Le aziende investono sempre più risorse nella protezione dei dati personali, ma quando un cittadino chiede di conoscere, modificare o cancellare i propri dati, la risposta non sempre arriva nei tempi previsti dal GDPR.

Secondo una recente ricerca pubblicata da Reveal, l’86% delle organizzazioni non utilizza ancora strumenti tecnologici specifici per gestire le richieste di esercizio dei diritti privacy, mentre soltanto il 47% delle istanze viene completato entro il termine ordinario di un mese previsto dal Regolamento europeo.

Il GDPR, infatti, stabilisce che le organizzazioni debbano rispondere alle richieste degli interessati senza ingiustificato ritardo e, comunque, entro un mese dal ricevimento. In presenza di particolari condizioni, legate alla complessità e al numero delle richieste, il termine può essere prorogato di ulteriori due mesi, informando però l’interessato entro il primo mese.

La ricerca, condotta su 213 professionisti del settore legale e della privacy, mette in evidenza una difficoltà organizzativa che riguarda soprattutto le grandi imprese europee.

Quasi nove organizzazioni su dieci continuano infatti a gestire queste attività attraverso procedure manuali o strumenti informatici generici, senza sistemi progettati appositamente per individuare, raccogliere e gestire i dati personali oggetto delle richieste.

Il dato più interessante riguarda però la distanza tra la percezione delle aziende e l’effettiva capacità di rispettare le scadenze.

Il 90% degli intervistati ritiene che le proprie procedure siano adeguate a superare un eventuale controllo dell’Autorità privacy. Tuttavia, soltanto il 47% delle richieste viene completato entro il termine ordinario, mentre per il restante 53% si ricorre a una proroga. Inoltre, appena il 24% delle organizzazioni dichiara di disporre di un processo completamente standardizzato e ripetibile.

Il problema, secondo lo studio, non dipende necessariamente dal tempo necessario per rispondere alle richieste. Una volta avviata concretamente la gestione dell’istanza, infatti, il completamento richiede mediamente meno di sette giorni.

Le maggiori difficoltà sembrano quindi concentrarsi nelle fasi precedenti: individuare i dati, capire in quali sistemi siano conservati, coinvolgere gli uffici competenti e coordinare le diverse attività necessarie per predisporre una risposta completa.

In sostanza, le aziende rischiano di perdere tempo prezioso non tanto nel rispondere agli interessati, quanto nell’organizzare le informazioni necessarie per farlo.

A complicare ulteriormente la situazione contribuisce anche la diffusione dell’intelligenza artificiale generativa.

Strumenti come ChatGPT, Claude e Gemini sono sempre più integrati nei sistemi aziendali, compresa la posta elettronica, e possono introdurre nuove difficoltà nell’individuazione dei dati personali trattati.

Secondo la ricerca, l’86% delle organizzazioni intervistate ha già ricevuto almeno una richiesta di esercizio dei diritti che comportava la necessità di cercare informazioni presenti in strumenti di intelligenza artificiale generativa.

Si tratta di una situazione che molte procedure aziendali, progettate prima della diffusione di queste tecnologie, non erano state pensate per affrontare.

Anche il costo della gestione delle richieste rappresenta un elemento significativo. Secondo il rapporto, le organizzazioni coinvolte nella ricerca spendono mediamente 680mila euro all’anno per rispondere alle istanze degli interessati.

Oltre la metà degli intervistati, il 53%, indica una spesa superiore a 500mila euro annui, mentre il 23% supera il milione di euro.

Risorse economiche importanti che, tuttavia, non sempre si traducono in procedure efficienti e nel rispetto dei termini ordinari previsti dalla normativa.

Come sottolineato da Eugene O’Neill, Executive Vice President EMEA di Reveal, il numero e la complessità delle richieste stanno crescendo più rapidamente della capacità delle organizzazioni di gestirle con gli strumenti attualmente disponibili.

La ricerca mette quindi in evidenza un aspetto fondamentale della conformità al GDPR: non basta predisporre un’informativa privacy o indicare agli interessati come esercitare i propri diritti. Occorre anche essere concretamente organizzati per rispondere alle loro richieste.

Questo significa conoscere i trattamenti effettuati, sapere dove si trovano i dati personali, individuare le funzioni aziendali coinvolte e definire procedure chiare per gestire le istanze e monitorare le relative scadenze.

L’introduzione di strumenti tecnologici dedicati può certamente facilitare queste attività, soprattutto nelle organizzazioni più complesse, ma deve essere accompagnata da un’adeguata organizzazione interna.

In definitiva, la vera sfida per le aziende non è soltanto dichiarare di rispettare il GDPR, ma essere in grado di dimostrarlo anche quando un interessato chiede concretamente di esercitare i propri diritti.