Si può rivoluzionare un concetto senza nemmeno modificarlo? Il GDPR c’è riuscito, cambiando solamente la prospettiva e l’approccio al concetto di accountability.
Prima era regolato da un sistema di tipo formalistico basato su un elenco di misure minime da adottare stilato su previsione di regole formali.
Ora invece rappresenta un sistema di governance dei dati personali basato su un’alta responsabilizzazione sostanziale del titolare.
In questo cambio metodologico, il titolare del trattamento ampia il proprio raggio d’azione diventa un soggetto proattivo che deve prevenire e non correggere, fare scelte conformi al GDPR e dimostrarne l’adeguatezza e le motivazioni.
Nella sua centralità, il titolare è il responsabile della compliance che può essere continuamente esaminata e che quindi richiede la possibilità di essere aggiornata costantemente.
L’importanza del DPO (Data Protection Officer)
Per questo cambio di prospettiva e approccio, è altrettanto importante il ruolo del Data Protection Officer (DPO) che non ha vincoli esecutivi, ma svolge diverse funzioni:
- Coopera e funge da punto di contatto con l’autorità di controllo;
- Informa, consiglia e verifica l’osservanza del GDPR;
- Considera i rischi del trattamento;
- Fornisce un parere sulla DPIA (Valutazione di impatto) e ne sorveglia lo svolgimento.
La presenza del DPO non è obbligatoria in alcuni casi, ma in sua assenza, occorre un sistema di controllo che garantisca comunque un adeguato monitoraggio.
La sorveglianza del DPO sul GDPR rappresenta uno dei principali strumenti di Accountability per il titolare del trattamento che in questo modo può dimostrare l’effettività del modello della Data Protection.
In cosa consiste un controllo?
Per controllo si intende l’identificazione di non conformità del modello di protezione dei dati personali rispetto al GDPR e a norme di disposizione interne a cui segue l’implementazione di opportune azioni correttive, come ad esempio:
- Effettuare controlli a diversi livelli;
- Identificare eventuali aree di non conformità e calcolare il livello di rischio correlato;
- Studiare possibili soluzioni da implementare e definire un piano;
- Monitorare l’effettiva implementazione del piano di remediation.
Esistono 5 componenti del modello di controllo della Data Protection:
- Monitoraggio aggiornamenti normativi: focus sulle sanzioni legate al mancato rispetto delle prescrizioni delle normative;
- Testing e reporting: verifica dell’esistenza, dell’adeguatezza e dell’effettiva applicazione del modello per la protezione dei dati personali, con conseguente condivisione di informazioni con organi, figure e strutture adeguate sull’esito delle verifiche e degli interventi da attuare;
- Risk assessment: individuazione e valutazione dei rischi potenziali, dei rischi residui e dei presidi di conformità;
- Consulenza a strutture e ruoli aziendali per evitare il rischio di non conformità;
- Formazione delle risorse umane per progettare iniziative GDPR-friendly.
Come si struttura un sistema di controllo
I controlli di competenza del DPO (o, in caso di assenza, di altre strutture di controllo) rappresentano i controlli di terzo livello.
I controlli di competenza del Comitato di Data Protection sono i controlli di secondo livello.
Mentre i controlli di primo livello sono i controlli demandati ai referenti di Protezione dei dati personali.
Analisi di un sistema di controllo tipo
Proviamo ad analizzare un esempio di sistema di controllo per capire nella pratica come si struttura, chi coinvolge e in cosa consiste.
Il sistema di controllo come si svolge?
- Elabora un piano almeno annuale di controlli in materia di protezione dei dati personali;
- Esegue controlli pianificati con riferimento alle aree e i processi aziendali più rilevanti in materia di protezione dei dati.
Le attività si classificano in funzione della tipologia dei destinatari:
- Sistema di controllo su strutture, comitati e ruolo di indirizzo e governo della data protection sono controlli trasversali;
- Sistema di controllo su strutture, comitati e ruoli di esecuzione della data protection rappresentano i controlli verticali.
Le attività di controllo approfondiscono tutti i principali ambiti del GDPR.
Possiamo suddividere tutte queste attività in modello organizzativo, modello operativo e modello architetturale.
