Il perimetro normativo: indipendenza e conflitto di interessi
Il quadro è noto ma va richiamato con precisione.
L’art. 38 del GDPR impone al titolare di assicurare che il DPO non riceva istruzioni per quanto riguarda l’esecuzione dei suoi compiti e che gli eventuali altri compiti affidatigli non diano adito a un conflitto di interessi.
L’art. 39 ne definisce la missione: informare e consigliare, sorvegliare l’osservanza del regolamento, fornire pareri sulla valutazione d’impatto, cooperare con l’autorità di controllo e fungere da punto di contatto con Essa.
Le linee guida del Gruppo di lavoro Articolo 29 sui responsabili della protezione dei dati (WP243) hanno tradotto il divieto di conflitto in una regola pratica: il DPO non può ricoprire posizioni che lo portino a determinare finalità e mezzi dei trattamenti, perché finirebbe per sorvegliare se stesso.
Chi decide, non può essere anche chi controlla la decisione.
Perché nel perimetro CER la tentazione è forte
I tavoli della resilienza sono nuovi, le competenze non diffuse, le scadenze – come ho ricordato nel secondo articolo – già in corsa.
Il DPO è spesso, dentro l’organizzazione ed è la persona che meglio conosce i data breach, la prassi del Garante e la macchina dei procedimenti sanzionatori.
La tentazione di nominarlo responsabile del progetto CER o di fargli scrivere la valutazione del rischio, è comprensibile ed è, a mio giudizio, un errore doppio: sia giuridico, perché lo espone al conflitto di interessi, sia strategico, perché brucia proprio la risorsa che rende il DPO prezioso, ossia la sua terzietà.
C’è un aspetto che rende il punto tutt’altro che teorico.
Le misure di resilienza che i soggetti critici devono adottare comportano esse stesse trattamenti di dati personali, e non di poco conto, ad esempio:
- videosorveglianza e controllo degli accessi ai siti critici;
- monitoraggio di reti e sistemi;
- verifiche sul personale che accede alle infrastrutture sensibili.
Su tutti questi trattamenti il DPO deve esercitare la sua sorveglianza ma se ha concorso a progettarli come decisore, chi li sorveglia?
Cosa può – e dovrebbe – fare il DPO nel processo di valutazione ex art. 13 del decreto CER
Delimitato il confine, lo spazio legittimo resta ampio.
Nel processo di valutazione del rischio, il DPO può e a mio avviso dovrebbe:
- esprimere pareri sull’esposizione sanzionatoria del soggetto critico: probabilità e possibili conseguenze di un procedimento, prassi del Garante in materia di pubblicazione ex art. 166 del codice privacy, peso delle circostanze ex art. 83 del GDPR – gli elementi che alimentano lo scenario della “cascata sanzionatoria” descritto nel secondo articolo;
- valutare la coerenza del riuso documentale ex art. 13, comma 4 del decreto CER: un parere sulla capacità delle DPIA, del registro e delle procedure di gestione dei data breach di reggere la rilettura in chiave CER, di cui ho scritto nel terzo contributo;
- sorvegliare i trattamenti generati dalle misure di resilienza, dalla videosorveglianza al monitoraggio del personale, assicurando che la sicurezza non produca essa stessa violazioni;
- presidiare il canale con il Garante, nella sua qualità di punto di contatto: un ruolo che nel momento più delicato della cascata – il procedimento sanzionatorio dopo un attacco – diventa un asset strategico dell’intera organizzazione.
Ciò che il DPO non deve fare è altrettanto chiaro: redigere in proprio la valutazione del rischio, decidere le misure di resilienza, assumere la regia operativa della gestione di crisi e firmare come autore ciò su cui domani dovrà vigilare.
La cerniera operativa: il Privacy Lead
Se il DPO consiglia e sorveglia, chi opera?
Qui entra in scena la figura che in questa serie ho chiamato Privacy Lead: la funzione – comunque la si voglia denominare nei singoli organigrammi – che per conto del titolare governa operativamente la compliance al GDPR.
È il Privacy Lead che porta al tavolo CER la mappa dell’esposizione sanzionatoria, che esegue la rilettura dei documenti ex comma 4 dell’art. 13 del decreto CER, che integra le procedure di gestione dei data breach con la dimensione della continuità del servizio.
La coppia funziona proprio perché è asimmetrica: il Privacy Lead dentro il processo, il DPO accanto al processo.
Un caso particolare, frequentissimo nella pratica, merita un cenno: il DPO esterno.
Molti soggetti critici affidano l’incarico a un professionista o a una società di consulenza che offre anche servizi di supporto alla compliance.
La tentazione di chiedere allo stesso fornitore il “pacchetto completo” – la valutazione del rischio CER e la sua sorveglianza – è ancora più insidiosa che all’interno, perché il conflitto si nasconde dietro due contratti formalmente distinti.
Il principio non cambia: chi redige la valutazione non può essere chi, come DPO, dovrà vigilare sui trattamenti che ne discendono. Un soggetto critico avveduto separa i fornitori, o quantomeno pretende e documenta barriere effettive tra i team.
Per i soggetti critici di dimensioni maggiori, l’assetto che suggerisco è un comitato resilienza in cui siedono la funzione resilienza (con la regia), il CISO, il Privacy Lead, il legale e le operations, e al quale il DPO partecipa come invitato permanente con voce consultiva.
Due accorgimenti danno sostanza all’assetto: i pareri del DPO vanno documentati per iscritto, perché in caso di ispezione – dell’autorità settoriale competente come del Garante – la tracciabilità del suo contributo dimostra insieme il coinvolgimento e l’indipendenza; e i verbali devono distinguere chi ha deciso da chi ha consigliato.
Un test pratico in tre domande
Per chi deve disegnare l’assetto, propongo un test elementare.
Primo: se questa attività finisse in un procedimento davanti al Garante, il DPO potrebbe rappresentare l’organizzazione senza difendere scelte proprie?
Secondo: il DPO sta valutando un trattamento o lo sta progettando?
Terzo: se il DPO cambiasse domani, il processo di resilienza si fermerebbe?
Se anche una sola risposta rivela sovrapposizione, il ruolo va ridisegnato.
Il DPO che “manda avanti la baracca” della resilienza è un DPO che non esegue i compiti che gli sono stati attribuiti dall’art. 39 del GDPR.
Conclusioni. La terzietà come risorsa di resilienza
Nella mia prospettiva, la questione del ruolo del DPO nel perimetro CER non è una raffinatezza da giuristi ma un tassello della tesi che attraversa questa serie.
Se la minaccia ibrida colpisce la fiducia e se la cascata sanzionatoria è uno dei suoi vettori, allora l’organizzazione ha bisogno, nel giorno peggiore, di due cose insieme: una macchina operativa che esegua ciò che è stato pianificato e una voce indipendente che possa dialogare con l’autorità di controllo con credibilità intatta.
Sacrificare la seconda per rinforzare la prima mi sembra un cattivo affare.
Il DPO coinvolto bene – consultato, documentato, tenuto fuori dalle decisioni operative – è una misura di resilienza a costo zero.
Il DPO coinvolto male, invece, è una vulnerabilità in più: esattamente il genere di dettaglio organizzativo che, in un contesto di minacce ibride, qualcuno là fuori è pagato per trovare.
