GDPR: sanzioni per 2,92 miliardi di euro
Dal 28 gennaio 2022 le sanzioni emesse dal GDPR hanno sono aumentate del 168% rispetto al 2021.
Il 2022 ha registrato un nuovo record in merito alle sanzioni emesse ai sensi del GDPR e delle notifiche di data breach a livello europeo: dal 28 gennaio 2022 hanno raggiunto complessivamente i 2,92 miliardi di euro, con un aumento del 168% rispetto all’anno precedente.
Questi dati emergono dal report annuale “GDPR fines and data breach survey: January 2023”, pubblicato dallo studio legale internazionale DLA Piper. Il documento mette in evidenza che le sanzioni più elevate sono quelle comminate a Meta Platforms Ireland Ltd., a dimostrazione del fatto che i social media, a causa dell’ampio trattamento in materia dei dati personali, sono stati oggetto di una particolare attenzione da parte delle autorità di regolamentazione.
Molte delle sanzioni inflitte riguardano la profilazione del comportamento degli utenti e la possibilità di utilizzare la base giuridica della “necessità contrattuale” per legittimare la raccolta in modo massivo di dati personali. Mentre il DPC irlandese aveva inizialmente confermato questa possibilità, lo European Data Protection Board ha invece manifestato un orientamento diverso.
Diminuzione dei data breach
L’indagine rivela anche che il volume totale dei data breach notificati è leggermente diminuito rispetto all’anno precedente. Il totale medio giornaliero si è infatti ridotto da 328 notifiche a 300.
Questo avviene probabilmente perché i soggetti coinvolti stanno diventando più cauti nel notificare i data breach alle autorità privacy per paura di sanzioni, richieste di risarcimento e indagini.
Il ruolo dei dati per addestrare l’intelligenza artificiale
Oltre al rapporto tra l’utilizzo dei dati personali in relazione alla pubblicità e ai social media, nel report viene messa in luce una crescente attenzione per l’Intelligenza Artificiale. Quest’anno, in particolare, sono state condotte diverse indagini sulla società di riconoscimento facciale Clearview AI a seguito di numerose denunce da parte di organizzazioni per i diritti digitali, con l’emissione di diverse sanzioni.
Poiché l’intelligenza artificiale e le piattaforme di apprendimento automatico sono sempre più diffuse, il report prevede un rapido aumento delle indagini e della normativa, con particolare attenzione sia ai fornitori che agli utenti dell’IA.
Trasferimento internazionale di dati
Infine, l’indagine riporta anche alcune decisioni degne di nota prese dalle autorità privacy in merito all’applicazione dei requisiti del GDPR Schrems II e del Capitolo V a specifici trasferimenti internazionali di dati personali.
Non è possibile difatti adottare un approccio basato sul rischio quando si valutano i trasferimenti di dati personali verso Paesi terzi, sostenendo che questi sono assolutamente vietati se la mera possibilità di accesso da parte di governi esteri dà luogo ad un qualsiasi rischio di danno.
Come essere compliant al GDPR ed evitare sanzioni
A fronte del nuovo Regolamento UE 679/2016, le aziende sono dunque obbligate a introdurre una serie di misure specifiche, soprattutto per non incorrere nelle pesanti sanzioni previste.
Protezione dei dati
Le aziende devono saper dimostrare, attraverso una documentazione specifica, di aver fatto tutto ciò che è nelle loro possibilità per proteggere i dati personali acquisiti. Sono inoltre chiamate a preservare questi dati personali dalla modifica fortuita o illecita o dalla perdita, dalla distruzione e dalle divulgazioni o dagli accessi non autorizzati.
Per questo è importante monitorare il sistema delle protezioni regolarmente, in modo da individuare eventuali violazioni (interne o esterne) ed effettuare comunicazioni tempestive alle autorità e ai soggetti interessati.
Utilizzo dei dati
Tutte le organizzazioni devono utilizzare i dati personali in modo corretto, lecito e trasparente, dimostrando anche di aver ricevuto un consenso esplicito per tutti i trattamenti effettuati.
È necessario inoltre disporre di misure di data governance che includano la continua valutazione del rischio e la predisposizione di una documentazione dettagliata.
Conoscenza dei dati
L’azienda deve avere infine una chiara conoscenza di quali siano i trattamenti effettuati e le categorie di dati gestiti, come vengono trattati e protetti, dove siano localizzati e chi è autorizzato a trattare i dati personali.