25 maggio 2018, il GDPR è sceso in campo…

Al 25 maggio in azienda è partita l’operazione GDPR; sono state spedite parecchie centinaia di mail con le informative e richieste di consenso (gestibili da sito web dedicato ovvero senza spreco di carta).

Moltissimi sono stati presi in contropiede e non sapevano cosa fare, dove firmare, ecc.; altri sorpresi da come è ben gestita la cosa (parole loro) mi hanno chiesto informazioni su chi ha realizzato il tutto.

Essendo da solo in ufficio, alla fine ieri non ho lavorato, anche se avevo da fare, per stare dietro al flusso di mail in entrata (che se ne spedisci parecchie centinaia, poi arrivano anche le risposte) e sono stato al telefono in un giorno più che in un mese per rispondere a dubbi, informazioni e chiarimenti di molti che neanche sapevano cos’è il GDPR, il che la dice lunga.

Io stesso inizialmente avevo sottovalutato la cosa e se la società che ha curato la gestione della faccenda mi aveva mandato ad inizi aprile un’offerta, io l’avevo presa in considerazione solo ad inizi maggio, ma moltissimi ancor oggi non ne sanno nulla e solo nell’ultima settimana sono arrivate da società di consulenza informatica o gestionale le mail che offrivano seminari ed incontri per capire il da farsi.

E mi diceva un’amica che lavora in campo sanitario privato: “Immagina nel mio settore… per i medici è un delirio. … ed il garante non ha ancora sciolto dei nodi… neppure la ASL sa ancora come fare per alcune cose. …”

Quello che mi indispone è il fatto che servirà a poco; chi se ne fregava delle norme sino ad ora, continuerà a farlo, sennò non si spiegherebbe come possano arrivare continue telefonate da chi sa che sei iscritto al Registro delle Opposizioni e, contestualmente, ti ha garantito più volte per iscritto la cancellazione dei tuoi dati.

Ed ogni riferimento a Fastweb, Tim, Vodafone e Wind-Tre non è casuale.

Quindi, certo, continuano ad arrivare mail da siti di vendite online dove sei iscritto che ti informano dei tuoi diritti e via dicendo, e ci sarà chi osserverà le nuove norme, ma spesso i consensi al trattamento dei dati sono impostati in modo tale che se non accetti tutto, non ti daranno il servizio.

Poi sabato mattina vai su Twitter e trovi la genialata che ti risolleva l’umore 😀

P.S. Non sono contrario ad una regolamentazione chiara e precisa, però è evidente che se ci sono rapporti di lavoro in corso fra due aziende che si sono fornire reciprocamente i dati necessari a svolgere il lavoro (che siano i dati societari o bancari) va da sè che non puoi obbligarli a seguire una procedura con la quale uno autorizzi l’altro ad utilizzare dati senza i quali non potrebbero lavorare.

Basterebbe dare linee guida chiare e di facile applicazione per proteggere i dati raccolti, vietare la diffusione a terzi (ove i terzi non sono la banca che deve gestire i pagamenti, ad esempio) e fornire un’informativa nel momento in cui si inizia un rapporto lavorativo/commerciale. Punto.

Dopo di che, fare controlli informativi ancor prima che punitivi.

Sicuramente questo GDPR mi ha dato la spinta per migliorare alcune piccole criticità che non avevo considerato, tipo la crittografia dei backup, però ci sono aziende, anche importanti, che hanno sistemi informatici protetti dalla password di sistema originale (che sia admin o 1234) oppure non aggiornano i sistemi operativi e vanno online con Windows 98 o Xp e poi ci si lamenta delle intrusioni.

Leggi: Password patetiche nei siti di Polizia e Giustizia italiani: sberleffo alle leggi sulla privacy

Leggi: Un impianto idrico comandabile via Internet, senza password e senza crittografia

Infine c’è scarsa consapevolezza dell’importanza dei dati, come spiega Paolo Attivissimo nel post:  Perché mai mi dovrebbero rubare la rubrica degli indirizzi mail?

Quindi servono delle regole, ma devono essere facili da gestire anche per la piccola azienda o l’artigiano che lavora da solo.

Discorso diverso invece per chi fa vendite online e che raccoglie un quantità enorme di dati  sensibili, che siano personali o bancari. In questo caso posso capire che le norme ed i vincoli siano più complessi da gestire.

C’è poi da dire che alcuni clienti/fornitori non hanno dato il consenso effettuare comunicazioni e iniziative inerenti alla attività sociale svolta, il che nel concreto significa che posso effettuare solo comunicazioni legate ad attività fiscalmente obbligatorie (bolle, fatture, pagamenti…) sugli indirizzi da lui comunicati espressamente (quindi niente contatti telefonici o mail non aziendali a meno che non lo abbia richiesto espressamente).

Un paio di esempi: non potrò inviargli neanche gli Auguri di Natale e dato che non posso stare qui a selezionare uno ad uno quello che non vuole gli auguri o meno, faccio prima e non li mando più a nessuno. In dicembre metterò in calce alle mail gli auguri con nota polemica integrata e via andare.

In seconda battuta, non potrò informare alcuni clienti di eventuali offerte promozionali che gli consentirebbero un risparmio rispetto ai prezzi di listino; va bene, contenti loro.

Il bello è che sono molti i clienti che mi dicono di aspettare con interesse la mai mail mensile che spedisco (a contatti selezionati) circa eventuali offerte da cogliere al volo oppure informazioni sull’andamento dei prezzi.

Uno dei clienti che mi ha contattato l’altro giorno mi aveva detto che di solito avrebbe risposto NO a quel consenso specifico, ma sapendo che siamo persone serie e che non gli manderemo 10 mail al giorno, avrebbe messo un SI.