando il Regolamento è stato scritto, non aveva ancora assunto il ruolo centrale che ricopre oggi.
È stato proprio il Garante per la Protezione dei Dati con il provvedimento del 27 febbraio 2025 a stabilire che la formazione sul Gdpr va aggiornata periodicamente.
Vediamo alcuni esempi.
Il pulsante “Accetta tutto”
Per anni abbiamo accettato cookie wall indecifrabili che, di fatto, “estorcevano” il consenso dell’interessato. Il pulsante “Accetta tutto” rappresentava di fatto l’unica via percorribile, perché trovare altre opzioni era reso molto difficile all’utente. Le recenti Linee guida del Garante hanno modificato radicalmente questo approccio, chiarendo che il consenso non può essere ottenuto attraverso artifici grafici o percorsi obbligati, deve essere libero, informato e realmente consapevole.
Questo cambiamento è stato possibile proprio attraverso l’interpretazione dei princìpi del GDPR, imponendo banner semplici, comprensibili e capaci di consentire all’utente di esprimere le proprie scelte in modo realmente libero.
La Privacy by design
Un altro tema che ha generato molte discussioni sin dall’entrata in vigore del Regolamento è quello della Privacy by design. Eppure, proprio questo principio ha consentito di attribuire alla protezione dei dati una dignità autonoma, imponendo di progettare software e applicativi tenendo conto della tutela dei dati personali fin dalla loro ideazione.
La Privacy entra quindi nella fase di progettazione, influenza le scelte tecnologiche e determina quali dati raccogliere e quali no. Tutto questo rappresenta un cambio di prospettiva che riguarda ogni organizzazione, indipendentemente dalle sue dimensioni.
L’Accountability nel lavoro
La protezione dei dati è un esercizio di responsabilità concreta dove non basta “fare”, ma bisogna saper documentare ogni scelta. Questo è particolarmente evidente nel mondo del lavoro. Qui il Garante è intervenuto più volte sul delicato equilibrio tra esigenze organizzative e tutela di chi lavora. Le decisioni relative al monitoraggio della navigazione internet, all’utilizzo degli strumenti aziendali e alla conservazione dei metadati della posta elettronica hanno contribuito a ridefinire i confini di ciò che è realmente consentito. Ciò che emerge da questi interventi è un principio semplice ma spesso dimenticato: il fatto che una tecnologia renda possibile un controllo non significa automaticamente che quel controllo sia legittimo.
Non sempre è lecito utilizzare tutti gli strumenti che la tecnologia mette a disposizione. Ed è proprio su questo assunto che si gioca, nell’ambito lavorativo, la conformità al Regolamento europeo. La domanda che ogni operatore o operatrice deve porsi non è soltanto “Posso farlo?”, ma anche “Perché lo sto facendo?”, “È proporzionato?”, “È necessario?” e “Sono in grado di giustificarlo?”.
Il governo del dato
L’adagio più diffuso in materia di conservazione dei dati è spesso quello di conservare tutto perché potrebbe tornare utile un giorno. Intendere la conservazione, nell’attuale contesto storico, in questo modo, non fa altro che aumentare i rischi ai quali sono esposti i dati personali. Ogni informazione conservata oltre il tempo necessario amplia infatti la superficie di esposizione dell’organizzazione, aumentando il rischio di accessi non autorizzati, utilizzi impropri, perdite o violazioni e, in definitiva, di data breach.
Per questo il GDPR ha sostituito la logica dell’accumulo con quella della necessità. Non conta quanti dati si possiedono, ma se esiste una ragione concreta e documentabile per continuare a conservarli.
Lo stesso principio vale per le immagini di videosorveglianza, per le candidature ricevute, per i dati utilizzati nelle attività di marketing e persino per le informazioni generate quotidianamente dai sistemi informatici.
La protezione dei dati, quindi, non consiste nell’accumulare informazioni e procedure. Consiste nel governarle.
La formazione
Human Firewall: quando la sicurezza inizia dalle persone
Sebbene firewall e antivirus siano fondamentali, l’esperienza insegna che la maggior parte degli incidenti avviene per un allegato aperto con superficialità o una password condivisa. Un singolo gesto può aggirare le migliori misure tecniche adottate dall’azienda.
È per questo che oggi si parla sempre più di Human Firewall: la consapevolezza che la prima linea di difesa non è la tecnologia, ma sono le persone.
Una persona capace di riconoscere un tentativo di phishing, comprendere il valore delle informazioni che tratta o che sa individuare una situazione anomala prima che si trasformi in un incidente rappresenta misure di sicurezza tanto importanti quanto qualsiasi strumento tecnologico.
In quest’ottica la formazione assume un significato completamente diverso: da obbligo da assolvere diventa un vero investimento per l’organizzazione. Ogni attività formativa efficace contribuisce a costruire consapevolezza, responsabilità e capacità di reazione.
È proprio in questo modo che si costruisce quell’Human Firewall capace di contribuire concretamente alla continuità aziendale.
Conclusioni
In fondo è questa la vera vita del GDPR: non un insieme di definizioni normative, ma una serie di comportamenti che permettono alle organizzazioni di proteggere i dati e garantire la propria continuità operativa.
Perché conoscere la norma è importante. Comprendere come quella norma vive nella realtà operativa lo è ancora di più.
Skilla supporta le organizzazioni nello sviluppo di competenze e consapevolezza in materia di protezione dei dati. Scopri il nuovo corso GDPR qui.
