Una data da segnare in agenda: il 25 maggio 2018. Quel venerdì il nuovo regolamento europeo sulla privacy denominato Gdpr, acronimo che sta per General Data Protection Regulation, diverrà applicabile senza necessità di recepimento o altri adempimenti formali. Il testo è in vigore da maggio 2016 ma non essendo una direttiva europea, bensì un regolamento, non necessita di leggi attuative dello Stato membro.
Ciò che più di tutto cambia con la nuova scadenza è l'avvio del regime sanzionatorio del regolamento nel Vecchio Continente: un elemento che va a toccare anche le agenzie di viaggi. In pratica dal prossimo 25 maggio chi non è in regola con la normativa rischia, anche penalmente.
Le sanzioni in agenzia
Chi non rispetta la legge, infatti, non rischia solo sotto il profilo amministrativo. "Dipende dagli articoli violati, ma sta di fatto che il regime sanzionatorio è particolarmente incisivo e restrittivo. Si può incappare in una ammenda amministrativa che varia dal 2 a 4% del fatturato globale dell'impresa. Le società più grandi e le pubbliche amministrazioni (ma qui il discorso non tocca gli agenti) rischiano fino a 20 milioni di euro di sanzione". A parlare è Andrea Aimone, esperto di It security e consulente di Travel Advisor.
"C'è poi il profilo penale, che rappresenta una vera novità e impatta pesantemente sulle responsabilità degli agenti".
La legge sulla privacy
Ma cosa prevede il Gdpr? "In pratica si parla di privacy - riassume Aimone -. Il regolamento mira a uniformare il modello organizzativo della privacy, dal punto di vista del trattamento e della protezione dati con quello della sicurezza".
Il Gdpr, di fatto, modifica la legge italiana sulla privacy, approvata nel 1997 e vecchia di 19 anni. "In termini concreti, il titolare del trattamento dei dati deve adottare comportamenti virtuosi per difendere i dati informatici degli utenti e deve dimostrare di aver messo in atto misure specifiche per la tutela dei clienti", aggiunge Aimone.
Anche gli agenti di viaggi sono obbligati alla tenuta di appositi registri che documentino le attività connesse al trattamento, in modo da garantirne l'accesso su apposita richiesta degli interessati. Sono anche obbligati a segnalare, entro 72 ore dalla conoscenza dell'accaduto, le violazioni sui dati all'autorità di controllo.
