Fiavet e Garante: ecco la nuova privacy, una missione possibile

28 febbraio 2018 12:00

Entro il 25 maggio tutte le imprese del turismo sono tenute al rispetto del nuovo regolamento europeo sulla privacy, noto come Gdpr, ma per quelle che già sono adeguate alla vecchia legge 196/2003 l’impegno si annuncia sostenibile: più che un costo un investimento per un plus operativo da spendere in marketing con clienti e fornitori.

Lo si è capito finalmente nel convegno organizzato a Roma dalla Fiavet con l’Autorità garante per la protezione dei dati personali. Con gli interventi per la Fiavet del presidente Jacopo De Ria e del responsabile del servizio legale Federico Lucarelli; per l’Autorità del vice presidente Augusta Iannini, del suo assistente Mario Erminio Malagnino, di Luigi Montuori, responsabile relazioni comunitarie e internazionali e di Filiberto Brozzetti, assistente dell’onorevole Bianchi Clerici. E con i contributi di Margherita Boni, legale di booking.com, Rocco Panetta, Studio Panetta e Associati, e di Bruna Assumma, Studio Legale Assumma.

Il decreto attuativo è atteso tra un paio di settimane, dopo l’esame delle commissioni di Camera e Senato. Il testo dovrebbe aggiungere paletti, impegni e distinguo più che modificare il nostro codice frutto della legge 196, ”già molto rigoroso“ si è detto in convegno.

I nuovi obblighi

L’incontro di Roma ha confermato come anche il Gdpr serva a mettere in sicurezza le imprese, e al passo con la vertiginosa evoluzione digitale del mercato globale. Una responsabilità che compete al grande tour operator come alla microagenzia: il regolamento è obbligatorio per chi nel trattamento dei dati ha la propria attività principale, o per chi ne tratta su larga scala, ad esempio con migliaia di clienti su tutto il territorio nazionale. Ma tutte le agenzie ricadono nell’eccezione che coinvolge chiunque tratti dati sensibili, come quelli su credo religioso – basta prenotare un pasto kasher su un volo – o sanitari: l’imbarco di un disabile, l’infortunio di un cliente in viaggio. Come pure l’eventuale dato giudiziario richiesto per ottenere molti visti turistici.

La buona notizia è che la Fiavet – ha spiegato tra l’latro De Ria – sta pensando a un ‘codice di codotta’ verticale per la protezione dei dati, che serva di riferimento e guida a tutte le imprese del turismo.

Tre le innovazioni principali e obbligatorie previste dal Gdpr: l’adozione di un registro dei trattamenti dei dati, in cui sia indicato ogni tipo di operazione implicata dall’attività di organizzazione o intermediazione di viaggi; la nomina di un titolare del trattamento dei dati che ne assume personalmente la responsabilità di fronte alla giustizia amministrativa e penale; infine la nomina di un Dpo, Data proteico officer che curi e si incarichi della supervisione dell’assetto della privacyi in azienda, inclusi processi, software, hardware e formazione dei dipendenti, e della complessa ‘valutazione d’impatto’ sul titolare dei dati nel caso l’impresa che li detiene li smarrisca o ne venga derubata. O peggio, ne faccia un uso improprio. A dotarsi di un Dpo sono tenute tuttavia solo le imprese che trattano dati su larga scala, quindi non le micro agenzie con un bacino di mercato locale.

Privacy globale, ma non negli Usa

Una novità positiva è che il regolamento è cogente e subito attuativo in tutti gli Stati Membri: altro fattore di equilibrio tra le imprese competitor. Ma lo è anche a livello globale: l’operatore che consegna i dati dei propri clienti a un fornitore straniero può pretendere un regime di protezione identico al proprio. La buona notizia è che già esistono intese con numerosi Paesi, ad esempio con il virtuoso Canada, ma non con gli Usa dove il concetto di privacy resta ancora vago. Ma in questo caso, come per tutti i Paesi in condizioni analoghe, farà da scudo all’agenzia il consenso del cliente, mai più ‘preflaggato’, ossia automatico, o inconsapevole. Con una modulistica, questa si, tutta o quasi da riscrivere.

Sanzioni ‘proporzionate e dissuasive’

Per convincere tutti, non bastasse l’idea del plus competitivo da offrire al cliente, ci sono le sanzioni previste dal Gdpr, che minacciano imprese e persone fisiche coinvolte nella protezione dei dati, segmentate puntualmente per ogni e qualsiasi fase del trattamento dei dati, dove si capisce davvero l’intento preventivo del nuovo regolamento europeo. Proporzionali, effettive e dissuasive, come nelle intenzioni dichiarate dal Gdpr, le sanzioni lo saranno di sicuro: fino al 2 o al 4% del fatturato annuo globale, secondo tipo di violazione, e fino a 10 o 20 milioni di euro. Ma per molti casi minori il regolamento parla anche di avvertimenti, ammonizioni, ingiunzioni correttive. E a controllare sarà l’Autorità garante della privacy, niente regioni o provincie stavolta.