Di Giacomo Conti

 

Quasi dieci anni fa ho aperto il mio studio legale e ho iniziato, sin da subito, a dedicarmi anima e corpo alla protezione dei dati personali e alla compliance aziendale.

Allora, poco prima e successivamente all’entrata in vigore del famigerato GDPR, il panorama era molto diverso. Si respirava poca comprensione e troppa paura per sanzioni draconiane irrealistiche, su cui hanno prosperato in molti e su cui si sono innestate consulenze difensive dannose per le organizzazioni. Mi ricordo ancora di un grosso impianto sportivo che, ai tempi, decise di non lavorare con me e bloccò tutta l’attività di marketing per il solo terrore di incorrere in sanzioni.

Negli anni ho avuto la fortuna di lavorare come consulente e come DPO con realtà estremamente eterogenee, dalle startup innovative alle medie imprese in crescita, fino a grandi organizzazioni con centinaia di dipendenti. A differenza di molti professionisti, pur preparati, ho scelto sin da subito un approccio da enabler. Ho sempre ritenuto che, ponendosi le giuste domande, anche la normativa più complessa possa diventare accessibile e gestibile.

Questo è un principio che ho teorizzato nel mio libro edito da Maggioli nel 2019 e che ho visto confermato giorno dopo giorno sul campo. La compliance vive di substance over form. La sostanza dei processi aziendali deve sempre prevalere sul mero formalismo cartaceo, secondo la semplice regola del “do what you write and write what you do”.

La prima lezione che ho imparato in questi dieci anni sul campo è che la compliance non è un esercizio burocratico né una raccolta di modelli prestampati o checklist da spuntare acriticamente. Essa è, prima di tutto, uno sforzo di comprensione del contesto e dei processi aziendali, unito alla formazione delle persone che li gestiscono. Lungi dall’essere uno sfoggio cattedratico di sapienza, la vera compliance è un esercizio di umiltà e di adattamento, cà va sans dire nei limiti del lecito, della norma all’operatività reale.

Per far sì che il GDPR funzioni davvero, a prescindere dalle dimensioni dell’ente o dai rischi dei singoli processi, non serve creare “scudi di carta” e trincee di procedure. Bisogna invece seminare la cultura della protezione del dato e infondere “dubbi salvifici” nelle risorse, perché solo questi ultimi potranno scongiurare sanzioni pesanti e aiutare l’organizzazione a crescere in modo consapevole.

Negli anni, attraverso un’opera di ingegneria giuridica, ho scomposto le colonne portanti che reggono ogni modello GDPR efficace e ho individuato i mattoni per costruire un’infrastruttura di compliance efficiente, efficace e snella.

 

1. Il pilastro soggettivo — ripetiamolo assieme: “Le persone NON sono l’anello debole!”

Nel mondo della compliance, della cybersecurity e del diritto delle nuove tecnologie si ripete spesso la frase fatta secondo cui “l’essere umano è l’anello debole della catena” ed io, personalmente, non ne posso più di sentirla. Anche perché mia esperienza sul campo dimostra l’esatto contrario.

Nelle formazioni aziendali e nei convegni in cui sono intervenuto come speaker — come l’intervento Oltre la norma: la comprensione del contesto e la cultura della sicurezza al PensieroSicuro® Live presso il campus di Elmec Informatica — ho sempre cercato di superare questo luogo comune. Le persone diventano una vulnerabilità solo quando vengono abbandonate a sé stesse, prive di contesto, istruzioni e visione d’insieme. Se adeguatamente ingaggiate e formate, diventano la prima linea di difesa e il vero pilastro soggettivo del modello privacy.

Non è un caso di tecnica legislativa che nel GDPR l’Articolo 29 (Istruzioni e formazione del personale) preceda l’Articolo 30 (Registro delle attività di trattamento). Il legislatore europeo ha fissato una sequenza chiarissima anche dal punto di vista cronologico, per cui prima ancora di mappare i processi è necessario formare le persone. Da consulente esterno o DOPO sono io il primo ad avere bisogno che qualcuno, opportunamente preparato, spieghi a me per primo le dinamiche aziendali essenziali da inventariare.

 

2. Scomporre l’azienda per processi da mappare attraverso il pilastro oggettivo e il ROPA

Consolidato il pilastro soggettivo, si passa a quello oggettivo. L’organizzazione viene sezionata in processi operativi che vengono poi mappati all’interno del Registro delle attività di trattamento (ROPA).

Che si tratti di un’azienda strutturata o di una startup dinamica, l’errore da evitare è calare il Registro dei Trattamenti (ROPA ex art. 30 GDPR) dall’alto. Redigere il Registro richiede ascolto e analisi meticolosa, intervenendo su diversi fronti:

• Mappatura dei flussi interni di dati, chiarendo quali dati si trattano, a chi si riferiscono, da dove entrano, come circolano, dove risiedono, a chi vengono comunicati e per quanto tempo sono conservati;
• Censimento delle risorse fisiche e digitali, inclusi hardware, software, cloud e archivi cartacei;
• Analisi dei singoli processi, dall’HR al Marketing, dalla gestione fornitori all’IT.

Se le risorse hanno assimilato le domande chiave durante la formazione (perché tratto questi dati? chi vi accede? a chi li comunico? dove e per quanto tempo restano archiviati?), questa attività, di norma percepita come lunga e tediosa, diventa snella e lineare.

 

3. La vera compliance non regala certezze di carta, ma “dubbi salvifici”

C’è un momento preciso in cui capisco che il lavoro di consulenza ha piantato radici solide, ovvero quando non sono più io a inseguire i referenti aziendali, ma sono le risorse stesse a pormi i loro primi dubbi operativi.

Una compliance ben fatta non consiste nel consegnare un faldone di carta che promette “sicurezza al 100% e zero problemi” (chi formula certe promesse sta deliberatamente mentendo). Una compliance ben fatta genera, al contrario, dubbi operativi salvifici.

Il modello dimostra di aver funzionato quando si verificano situazioni concrete:

• Il responsabile Marketing chiama prima di lanciare una campagna per verificare la base giuridica e l’adeguatezza delle formule di consenso;
• Il dipartimento HR si pone il problema della conformità allo Statuto dei Lavoratori prima di adottare un nuovo software di tracciamento o gestione o di installare la videosorveglianza;
• L’Ufficio Acquisti chiede di verificare le garanzie e i Service Level Agreement (SLA) del fornitore prima di sottoscrivere un contratto cloud.

Quando il personale sviluppa questo “sesto senso”, la privacy smette di essere un freno a mano e diventa un criterio naturale di progettazione dei processi, realizzando ciò che il GDPR definisce privacy by design.

 

4. Dai pilastri ai mattoni della compliance — la costruzione di procedure e informative concrete

Solo dopo aver formato le persone e mappato la realtà operativa si sono posate le colonne del modello organizzativo e si può iniziare a posare i “mattoni” della compliance. È qui che si gioca una partita fondamentale per evitare di ricadere nella “carta inutile” o in procedure burocratiche che bloccano l’operatività aziendale. Redigere procedure e informative senza aver prima consolidato i due pilastri è un’attività del tutto controproducente.

Nella mia attività professionale divido questa fase in tre livelli di complessità crescente:

1. Le procedure generali da cucire all’azienda, relative a processi che, seppur da calibrare sulla singola organizzazione, condividono una struttura comune. Penso alle procedure di Data Breach dove la finestra delle 72 ore richiede un protocollo di escalation interno chiarissimo, alle istruzioni per il riscontro ai diritti degli interessati o ai protocolli sulla trasparenza.
2. Le informative personalizzate strutturate per processo, superando la prassi delle informative fitte e uniche a pioggia. Un’informativa ben fatta si modella sui singoli processi del ROPA (dipendenti, candidati, clienti, fornitori, whistleblower) per spiegare con chiarezza cosa accade ai dati e su quali basi giuridiche ci si fonda.
3. Le procedure verticali tailor made basate sul rischio specifico, con regole sartoriali che variano in base al business. Si pensi a un centro sportivo che tratta dati di minori, a realtà che gestiscono dati giudiziari per controlli specifici o alla videosorveglianza dove occorre motivare tempi di conservazione difformi da quelli standard. Penso anche a realtà innovative nell’ambito degli studi clinici, a startup che profilano tramite intelligenza artificiale o che sviluppano medical device con cui ho collaborato come consulente esterno o come DPO.

In questa fase un passaggio cruciale d’ingegneria giuridica è la gestione delle interferenze con gli altri protocolli aziendali. Il GDPR non vive in un vuoto isolato, ma deve compenetrarsi con il MOG 231 (evitando sovrapposizioni tra Organismo di Vigilanza e ruoli privacy), con i sistemi di Safeguarding nel settore sportivo e con i canali di Whistleblowing.

Trascuro qui volutamente le casistiche più complesse,  come le valutazioni del legittimo interesse, le strutture infragruppo o i trasferimenti extra-UE; ma la logica resta la medesima. La procedura non deve adempiere a un obbligo formale, ma deve rappresentare il manuale d’uso pratico per il personale nella gestione quotidiana delle eccezioni.

 

5. Valutazione d’Impatto (DPIA) e il modello CNIL

Raggiunto questo livello di maturità, l’organizzazione possiede gli elementi per valutare se un determinato trattamento presenti un rischio elevato e richieda una DPIA (Data Protection Impact Assessment ex art. 35 GDPR).

Esistono diversi modelli e metodologie. Negli anni, per concretezza e rigore, mi sono trovato benissimo con il metodo e il software PIA sviluppato dal CNIL (l’Autorità Garante francese), uno strumento strutturato che guida l’analisi del rischio valutando l’impatto sui diritti e sulle libertà degli interessati in modo chiaro e pragmatico.

Anche in questo caso, per esigenze di sintesi, dovrò sorvolare sugli aspetti operativi più tecnici.

 

6. La figura del DPO — evitare le nomine precoci

Chiudo questo diario di bordo con una riflessione strategica sulla figura del Data Protection Officer (DPO).

A meno che la legge non lo imponga in modo vincolante — come per la Pubblica Amministrazione o per le strutture sanitarie che trattano dati su larga scala — non è quasi mai consigliabile partire con la nomina del DPO.

Nominare un DPO in un’azienda che non ha ancora compreso i propri processi e non ha costruito il proprio pilastro soggettivo equivale a montare il motore di una Ferrari su un’auto priva di ruote. Il DPO è una figura di affiancamento, controllo e consulenza strategica, che per svolgere il proprio ruolo con efficacia ha bisogno di trovare un’organizzazione che parla già la lingua della data protection e che dispone di processi strutturati da supervisionare.

La nomina deve, però, essere presa in considerazione quando l’azienda intende progettare i propri processi by design e necessita, al di là degli obblighi di legge, di un affiancamento specialistico continuativo.

 

In conclusione

Dopo dieci anni di attività professionale, la sintesi del mio percorso si può riassumere in una regola semplice: seminare cultura e consapevolezza nelle persone per raccogliere un’organizzazione autonoma e matura. La vera compliance non si misura in chili di carta stampata, ma nella qualità dei dubbi e delle domande che le persone imparano a porsi ogni giorno sul lavoro.

A questo punto, ti invito a porti la domanda se hai mai avuto la sensazione che la compliance venisse usata come uno scudo burocratico paralizzante, se l’hai vissuta come un adempimento tedioso o, ancora, se il modello adottato ti fa davvero dormire sonni (forse troppo) tranquilli.