09 Giu “VITA DA PRIVACYISTA” PUNTATA 20 – 1 ESPERTO/A ALLA SETTIMANA, 20 DOMANDE FUORI DAGLI SCHEMI
“VITA DA PRIVACYISTA” – Ventesima puntata – 1 esperto/a alla settimana, 20 domande fuori dagli schemi
A cura di Luca Bolognini
La rubrica-intervista che raccoglie idee originali dai migliori esperti di privacy e diritto dei dati in Italia e all’estero. L’esperto di questa settimana è…
- Nome, cognome, ruolo oggettivo e ruolo “putativo/desiderato”
Matteo Colombo, Presidente di ASSO DPO, CEO di Labor Project srl, Direttore di Privacy Desk Suisse SA, DPO… ma amo soprattutto la docenza e la ricerca su temi di privacy comparata.
- Perché e quando iniziasti a occuparti di privacy e protezione dei dati personali?
Nel lontano 2003 un socio mi disse: “un cliente ci ha chiesto di redigere il DPS ma nessuno lo vuole fare”; fu così che dopo alcune settimane di studio incominciai la mia avventura nel grande mondo della privacy che oggi mi assorbe interamente. Quel cliente lo seguo ancora ed è considerato come la Numero Uno di Zio Paperone: un amuleto.
- Cosa ti annoia della privacy/data protection?
Mi annoia l’approccio “bizantino” di certi consulenti che complicano le cose con informative bibliche, redazione di centinaia di pagine di “Modelli Privacy” e chi ha come obiettivo un’applicazione troppo formalistica della norma. Serve un po’ di pragmatismo.
- Gli anglicismi sono inevitabili per chi si occupa di questa materia (come il latinorum per altri ambiti), o ci stiamo sbagliando?
Il nostro lavoro, soprattutto per chi come me si è specializzato nel diritto comparato privacy, ci porta ogni giorno a confrontarci con colleghi di continenti e nazioni differenti e una lingua ormai comune è l’inglese che ci permette di confrontarci su tutte le tematiche legate alla data protection… e poi scusate, io parlo sempre del DPO e non dell’RPD!!!
- Pensi che la privacy stia a cuore della gente? È davvero “pop” o non interessa niente?
La protezione dei dati è un tema molto sentito, ma è un concetto difficilmente richiudibile in uno schema definito e quindi spesso se ne ha una percezione distorta. La privacy non è solo l’informativa, come molti credono. Probabilmente dovremmo lavorare molto di più per diffondere una cultura generale utilizzando tutti gli strumenti che la moderna tecnologia digitale ci mette a disposizione.
- Come gliela spieghi, questa disciplina, ai bambini delle elementari?
Tutti vorremmo per l’educazione dei nostri figli ricette preconfezionate e valide universalmente: non esistono! Bisogna insegnare ai ragazzi a farsi domande e ragionando noi con loro. Ad esempio: “Attento che quello che condividi in rete, non è più tuo”. Per farlo utilizzerei i mezzi ed i canali a loro più vicini: app, fumetti, cartoon e storie vere romanzate. Una sorta di “Privacy Gulp”.
- L’ora, secondo te, più buia per la privacy in Europa negli ultimi 10 anni?
Pensando al periodo ante GDPR, il periodo delle semplificazioni sconsiderate e senza senso culminate con il Decreto Legge sulle Semplificazioni del Governo Monti del 2012. Se invece ci concentriamo al periodo post GDPR, l’anno scorso il Decreto Capienze n. 139/21 ha introdotto nel Codice Privacy un sistema che non prevede la necessità di un impianto normativo quale base giuridica al trattamento dei dati da parte delle PA, aprendo quindi un profilo in ampio contrasto con il GDPR.
- L’ora, secondo te, più luminosa per la privacy in Europa negli ultimi 10 anni?
Sicuramente il 25 maggio 2018 data di applicazione del GDPR; momento in cui, fra l’altro, è stata introdotta formalmente in Italia la figura del Data Protection Officer.
- I consulenti, i DPO e i privacy officer stanno diventando decine di migliaia. Un male o un bene?
Dipende, se pensiamo a professionisti consapevoli, preparati e con una conoscenza approfondita della materia e delle prassi operative delle Autorità Garanti allora è un bene; se invece ci concentriamo su “cacciatori di incarichi DPO” o consulenti inconsapevoli di tutte le sfaccettature della norma e che si buttano senza le basi perché non si può non fare anche privacy allora è sicuramente un male.
- I dati personali sono monete?
Se tutti pensassero che sono monete nessune le regalerebbe senza pensarci. In realtà, forse valgono troppo poco sul mercato e quindi non ce ne si prende cura abbastanza.
- Quando leggi notizie di dure sanzioni alle imprese, esulti o ti preoccupi?
Quello che mi preoccupa è non avere realmente chiaro cosa si rischia e come calcolare il rischio. La forbice è troppo ampia e non si riesce ad avere una guida alle sanzioni chiara e semplice da spiegare ai titolari del trattamento. L’applicazione delle sanzioni nelle varie nazioni dello SEE non è congrua e differisce sostanzialmente. Ritengo occorra un intervento dell’EDPB per definire criteri e metodologie di calcolo.
- Con sincerità e senza retorica: credi che il “consenso preventivo dell’interessato” sia ancora una buona idea nel “tutto digitale”?
Credo che il vero tema sia la possibilità di avere il controllo dei propri dati. È forse più efficace focalizzarci su informative semplici e chiare e su meccanismi di opt-out trasparenti e di facile utilizzo. Sono peraltro conscio che il partito del consenso quale “gold standard” in Italia vede molti proseliti.
- Con sincerità e senza retorica: è davvero possibile sintetizzare e rendere semplici i tanti contenuti obbligatori di un’informativa privacy?
No. Tutti parlano di chiarezza, semplicità, granularità, informative ad icone ecc., ma in sede ispettiva ci si focalizza ancora su elementi obbligatori espressi nella loro interezza… risultato: faccio prima a leggere la costituzione italiana che l’informativa di un social network…
- Leggi sempre le informative privacy e le cookie policy sui siti e sulle app che utilizzi personalmente?
Anche se sono un addetto ai lavori faccio veramente fatica. Mi focalizzo sulle richieste di consenso e sulle basi giuridiche e se non mi convincono approfondisco.
- DPO più top manager o più mini-garante?
La nostra è ancora una professione che deve trovare una sua dimensione. Personalmente preferisco vedermi come un facility manager nella gestione dei dati: una figura orientata alla valorizzazione aziendale che permette alle imprese di accrescere il loro valore grazie ad una gestione corretta dei dati.
- Un tuo consiglio di metodo a un giovane DPO.
Se vuoi fare questo lavoro devi avere passione e soprattutto voglia di studiare “sempre”. Il metodo migliore è studiare la normativa, confrontarsi con professionisti che hanno maturato esperienza sul campo e poi trovare uno o due temi da approfondire e su cui focalizzarsi diventando punto di riferimento per i colleghi. Il resto viene con l’esperienza e quando affianchi un cliente che subisce una verifica da parte dell’Autorità Garante Privacy tutti i pezzi del puzzle vanno al loro posto.
- L’Unione Europea fa troppe regole e frena l’innovazione: vero o falso?
L’Unione Europea cerca faticosamente di superare le resistenze degli Stati e di proporre leggi che permettano la creazione di un mercato comune con regole uniformi. Le pressioni sempre più insistenti dei big data (vedi il testo della E-Privacy Regulation arenato ormai da anni) e la mancanza di figure chiave, come quella di Buttarelli, stanno portando ad un affievolimento dell’azione innovativa.
- Il GDPR è al passo con l’Intelligenza Artificiale e il Metaverso?
Il GDPR è stato pensato una decina di anni fa come una legislazione “viva” che possa mettersi al passo con i tempi; purtroppo, le lobby e l’approccio nazionalistico di alcuni stati membri UE ne stanno limitando il valore di legislazione rivoluzionaria.
- Tra dieci anni: protezione dei dati o protezione degli effetti personali?
Tra dieci anni dovremo proteggere il nostro io nella dimensione reale e nel Metaverso – avremo un Avatar DPO al quale rivolgerci; sto pensando già al primo corso per loro.
- Puoi consigliare un libro, che non sia “L’Arte della Privacy”, ai tuoi colleghi e collaboratori. Quale e perché?
Il Palazzo dei Sogni di Ismail Kadarè. In uno stato totalitario immaginario, funzionari dell’Impero raccolgono, selezionano, profilano ed infine interpretano i sogni che i sudditi devono scrivere su appositi fogli e li conservano in un Palazzo (una sorta di server composto di decine di uffici e funzionari) per permettere al dittatore di anticipare i bisogni, i pensieri e le rivolte dei propri sudditi.