La trasformazione digitale sta rendendo sempre più evidente un limite che continua a caratterizzare molte organizzazioni, pubbliche e private: affrontare la compliance come una sommatoria di adempimenti separati anziché come un sistema integrato di governo del cambiamento in ottica digitale.
Il vero ruolo del DPO: da controllore a motore strategico
In questo contesto, anche la figura del Responsabile della protezione dei dati rischia di essere interpretata in modo riduttivo e burocratico, come se la sua funzione si esaurisse nella compilazione di documenti, nella verifica formale della conformità o nell’intervento successivo all’avvio di progetti e iniziative strategiche.
Il vostro DPO dovrebbe invece essere inteso come un vero e proprio motore della Digital Compliance.
Diffidate pertanto di Responsabili della protezione dei dati che semplicemente compilano documenti e non partecipano attivamente alle scelte strategiche della vostra organizzazione.
Convergenza normativa: GDPR, NIS2, eIDAS e Data Act
I Data Protection Officer devono essere protagonisti nei team interdisciplinari, stimolare la convergenza normativa tra diverse discipline: il GDPR senz’altro, ma anche NIS2, eIDAS, Data Act, DSA, sino ad arrivare a interrogarsi su digitalizzazione documentale, trasparenza, accessibilità, modelli organizzativi ex d.lgs. 231/2001.
Lo stesso articolo 44 del Codice dell’amministrazione digitale (contenuto nel D. Lgs. 82/2005) pretende dal Responsabile della conservazione dei documenti informatici il costante confronto con chi si occupa di data protection.
Il legame imprescindibile tra E-Archiving e Data Protection
E-archiving e Data Protection sono materie complementari, che si incrociano costantemente e pretendono confronti multidisciplinari da parte di figure predisposte non solo al controllo, ma anche al cambiamento e all’innovazione.
Del resto, il GDPR non descrive il DPO come un semplice controllore burocratico.
Cosa dice l’Articolo 39 del GDPR sui compiti del DPO
L’articolo 39 gli attribuisce compiti di informazione, consulenza, vigile verifica dell’osservanza della normativa, sensibilizzazione del personale, supporto nelle valutazioni di impatto e cooperazione con l’Autorità di controllo.
Funzioni queste che, per essere svolte efficacemente, richiedono una conoscenza concreta dell’organizzazione e una partecipazione attiva ai processi decisionali, pur nel pieno rispetto dell’indipendenza che caratterizza il ruolo.
Il DPO, infatti, non deve sostituirsi ai decisori né assumere responsabilità gestionali, ma non può nemmeno limitarsi a osservare ciò che accade dall’esterno.
Il legislatore continua a costruire ponti tra competenze diverse.
Sono spesso i professionisti a ostinarsi a costruire muri.
E un DPO che rinuncia a partecipare ai confronti strategici sui progetti innovativi sta semplicemente tradendo il suo compito.
Basta silos professionali: la necessità di un approccio interdisciplinare
Mi è capitato spesso di trovarmi in riunioni operative su importanti progetti di gestione e conservazione digitale e di richiedere la presenza dei DPO.
Alcuni partecipano svogliatamente e talvolta reagiscono persino stizziti a questi inviti perché chiamati a esprimere opinioni su qualcosa che, secondo loro, non gli compete.
Mi è capitato in multinazionali e anche in strutture sanitarie.
Oserei dire che è persino pericoloso affidarsi a DPO di questo tipo. Meglio non averli proprio.
La compliance digitale non può essere costruita attraverso silos normativi e professionali.
Ha bisogno di figure capaci di collegare competenze diverse, favorire il confronto interdisciplinare e accompagnare le organizzazioni nella gestione consapevole dei rischi e delle opportunità dell’innovazione.
Anche, e forse soprattutto, quando questa innovazione mette in discussione abitudini e confini professionali ormai superati.
