Da una ricerca condotta da Compuware Corporation è emerso che molte aziende in Europa e negli Stati Uniti non sono adeguatamente preparate sul Regolamento Generale UE sulla protezione dei dati (GDPR) recentemente approvato, e rischiano di incorrere nelle sanzioni dovute all’errato utilizzo e controllo dei dati personali. La ricerca ha mostrato che:
- Più della metà (55%) delle aziende in Europa, addirittura l’80% degli italiani, dichiara di essere preparata sul GDPR e su cosa esso comporti nella gestione delle informazioni dei clienti, ma le risposte a domande specifiche evidenziano una situazione decisamente più complessa.
- Nonostante il rischio di non rispettare il regolamento, il 64% delle imprese in Italia (68% in Europa) non ha ancora adottato un piano globale che consenta loro di reagire all’impatto del GDPR.
Secondo gli intervistati, i fattori principali che rendono difficile la compliance al GDPR sono la crescente complessità dell’IT, indicata dal 63% degli intervistati, l’agilità e la proliferazione delle nuove applicazioni abilitata dai DevOps, la raccolta continua di un numero sempre maggiore di applicazioni e l’outsourcing IT. Un ulteriore 53% ha dichiarato che la protezione e la gestione del consenso dei clienti rispetto all’utilizzo dei propri dati rappresenta un altro ostacolo consistente.
“Diritto all’oblio”: difficile rispettarlo
La ricerca mostra come le aziende fatichino nel controllare i dati in loro possesso e come tutto questo renda ancor più difficile rispettare il ‘Diritto all’oblio’ sancito dal GDPR. In particolare:
- Il 68% degli intervistati in Europa, il 56% in Italia, ritiene che la complessità dei servizi IT moderni non permetta di definire sempre l’esatta ubicazione dei dati dei clienti
- Oltre la metà (53%) degli intervistati dichiara che è particolarmente difficile sapere dove risiedono tutti i dati di test. In Italia, dichiara di non riuscire a farlo solo un intervistato su quattro, mostrando ancora una volta una fiducia maggiore rispetto agli altri Paesi sulla possibilità di rispettare il GDPR e, in particolare, il diritto all’oblio. Anche se oltre la metà (51%) dei CIO in Europa (76% in Italia) si dice in grado di individuare tutti i dati personali di un individuo in modo rapido, rimane comunque quasi un terzo dei CIO (30% in Europa, 20% in Italia) che ammette di non poterlo fare.
- Gli intervistati ritengono che l’utilizzo dell’outsourcing (81% Europa, 88% Italia) e la tecnologia mobile (63% Europa, 60% Italia) rendano oggi sempre più difficile tenere traccia di dove risiedono i dati dei clienti.
- il 45% degli intervistati in Europa (36% in Italia) lamenta che l’azienda prederebbe molto tempo e risorse se dovesse rispondere alla richiesta di mostrare a un soggetto tutti i dati su di lui che sono in possesso dell’organizzazione su tutti i suoi sistemi.
- Poco più della metà delle aziende in Europa (52%) è in grado di rimuovere tutti i dati in modo efficiente in caso venga esercitato il diritto individuale all’oblio. Le aziende italiane sembrano essere sempre più virtuose, con l’80% delle imprese che dichiarano di essere in grado di farlo. Globalmente, gli italiani intervistati pensano di essere in grado di rispettare il diritto all’oblio ma quando viene chiesto loro se hanno considerato anche i dati dei test, si scopre che non li avevano inclusi in questo contesto o che credono comunque di essere conformi anche nell’area del testing, cosa che in realtà non è.
“Per rispettare il GDPR, le aziende devono rendere ancora più rigoroso il controllo di dove risiedono i dati dei clienti“, afferma Elizabeth Maxwell, PC.dp, e Direttore Tecnico, EMEA, di Compuware. “Se non hanno ben presente dove ogni copia dei dati del cliente si trova in tutti i loro sistemi, le aziende rischiano di perdere molto tempo e risorse nel condurre manualmente le ricerche per recuperare i dati di chi esercita il proprio ‘diritto all’oblio.’ E anche così, non è detto che riescano a identificare ogni copia, restando a rischio di non conformità! La nostra ricerca ha mostrato anche che le aziende italiane sottovalutano le implicazioni del GDPR e si affidano fortemente al consenso espresso attraverso gli accordi NDA stipulati con lo staff e con gli outsourcer, ma utilizzando i dati personali durante i test corrono un grosso rischio che, in base al nuovo regolamento, comporta multe salate sia per l’azienda sia per l’outsourcer“.
Testare i confini del consenso
La ricerca ha rilevato che il 96% delle aziende in Italia (86% in Europa) utilizza i dati reali dei clienti per i test delle applicazioni durante lo sviluppo del software, ma solo un intervistato su cinque (32% in Italia) chiede il consenso esplicito del cliente per questa tipologia di utilizzo; la maggior parte delle aziende quindi non rispetta questa parte della normativa contenuta nel GDPR.
Ancor più allarmante, il 58% (43% in Europa) di coloro che effettuano i test delle applicazioni con dati reali mettono ulteriormente a rischio la privacy dei clienti perché non sono in grado di garantire il mascheramento dei dati prima dell’utilizzo.
“Utilizzare i dati dei clienti per testare le applicazioni è una pratica comune, ma non ci sono motivi reali o scuse per non renderli anonimi prima”, aggiunge Elizabeth Maxwell. “Le aziende che non riescono a mascherare i dati prima dell’utilizzo nei test delle applicazioni potrebbero presto incorrere in multe salate per non aver rispettato la regolamentazione UE. Oltre a essere importante per proteggere la privacy dei clienti, rendere anonimi i dati di test elimina la necessità di ottenere il consenso esplicito all’utilizzo da parte dei clienti, cosa che oltre la metà dei CIO italiani (52%) identifica come uno dei maggiori ostacoli alla compliance al GDPR“.
