L’adeguamento al GDPR non coincide con la predisposizione di informative, nomine e registri. Questi documenti sono necessari, ma acquistano valore soltanto quando descrivono ciò che l’organizzazione fa realmente e sono collegati a decisioni, processi, sistemi informativi e controlli.
La privacy governance è il modello attraverso cui l’impresa assegna responsabilità, valuta i rischi, governa i fornitori, gestisce i diritti degli interessati e conserva evidenze delle misure adottate. Il suo obiettivo non è produrre documentazione in quantità, ma rendere la protezione dei dati parte del normale funzionamento aziendale.
Dall’adempimento all’accountability
Il principio di responsabilizzazione, previsto dall’articolo 5, paragrafo 2, del Regolamento (UE) 2016/679, richiede al titolare non soltanto di rispettare i principi applicabili al trattamento, ma anche di essere in grado di dimostrarlo. L’articolo 24 rafforza questa impostazione: misure tecniche e organizzative devono essere adeguate alla natura, all’ambito, al contesto, alle finalità e ai rischi del trattamento, riesaminate e aggiornate quando necessario.
In termini operativi, l’accountability impone di poter rispondere a domande concrete: chi ha deciso il trattamento? Su quale base giuridica? Quali dati sono davvero necessari? Chi può accedervi? Per quanto tempo vengono conservati? Come si dimostra che un controllo è stato svolto? La privacy governance trasforma queste domande in responsabilità, flussi approvativi, verifiche ed evidenze.
Il registro dei trattamenti come mappa operativa
Il registro previsto dall’articolo 30 non dovrebbe essere un inventario statico. Come evidenzia anche il Garante per la protezione dei dati personali, rappresenta uno strumento essenziale per ricostruire le attività di trattamento e valutarne la conformità.
Per essere utile, ogni trattamento deve essere collegato almeno a finalità, base giuridica, categorie di dati e interessati, destinatari, eventuali trasferimenti extra SEE, tempi di conservazione, misure di sicurezza, sistemi impiegati e responsabile del processo. Questo raccordo permette di individuare incoerenze: dati raccolti senza necessità, conservazioni indefinite, accessi troppo ampi, fornitori non censiti o informative non allineate.
Il registro deve inoltre entrare nel processo di change management. Un nuovo software, una campagna commerciale, un sistema di videosorveglianza o un servizio basato su intelligenza artificiale non sono semplici acquisti: possono modificare finalità, flussi informativi, destinatari e profilo di rischio. La mappatura va quindi aggiornata prima dell’avvio, non soltanto durante l’audit successivo.
Ruoli interni e responsabilità effettive
Il titolare mantiene la responsabilità complessiva, ma l’operatività richiede ruoli chiari. Le funzioni che decidono finalità e modalità del trattamento devono essere coinvolte nella valutazione; IT e sicurezza presidiano architetture e accessi; HR, marketing, acquisti e operations applicano le regole nei rispettivi processi; il referente privacy coordina attività ed evidenze; il DPO, quando designato, informa, consiglia e sorveglia in condizioni di indipendenza.
Anche i fornitori devono essere governati lungo tutto il rapporto. La nomina a responsabile del trattamento ai sensi dell’articolo 28 non esaurisce la verifica: occorre valutare garanzie, sub-responsabili, localizzazione dei dati, misure di sicurezza, gestione degli incidenti, restituzione o cancellazione dei dati e possibilità di audit. Il contratto è il punto di partenza di un controllo che prosegue nel tempo.
Valutare il rischio prima di progettare il controllo
Il rischio privacy riguarda le possibili conseguenze del trattamento sui diritti e sulle libertà delle persone. Non coincide quindi con il solo rischio informatico o con la sanzione per l’organizzazione. Identità, reputazione, autonomia decisionale, riservatezza e possibilità di discriminazione sono alcuni degli interessi da considerare.
Quando un trattamento può presentare un rischio elevato, l’articolo 35 richiede una valutazione d’impatto sulla protezione dei dati, o DPIA, prima di iniziare il trattamento. La lista del Garante dei trattamenti soggetti a DPIA aiuta a riconoscere i casi rilevanti, ma non sostituisce la valutazione del titolare.
Una procedura efficace prevede uno screening iniziale per tutti i nuovi trattamenti e criteri di escalation quando ricorrono indicatori come monitoraggio sistematico, larga scala, categorie particolari di dati, soggetti vulnerabili, uso innovativo di tecnologie o combinazione di basi dati. La DPIA deve descrivere il trattamento, valutarne necessità e proporzionalità, stimare i rischi e documentare le misure previste. Va riesaminata quando cambia il rischio, non archiviata al termine del progetto.
Privacy by design e by default nei progetti aziendali
L’articolo 25 impone di integrare la protezione dei dati nella progettazione e nelle impostazioni predefinite. Le linee guida 4/2019 dell’EDPB chiariscono che il principio deve tradursi in misure effettive, adeguate al contesto e verificabili.
Una checklist di progetto dovrebbe almeno verificare:
- quali dati sono indispensabili per la finalità dichiarata e quali campi possono essere eliminati o resi facoltativi;
- se ruoli, profili di accesso e segregazione delle funzioni rispettano il criterio del minimo privilegio;
- quali impostazioni sono attive per default e se espongono dati oltre quanto necessario;
- come vengono applicati tempi di conservazione, cancellazione, anonimizzazione o pseudonimizzazione;
- quali log consentono di ricostruire accessi, modifiche ed esportazioni;
- come il sistema supporta informativa, consenso quando necessario, esercizio dei diritti ed estrazione dei dati.
La progettazione deve includere anche i sistemi esistenti. Se un applicativo non consente cancellazioni selettive, limita la gestione degli accessi o non produce evidenze, il rischio va registrato e trattato con misure compensative e un piano di adeguamento, non ignorato perché la tecnologia è già in uso.
Gestire i diritti come un processo, non come un’eccezione
Accesso, rettifica, cancellazione, limitazione, portabilità e opposizione richiedono un flusso definito. L’organizzazione deve sapere come riconoscere una richiesta, verificarne l’identità senza raccogliere dati eccessivi, individuare i sistemi coinvolti, coordinare i responsabili esterni e fornire una risposta comprensibile.
Il termine ordinario è un mese dalla ricezione; nei casi complessi può essere prorogato di altri due mesi, informando l’interessato entro il primo mese e motivando la proroga. Un registro delle richieste consente di documentare data di ricezione, attività svolte, decisione, tempi e comunicazioni. Le indicazioni dell’EDPB sui diritti degli interessati costituiscono un riferimento operativo per strutturare il processo.
Sicurezza e data breach: prepararsi prima dell’incidente
L’articolo 32 adotta un criterio basato sul rischio. Controlli di accesso, autenticazione, cifratura, pseudonimizzazione, backup, continuità operativa, gestione delle vulnerabilità, formazione e test periodici devono essere scelti e mantenuti in relazione ai trattamenti effettivi. L’EDPB richiama la necessità di combinare misure tecniche e organizzative, evitando di ridurre la sicurezza a un adempimento esclusivamente IT.
La gestione delle violazioni richiede una procedura attivabile rapidamente. Il titolare deve rilevare l’evento, contenerlo, raccogliere i fatti, valutare il rischio per le persone e decidere sulle comunicazioni. Quando la violazione può presentare un rischio per i diritti e le libertà, la notifica all’autorità deve avvenire, ove possibile, entro 72 ore dalla conoscenza; in presenza di un rischio elevato può essere necessaria anche la comunicazione agli interessati. Tutte le violazioni devono comunque essere documentate, comprese quelle non notificate, con relativo razionale.
Il ruolo del DPO nella privacy governance
Il DPO informa e consiglia titolare, responsabili e personale, sorveglia l’osservanza del Regolamento, fornisce pareri sulla DPIA e coopera con l’autorità di controllo. Per svolgere queste funzioni deve essere coinvolto tempestivamente, disporre di risorse adeguate, accedere alle informazioni necessarie e operare senza istruzioni sulle modalità di esercizio dei propri compiti.
Il DPO non sostituisce il titolare e non diventa proprietario operativo di tutti gli adempimenti. Una governance matura distingue con chiarezza il parere e la sorveglianza del DPO, la responsabilità dei process owner e il potere decisionale del management. Questa separazione tutela l’indipendenza della funzione e rende le responsabilità comprensibili all’intera organizzazione.
Audit, indicatori e miglioramento continuo
La conformità deve essere verificata attraverso un programma proporzionato ai rischi. Gli audit possono esaminare trattamenti, funzioni, sistemi o fornitori e devono valutare sia il disegno dei presidi sia la loro applicazione. Le evidenze raccolte alimentano rilievi, piani di azione, responsabili e scadenze, fino alla verifica di efficacia.
Indicatori essenziali possono includere trattamenti riesaminati, richieste degli interessati gestite nei termini, fornitori valutati, misure DPIA completate, profili di accesso revisionati, incidenti correttamente escalati, azioni correttive chiuse e formazione erogata ai ruoli esposti. L’obiettivo non è moltiplicare i numeri, ma rendere visibili ritardi e aree di rischio prima che diventino non conformità.
Un percorso operativo in sette fasi
- Definire perimetro e responsabilità: chiarire ruoli, deleghe, flussi decisionali e coinvolgimento del DPO.
- Mappare processi, dati e sistemi: ricostruire trattamenti, attori, fornitori e trasferimenti.
- Allineare registro ed evidenze: verificare finalità, basi giuridiche, informative, tempi di conservazione e misure.
- Valutare i rischi: applicare uno screening uniforme e svolgere le DPIA quando necessarie.
- Integrare privacy by design e controllo dei fornitori: inserire requisiti e verifiche nei progetti e negli acquisti.
- Rendere operativi diritti, sicurezza e data breach: definire procedure, ruoli, tempi ed esercitazioni.
- Misurare e migliorare: pianificare audit, monitorare indicatori e chiudere le azioni correttive.
Domande frequenti sulla privacy governance
Il registro è obbligatorio anche per imprese con meno di 250 dipendenti?
L’esenzione è limitata. Non si applica quando il trattamento non è occasionale, può presentare un rischio per i diritti e le libertà, riguarda categorie particolari di dati o dati relativi a condanne penali e reati. Poiché molti trattamenti ordinari — come gestione del personale o clienti — non sono occasionali, il registro è spesso necessario e resta comunque uno strumento raccomandabile di accountability.
Quando è necessaria una DPIA?
Quando il trattamento può presentare un rischio elevato per i diritti e le libertà delle persone. La valutazione deve precedere l’avvio e va riesaminata se cambiano tecnologie, finalità, categorie di dati, scala o rischi.
Il DPO è responsabile della conformità GDPR dell’impresa?
No. Il DPO informa, consiglia e sorveglia in autonomia; la responsabilità di adottare e dimostrare misure adeguate resta in capo al titolare del trattamento.
Con quale frequenza va aggiornata la privacy governance?
Il GDPR non stabilisce un’unica scadenza annuale. Il sistema va aggiornato quando cambiano trattamenti, tecnologie, fornitori, organizzazione o rischi e deve essere sottoposto a verifiche periodiche proporzionate al contesto.
In sintesi
Il risultato non è un fascicolo separato dall’impresa, ma un sistema capace di accompagnarne l’evoluzione. Una privacy governance ben progettata riduce le incoerenze, rende più rapide le decisioni e consente di dimostrare non soltanto l’esistenza delle misure, ma anche la loro effettiva applicazione.