l’INFORMATICA GIURIDICA: una nuova materia che risale al 17° secolo.

Sono sempre piu’ numerosi i corsi proposti e volti a sensibilizzare i giovani professionisti, e non solo, a tematiche riguardanti gli aspetti giuridici correlati alle nuove tecnologie.

Sono ambiti che riguardano tutto l’alveo delle norme riconducibili al Codice dell’amministrazione digitale di cui al D. Lgs. 82/2005 fino al vigente Regolamento 910/2014 in materia di identificazione elettronica e servizi fiduciari per le transazioni elettroniche nel mercato interno.
Sono le norme riguardanti il crimine telematico e la sfera del diritto penale dell’informatica, della sicurezza informatica e della digital forensics che, nata dalla fusione della computer forensics e del network forensics, si occupa della preservazione, identificazione e studio delle informazioni contenute nei computer e nei sistemi informativi in generale con lo scopo di evidenziare l’esistenza di prove utili allo svolgimento dell’attività investigativa.
È  la disciplina sulla tutela dei dati personali in senso  lato di cui al Reg. (UE) 2016/679 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati ed al novellato D. Lgs. 196/03, quella del commercio elettronico e dei contratti informatici, e’ la normativa sulle Online Dispute Resolution (ODR) ex Reg. UE 524/2013. È quanto:

  • al D. Lgs. 51/2018 in attuazione della direttiva (UE) 2016/680 relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati;
  • al D. Lgs. 53/2018 in attuazione della direttiva (UE) 2016/681 sull’uso dei dati del codice di prenotazione (PNR) a fini di prevenzione, accertamento, indagine e azione penale nei confronti dei reati di terrorismo e dei reati gravi e disciplina dell’obbligo per i vettori di comunicare i dati relativi alle persone trasportate;
  • al D. Lgs. 65/2018 in attuazione della direttiva (UE) 2016/1148 recante misure per un livello comune elevato di sicurezza delle reti e dei sistemi informativi nell’Unione;
  • al Reg. (UE) 2018/1807 relativo a un quadro applicabile alla libera circolazione dei dati non personali nell’Unione europea;
  • alla Proposta di Direttiva del Parlamento europeo e del Consiglio sul diritto d’autore nel mercato unico digitale;
  • al Reg. (UE) 2019/881 relativo all’ENISA, l’Agenzia dell’Unione europea per la cibersicurezza, e alla certificazione della cibersicurezza per le tecnologie dell’informazione e della comunicazione …

… e altro ancora.

È l’INFORMATICA GIURIDICA che, per utilizzare la definizione formulata dall’ANDIG nel convegno del 28 giugno 2005 (v. Prof. Avv. Marco Mancarella: Lineamenti di informatica giuridica), <<è la disciplina giuridica, unitaria ed autonoma, che ha per oggetto il diritto dell’informatica che studia le leggi che regolano l’uso del computer e l’informatica del diritto che studia le ragioni e le modalità dell’influenza che l’informatica può avere sull’evoluzione del diritto>>.

È una materia che risale al 17° secolo per chi ne attribuisce la paternità a Gottfried Leibniz o più recentemente, al 1949, allo studioso americano Lee Loevinger che con la sua GIURIMETRIA ha voluto indicare un modo inusuale di accostarsi al diritto coniugando l’uso dei metodi dell’informatica nelle attività proprie del diritto.

È una materia dalle diverse sfaccettature così longeva e così attuale e sempre di estrema attualità ed interesse per tutti coloro che, partendo dal proprio background,  decidono di avvicinarvisi per sviluppare le proprie expertises in un settore dai significativi margini di crescita e sviluppo professionale.

Marcello Colaianni
Certified DPO e DP Auditor UNI 11697
Certified DP Auditor ISDP 10003:2018 Audit Scheme
Compliance & Management Systems Consultant/Auditor

Il Medico competente: Responsabile del trattamento o Contitolare?

Il recente chiarimento del Garante Privacy che sancisce che i Consulenti del lavoro – “nonché coloro che siano iscritti negli albi degli avvocati […], dei dottori commercialisti, dei ragionieri e periti commerciali” (v. legge n. 12/1979 cit.)” – sono da considerarsi Responsabili del trattamento, mi fa riflettere circa la figura del medico competente prevista dal D. Lgs. 81/08 e smi.

Siamo in presenza di un mandato con cui il Datore di lavoro (e il dirigente) nomina il medico competente per l’effettuazione della sorveglianza sanitaria.
Appare chiaro che il medico competente sussiste in quanto a lui l’Organizzazione ricorre per l’effettuazione di trattamenti per proprio conto annoverandosi, così, fra i Responsabili del trattamento ex art. 28/679/2016.

Occorre ricordare, però, che l’elemento fondante del regolamento è la protezione delle persone fisiche con riguardo al trattamento dei dati personali e non la sussistenza di un rapporto contrattuale, o altro atto giuridico, fra le parti. Ciò che prevale, nella corretta attribuzione dei ruoli in ambito data protection, è l’oggetto del trattamento, nella fattispecie, il dato particolare.

Sebbene il medico competente sia in azienda a svolgere i propri compiti in quanto nominato dal Titolare, prevale il fatto che questi non si limita a raccogliere i dati personali dei dipendenti che gli sono stati forniti bensì che estrae (in occasione delle visite mediche), organizza e struttura dati relativi alla salute. Il medico competente effettua trattamenti di dati necessari per finalità di medicina del lavoro, per la valutazione della capacità lavorativa del dipendenti. E questi sono dati che il Titolare non è legittimato a trattare.

Il medico competente tratta questi dati non per conto del Titolare ma per disposizione legislativa.

Il rapporto contrattuale con il Titolare e l’esclusiva nel trattamento di dati particolari in capo al medico competente consente allora di identificare quest’ultimo contitolare ex art. 26/679/2016. Siamo in presenza di Contitolari che determinano congiuntamente le finalità e i mezzi del trattamento. Essi determinano in modo trasparente, mediante un accordo interno, le rispettive responsabilità in merito all’osservanza degli obblighi derivanti dal regolamento con particolare riguardo all’esercizio dei diritti dell’interessato. Accordo di cui l’interessato deve essere debitamente edotto.

E quando il medico competente è un dipendente del datore di lavoro? È un Responsabile? No. È sempre un contitolare.

Sebbene i dipendenti rientrino ragionevolmente nella definizione di persone autorizzate di cui all’art. 29/679 in quanto agiscono sotto l’autorità del Titolare del trattamento, il medico competente non effettua il trattamento dei dati particolari sotto l’autorità del Titolare bensì in ottemperanza alle specifiche disposizioni di legge che ne disciplinano il ruolo e i compiti.

Il medico competente tratta dati personali particolari in quanto lo richiede il diritto dello Stato membro e non il Titolare.

Se quella sopra enunciata è la prospettiva da prendere in considerazione c’è da chiedersi quanto ne siano a conoscenza, i medici competenti.
In termini di responsabilità non cambia molto, rispetto al ruolo di Responsabile, vigendo il disposto ex art. 82/679. Rispetto al ruolo di persona autorizzata, però, si; eccome!

C’è poi il fatto che il medico competente, quale contitolare e con riferimento esclusivo alle sue finalità e i mezzi del trattamento, deve essere pronto all’interazione diretta con gli interessati e rispondere ai diritti che questi volessero esercitare nei suoi confronti.
Nulla di nuovo rispetto al Responsabile, ma per il resto?

Marcello Colaianni
Certified DPO UNI11697
Certified Privacy Auditor UNI11697
Certified DP Auditor ISDP10003 Scheme

 

 

DPO e RESPONSABILE del trattamento: 2 facce della stessa medaglia?

Ad oltre 2 anni dall’entrata in vigore del GDPR, restano di estrema attualità le riflessioni con cui, in adempimento ai requisiti ex art. 37, § 1, lett. a), b) e c), viene designato il Responsabile della Protezione dei Dati (RPD) ovvero il DPO.

Il Regolamento è perentorio ed individua il DPO in colui che:

  1. ha idonee qualità professionali,
  2. ha la conoscenza specialistica della normativa
  3. ha la conoscenza specialistica delle prassi in materia di protezione dei dati,
  4. ha la capacità di assolvere i compiti di cui all’articolo 39
  5. può svolgere altri compiti e funzioni purché questi non diano adito a conflitti d’interessi del che è garante il Titolare/Responsabile del trattamento

il che non dovrebbe lasciare dubbi a riguardo.

Tuttavia, qualunque sia il motivo, a prevalere è la volontà di concentrare ruoli e funzioni in capo al minor numero possibile di persone supportati, oltre ogni ragionevolezza, della possibilità di svolgimento di altri compiti e funzioni a dispetto di eventuali conflitti d’interesse.
Ecco allora che troviamo il consulente, il giurista, l’esperto informatico o il risk manager avocare a sé sia il ruolo di Responsabile esterno del trattamento, in quanto gestore del trattamento dei dati del Titolare, sia, all’occorrenza, quello del DPO.

Le linee guida del EDPB forniscono chiare indicazioni raccomandando di evitare che il DPO designato ricopra ruoli di vertice (es. amministratore delegato, responsabile operativo, responsabile finanziario, responsabile sanitario, responsabile marketing, responsabile IT, direzione risorse umane) o posizioni gerarchicamente inferiori se quest’ultime comportano la determinazione di finalità o mezzi di trattamento. Qui, tuttavia, la fattispecie contrasta comunque con la previsione della designazione del DPO da parte del vertice del Titolare nonché dei presupposti di autonomia ed indipendenza.
In ipotesi di ricorso all’esterno del DPO il conflitto di interessi può poi manifestarsi laddove questi si ritrovi a ricoprire il ruolo di Responsabile o Con-titolare in qualità di, per esempio, RSPP, membro dell’OdV o dell’OdV monocratico, membro del Collegio sindacale, ecc.

Dati questi presupposti, l’orientamento sembra essere quello di evitare la designazione del DPO in capo a soggetti, interni o esterni, che in virtù delle funzioni già ricoperte trattano, a vario titolo, dati personali del Titolare.

MA le linee guida non sono fonti del diritto!

Quindi, è sufficiente che il Titolare/Responsabile afferma che non vi è conflitto d’interessi fra i compiti del DPO e gli altri compiti e funzioni?
No, occorre anche dimostrarlo in maniera inequivocabile!

Esiste un punto molto chiaro nel Regolamento che palesa l’esistenza di un conflitto d’interessi fra i 2 ruoli. Alla lettera h) dell’art. 28 che prescrive che il Responsabile del trattamento mette a disposizione del titolare del trattamento tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui al presente articolo e consenta e contribuisca alle attività di revisione, comprese le ispezioni, realizzati dal titolare del trattamento o da un altro soggetto da questi incaricato evidenziando l’impossibilità che controllore e controllato siano la stessa persona.
Insomma, c’è chi fa e c’è chi controlla!

È presto fatto: per le ispezioni al Responsabile/DPO si ricorre a un auditor interno o, meglio, ad un’organizzazione indipendente esterna evitando così che il Responsabile/DPO possa trovarsi contemporaneamente nella duplice posizione di controllore (come DPO) e di controllato (come Responsabile del trattamento).
Bah, mi sembra un comportamento elusivo e fine a se stesso.

Mi trovo costretto a perorare la mia causa: <<Responsabile e DPO sono funzioni in conflitto d’interessi!>>. Perché, fra l’altro:

  • sono normativamente inquadrati come soggetti fra loro in antitesi;
  • il Responsabile mette in atto misure tecniche e organizzative adeguate in modo tale che il trattamento soddisfi i requisiti del regolamento e garantisca la tutela dei diritti dell’interessato;
  • il DPO sorveglia a che siano soddisfatti i requisiti del regolamento e messe in atto le azioni necessarie volte a tutelare i diritti dell’interessato;
  • il Responsabile tratta i dati personali soltanto su istruzione documentata del titolare del trattamento;
  • il DPO svolge i suoi compiti in assoluta assenza di istruzioni, in piena autonomia ed indipendenza.

A porre la dovuta attenzione, da parte del Titolare, circa la più idonea ed appropriata applicazione dei requisiti del GDPR è l’art. 24, 1° paragrafo che contempla, per il Titolare, la messa in atto di misure tecniche e organizzative adeguate per garantire, ed essere in grado di dimostrare, che il trattamento è effettuato conformemente al regolamento tenuto conto (…) dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche.

Fra le misure tecniche e organizzative da considerare, fin dalla progettazione, c’è quindi l’elaborazione di un chiaro organigramma per la data protection, l’individuazione dei singoli ruoli e responsabilità, all’insegna del principio di accountability su cui si basa l’intero regolamento, nonché dei compiti e funzioni che possono avere diversi livelli di probabilità, di essere fra loro in conflitto, ed altrettanti livelli di gravità ovvero di entità del danno che ne può conseguire.
Un’analisi superficiale delle condizioni di conflitto di interesse potrebbe determinare, in capo al Titolare/Responsabile, una culpa in eligendo con il rischio di disconoscimento del DPO e l’irrogazione di sanzioni pecuniarie per la sua conseguente mancata designazione.

Tutto ciò premesso, qualunque sia il risultato della valutazione di questa fattispecie di rischio, è evidente quanto sia utile, opportuno e doveroso tenere, da subito, separati i compiti e le aree di responsabilità in conflitto fra loro per ridurre al minimo le possibilità di trattamento illecito/irregolare degli asset dell’organizzazione quali sono i dati personali.

Marcello Colaianni
Certified DPO UNI11697
Certified DP Auditor ISDP10003 Scheme
Valutatore Privacy Certificato UNI11697

 

Il DPO è un AUDITOR!

L’art. 39 ci ricorda quali sono i compiti primari del DPO.

Fra questi, quello dell’Auditor, ovvero il compito di sorvegliare l’osservanza del regolamento, di altre disposizioni dell’Unione o degli Stati membri relative alla protezione dei dati nonché delle politiche del titolare del trattamento o del responsabile del trattamento in materia di protezione dei dati personali, compresi l’attribuzione delle responsabilità, la sensibilizzazione e la formazione del personale che partecipa ai trattamenti e alle connesse attività di controllo è sicuramente l’attività che in maggior misura impegna il DPO.

Egli esamina il trattamento di dati personali, valutando il rispetto di leggi e regolamenti applicabili e approva le misure necessarie a eliminare eventuali non-conformità rilevate, mantenendo una posizione indipendente da chi svolge attività manageriali e operative.

Per quanto sopra si evince che la conoscenza della normativa e la capacità di darle la più appropriata interpretazione nella sua applicazione in seno a ciascun Titolare/Responsabile è una prerogativa … che da sola, però, si rivela incompleta.

Essere un auditor significa avere, prima di tutto, specifiche competenze circa le modalità di conduzione degli audit.

Considerato il riferimento ai meccanismi di certificazione ex articoli 42 e 43 del GDPR, il ricorso a norme ISO internazionalmente validate, come la UNI EN ISO 19011 o la UNI EN ISO 17021-1 o la UNI ISO 31000, è logico, conseguenziale ed oltremodo coerente alla citata norma EN-ISO/IEC 17065/2012 a cui devono fare obbligatoriamente riferimento gli organismi di certificazione.

Nella fattispecie lo schema ISDP10003:2018, accreditato ACCREDIA e nominativamente richiamato in alcuni bandi di gara, fornisce chiare indicazioni proprio in merito a politiche del titolare del trattamento o del responsabile del trattamento in materia di protezione dei dati personali, compresi l’attribuzione delle responsabilità, la sensibilizzazione e la formazione del personale che partecipa ai trattamenti e alle connesse attività di controllo …
… Attività di controllo per le quali l’Auditor può avvalersi di specialisti, ovvero dei cosiddetti esperti tecnici in ambito informatico, tecnologico, giuridico o organizzativo nella conduzione degli audit.

Il ricorso alle ulteriori professionalità cui può accedere il DPO, come previsto all’art. 38, va tuttavia circoscritto.
È poco professionale che il DPO si avvali di terzi soggetti quando interloquisce direttamente con il Titolare nell’esplicitazione dei punti della norma; è utile che ne sia adeguatamente e personalmente edotto.
Parimenti dicasi in ipotesi di delega delle attività di formazione e consulenza.
E ancora, laddove venga consultato nella Valutazione dei rischi o d’impatto, ricorrere ad altri ne sminuisce sia la figura sia il ruolo.

Ne consegue che il DPO debba essere personalmente autosufficiente almeno con riferimento alla normativa relativa alla protezione dei dati e agli aspetti di risk management su cui si basa la Valutazione dei rischi così come quella d’Impatto.
Attendersi questo quale requisito implicito dal Titolare del trattamento è assolutamente ragionevole.

È vero, il DPO non è un tuttologo né può esserlo ed allora trova giustificazione, per esempio, il ricorso agli esperti di cyber security.

Quello che è certo, dato anche il suo posizionamento in organigramma, sono le relazioni che pone quotidianamente in essere con le altre funzioni aziendali, oltre che con gli interessati e l’autorità di controllo.
Il suo contributo, fra l’altro, nell’assegnazione o verifica delle responsabilità e competenze al personale gli attribuiscono capacità di osservazione, sensibilità e discernimento.

Si comprende allora l’importanza di quelle abilità volte ad esaltarne gli effetti.
Abilità come la capacità di lavorare in gruppo, di analisi e di sintesi nonché l’assunzione di comportamenti idonei come l’essere di mentalità aperta e flessibile, diplomatici ed insieme tenaci e perseveranti, collaborativi ed in grado di agire con fermezza, sicuri di sé e aperti al miglioramento.

Marcello Colaianni
Certified DPO UNI11697
Valutatore Privacy certificato UNI11697
Certified DP Auditor ISDP10003:2018 scheme

Le competenze morbide del DPO … e non solo

I compiti del DPO e le competenze richieste nel Regolamento UE 679/2016 hanno dato via libera ai più disparati pareri, e convinzioni, su chi possa ricoprire questo ruolo.
A riguardo, mi sono già espresso con il mio articolo: <<Il Data Protection Officer: Quali competenze per quali compiti>> e non voglio essere ridondante:(https://marcellocolaianniblog.wordpress.com/2017/03/14/il-data-protection-officer-quali-competenze-per-quali-compiti)

Ciò a cui tengo, in questa sede, è dare il giusto spazio alle competenze morbide, ovvero a quelle abilità che per il DPO, e non solo per lui, sono estremamente utili nell’espletamento delle proprie funzioni.

Mi riferisco, per esempio, a quelle richiamate dalla norma ISO 19011: mentalità aperta, diplomatici, sicuri di sé, collaborativi, versatili, perseveranti, in grado di agire con fermezza, ecc. e dalla norma UNI 11697 che contempla, fra l’altro, la capacità di comunicare, di analisi, di sintesi, di controllo, di convincimento, di gestione dei conflitti, di iniziativa e di lavorare in gruppo.
Skill fondamentali nelle relazioni interpersonali e quindi anche per chi, come il DPO, si trova costantemente a confrontarsi con diversi soggetti, dentro e fuori l’organizzazione.

Ma cosa si intende per competenze dure e cosa per competenze morbide?
Si può dire che le prime consentono di svolgere specifici compiti sulla base di una molteplicità di conoscenze acquisite nel tempo; le seconde si riferiscono ad abilità che riguardano, piuttosto, le modalità di rapportarsi con gli altri, gli atteggiamenti assunti nell’esprimere concetti, l’assunzione di una postura rispettosa del proprio interlocutore, un tono di voce moderato e consono alle circostanze … e così via; in altre parole l’abilità di gestire le relazioni interpersonali.
La complementarietà fra competenze dure e competenze morbide è fondamentale ancor più di una ipotetica e totale copertura delle sole competenze dure … e insieme consentono di portare a termine compiti e di risolvere problemi.

Si nasce o si diventa competenti?
Si può tranquillamente affermare che nessuno nasce imparato!
L’apprendimento formale è base e condizione necessaria, e non sufficiente, per metabolizzare conoscenze e, quindi, competenze tecniche. L’apprendimento informale e non-formale chiudono il cerchio doverosamente integrate dall’esperienza.
Per le competenze morbide c’è quello che si chiama istinto, predisposizione o capacità innata. In realtà, anche qui si può agire di conseguenza e migliorare sempre.

Come? Con il coaching!
Un’attività con cui il professionista, il coach, affianca il cliente, il coachee, ad elicitare le risorse necessarie per risolvere problemi e raggiungere i propri obiettivi attraverso tecniche e metodologie appropriate.
Il coaching, non a caso, è una delle abilità previste per la figura del DPO.
Da qui l’utilità di inserire, nei tradizionali corsi per DPO o per Manager privacy, Specialista Privacy e Valutatore privacy incontri formativi che enfatizzino le suddette abilità per una preparazione più completa e strategica e se il coach è anche un addetto ai lavori nell’ambito della protezione dei dati personali … beh,  poter affidarsi a un mentore è il TOP!

In realtà in qualunque contesto, professionale o di vita quotidiana, chiunque trae grande utilità nell’immergersi in questo mondo stupefacente … ed è il primo ad accorgersene e rendersi conto del maggior potenziale acquisito.

Marcello Colaianni
Business, Corporate, Executive e Team Coach
Privacy Consultant e DP Auditor Certified – DPO UNI 11697 Certified

DATA PROTECTION e INFORMATION SECURITY: binomio indissolubile per il payroll management

La relazione fra i due contesti, e le norme che li disciplinano, assume connotazioni differenti a seconda dell’oggetto sociale dell’organizzazione.

Sicuramente, i settori merceologici più coinvolti nella gestione combinata di sicurezza delle informazioni e protezione dei dati sono quelli propri delle aziende ICT (società di HW, SW, Telecommunications, Hosting, Web provider, ecc.), del settore sanitario e della salute e quello finanziario.

Ciò premesso, tuttavia, un ambiente estremamente critico e significativo è quello relativo ai processi di gestione delle paghe. Dal punto di vista della protezione dei dati, fra l’altro, per il trattamento di dati particolari  e, all’occorrenza, di quelli penali. Per quanto alla sicurezza delle informazioni anche per l’evidente ed imponente  utilizzo dei sistemi informativi.

In questo contesto, non deve ingannare il fatto che la data protection sia disciplinata da norme di legge mentre la information security da norme di sistema. Entrambi, infatti, mantengono estremamente elevato il loro valore strategico e sostanziale specialmente in siffatti settori merceologici.

È fondamentale che le organizzazioni che affidano in outsourcing i suddetti servizi prestino la dovuta attenzione affinché non si verifichino violazioni di sorta anche per un incauto trattamento da parte delle società appaltatrici.

Cosa fare, allora, in sede di qualificazione/riqualificazione dei propri fornitori?
Le azioni utili da intraprendere si sviluppano secondo due direttrici.

La prima consiste nell’acquisire evidenze oggettive volte a dimostrare l’adeguamento alla normativa  di riferimento:

  • Relativamente agli aspetti della Data Protection si ricorda l’esistenza di due schemi pro GDPR riconducibili al DPMS 44001 ed all’ISDP 10003;
  • Per quanto alla sicurezza delle informazioni suggerisco, nel caso di specie, la certificazione secondo la norma UNI CEI EN ISO/IEC 27001 e, eventualmente, alla UNI EN ISO 22301:2014: “Sicurezza della società – Sistemi di gestione della continuità operativa – Requisiti”, con evidenza dell’adeguamento, anche attraverso richiesta dello statement of applicability, ad una o più delle seguenti norme:
    ISO/IEC 20000-1 riguardante i requisiti per un sistema di gestione del servizio;
    ISO/IEC 27010 per la gestione della sicurezza delle informazioni per le comunicazioni intersettoriali e interorganizzative
    ISO/IEC 27018 per la protezione delle informazioni di identificazione personale (PII) in cloud pubblici che agiscono come processori PII;

La seconda direttrice contempla, in aggiunta, la pianificazione di audit di 2a parte; ovvero ispezioni presso il fornitore per verificare, in loco, l’adeguatezza dei processi aziendali attraverso auditor propri o esterni.

A dimostrare le interrelazioni che si pongono fra sicurezza delle informazioni e protezione dei dati e la particolare attenzione richiesta per tali processi è, inoltre, il requisito che la norma UNI CEI EN ISO/IEC 27001 prevede all’obiettivo A.18.1.4, dell’allegato A, che dispone: <<Si devono assicurare la privacy e la protezione dei dati personali,  come richiesto dalla legislazione e dai regolamenti pertinenti, per quanto applicabile>>.

Il requisito  in discorso è inserito in una norma di sistema ma fa riferimento ad una norma di legge, in particolare al combinato disposto di cui al Regolamento UE 679/2016 ed al novellato D. Lgs. 196/03. Il rispetto della normativa sulla data protection è, quindi, un aspetto che va puntualmente controllato e sottoposto al processo di valutazione dei rischi ex ISO 27001. Il livello di rischio determinatosi, suggerirà l’opportunità di:

  • integrare il sistema per le parti mancanti ed applicabili all’organizzazione;
  • continuare o interrompere la conduzione dell’audit di 3a parte. Ciò a discrezione del gruppo di audit, ovvero dell’Organismo di certificazione;
  • qualificare, riqualificare o revocare la qualificazione, in ipotesi di audit di 2a parte, a cura del cliente.

Le suddette considerazioni, infine, lasciano ben immaginare quanto un’appropriata strutturazione di competenze, ruoli e responsabilità sia essenziale, anzi, determinante.
Il DPO, in questa sede, è la figura ideale anche per coniugare e monitorare sull’applicazione delle due normative, e quanto ad esse correlate, all’insegna di un organizzato ed integrato modello di riferimento nonché dei comuni principi di:

  • Liceità, Correttezza e Trasparenza;
  • Riservatezza, Integrità, Disponibilità;
  • Esattezza e Responsabilizzazione.

Marcello Colaianni
Compliance & Management Systems Consultant/Auditor
Privacy Consultant, DP Auditor e DPO UNI11697 Certified
UNI CEI EN ISO/IEC 27001 Qualified Auditor                    

GDPR versus ISO 27001

È ormai noto a tutti che la certificazione di un sistema di gestione della sicurezza delle informazioni (SGSI) non è valida quale evidenza circa la conformità dell’organizzazione alla normativa per la Data Protection.

Al contrario si può affermare che, pur soddisfatti gli altri requisiti, laddove non si abbia riscontro circa le dovute assicurazioni in merito alla privacy ed alla protezione dei dati  personali, la certificazione del SGSI non è garantita.
Lo si evince dal combinato disposto di cui all’obiettivo A.18.1.4 dell’appendice A ed al punto 6.1.3 “Trattamento del rischio relativo alla sicurezza delle informazioni” della ISO 27001.

Una lettura trasversale nei suddetti termini suggerisce quanto diventi fondamentale, oltre che opportuna, una certificazione di 3a parte di un meccanismo conforme agli articoli 42 e 43 del Regolamento UE 679.

È, in altre parole, quasi come dire che occorre verificare l’esistenza di una certificazione pro GDPR, o almeno la presenza dei presupposti di conformità al GDPR, per poter avviare l’iter per la certificazione ISO 27001 . È come, mi si permetta il parallelismo, quando le SOA devono verificare preliminarmente l’esistenza della certificazione ISO 9001 per il rilascio delle attestazioni richieste.

Se così è, appaiono evidenti le molteplici considerazioni che ne conseguono.

È conditio sine qua non che gli auditor 27001 coinvolti nell’audit, o almeno l’OdC, siano depositari di adeguate conoscenze in materia di data protection. In questo caso alcuni OdC potrebbero decidere di avvalersi, in alternativa agli esperti tecnici, di auditor che abbiano anche una certificazione secondo la norma UNI 11697. Ciò anche per dare ancora più peso e valore alla certificazione rilasciata.

Ben immaginabili possono essere le conseguenze di un siffatto ragionamento.
Si pensi ad un’organizzazione che abbia sia la certificazione ISO 27001 sia quella ex GDPR.

Quali potrebbero essere gli effetti qualora, in sede di verifica annuale, la stessa organizzazione si vedesse revocare il certificato di conformità al Regolamento? Oltre alla revoca del certificato, debitamente motivata, che l’OdC deve obbligatoriamente trasmettere al Garante privacy, c’è anche il rischio di vedersi, conseguentemente, revocare la certificazione ISO 27001 data la sopraggiunta inosservanza alla normativa privacy? E laddove l’Organismo coinvolto fosse lo stesso per entrambi gli schemi?

E cosa dire riguardo alla verifiche ispettive di 2a parte effettuate dalle aziende clienti?
Si pensi, per esempio, ad una multinazionale le cui paghe dei dipendenti sono gestite in outsourcing.
In sede di qualificazione dell’azienda appaltatrice verrà richiesto il soddisfacimento dei requisiti della ISO 27001, del Regolamento Ue e di quanto ad esso correlato, o di entrambe le normative o altro ancora come ulteriori evidenze in materia di Disaster Recovery o di Business Continuity Management? E quanto approfondite saranno queste verifiche?
Forse, “più semplicemente”, basterà fornire l’evidenza di una doppia certificazione di 3a parte?

Non spetta al sottoscritto dettare comportamenti univoci, questi competono sicuramente ad altri ma, se vogliamo essere allineati al dettato normativo – e in questa sede è significativa la relazione che viene a porsi fra norme di legge con valenza europea, oltre che nazionale, e norme di sistema con valenza internazionale, oltre che italiana – non vedo molte alternative alla suddetta interpretazione, almeno fino ad oggi.

A questo punto, come si suol dire, ai posteri l’ardua sentenza.

Marcello Colaianni
Compliance & Management Systems Consultant/Auditor
DPO UNI11697, Privacy Consultant e DP Auditor Certified

 

Culpa in eligendo, culpa in vigilando e principio di effettività nelle relazioni fra TTDP e RTDP

Nelle relazioni fra Titolare del trattamento e Responsabile del trattamento, al di là del dettato normativo, sono state espresse tante, a volte troppe, interpretazioni del tipo:

  • il Titolare del trattamento deve o può (?) nominare il Responsabile del trattamento ….;
  • il Responsabile del trattamento comunica al Titolare l’assunzione di incarico in forza di …;
  • il Titolare ed il Responsabile sottoscrivono un contratto negoziando sui suoi contenuti … .

Sono tutte considerazioni legittime che, però, determinano comportamenti differenziati e, non sempre, allineati ai requisiti del GDPR.
Ragioniamo, insieme, con il Regolamento alla mano riportando innanzitutto le definizioni che seguono:

  • «titolare del trattamento»: la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali (…);
  • «responsabile del trattamento»: la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che tratta dati personali per conto del titolare del trattamento.

Si evince, fin da subito, come sia il Titolare del trattamento a fare il primo passo nei confronti del Responsabile, e non viceversa perché è quest’ultimo che, in virtù di un mandato o contratto di servizi sottoscritto con il Titolare, tratta dati personali a questi riconducibili. E proprio in funzione del contratto di servizi, o del mandato, che i dati personali riconducibili al Titolare saranno più o meno ampi con riferimento alla categoria di dati trattati (dati personali, particolari, giudiziari penali) piuttosto che ai mezzi di trattamento o altro ancora.

Questa è ancora la fase in cui è “semplicemente” stabilito il rapporto professionale fra le parti. Quindi lo studio dell’Avvocato, del Consulente del lavoro o della Società di consulenza in materia di privacy, per fare solo pochi esempi, in virtù del suddetto mandato o contratto, si pongono come Responsabili del trattamento nei confronti del loro assistito ovvero del loro cliente.

Il Reg. UE 679/2016, al primo paragrafo dell’art. 28, recita: “Qualora un trattamento debba essere effettuato per conto del titolare del trattamento, quest’ultimo ricorre unicamente a responsabili del trattamento che presentino garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate in modo tale che il trattamento soddisfi i requisiti del presente regolamento e garantisca la tutela dei diritti dell’interessato”.

È indubbio che nel farsi rappresentare dall’avvocato, nelle sedi giudiziarie, o nel ricorrere al consulente del lavoro per la gestione paghe dei propri dipendenti o alla società di consulenza per adeguarsi alla normativa sulla privacy si sta facendo riferimento ad un trattamento di dati personali che deve essere effettuato per conto del titolare del trattamento.

A questo punto, se il servizio è garantito dalla firma del contratto sottoscritto fra cliente e fornitore, occorre far sì che anche il rapporto fra Titolare (ovvero il Cliente) e Responsabile (cioè il Fornitore), ai fini privacy, sia ugualmente garantito.

Come? Semplice: il Titolare nomina il proprio Fornitore come Responsabile del trattamento.
In che modo? Con un contratto o altro atto giuridico!

Ed ecco il semaforo rosso! Come fa il Titolare a ricorrere ovvero nominare quell’avvocato, quel consulente o quella società se non sa nemmeno se presentano garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate in modo tale che il trattamento soddisfi i requisiti del presente regolamento e garantisca la tutela dei diritti dell’interessato?

I suddetti soggetti, già per loro conto in quanto Titolari dei propri dati personali, devono adempiere al regolamento. Quindi, già di per sé sono tenuti al rispetto del GDPR. L’assunzione del ruolo di RTDP conseguente alle relazioni con il Titolare non costituisce una fattispecie diversa se non quella dettata dalla contestualizzazione dei rapporti nello svolgimento della propria attività. Infatti l’Avvocato, il Consulente e la Società, nei confronti dei loro fornitori, si pongono a loro volta come titolari.
Titolari e Responsabili sono entrambi terzi alternandosi di volta in volta a seconda dello specifico contesto. Ce lo ricorda l’art. 4, che al punto 10) del primo paragrafo, definisce <<terzo>>: la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che non sia l’interessato, il titolare del trattamento, il responsabile del trattamento e le persone autorizzate al trattamento dei dati personali sotto l’autorità diretta del titolare o del responsabile.

A dispetto di tutto ciò, la nomina a RTDP (esterno) non viene sottoscritta; chissà per quale motivo (??).

Il Titolare a questo punto può assumere due comportamenti: sostituire il professionista o soprassedere perché prevalgono le competenze specifiche. Ma ahimè, la mancata sottoscrizione del contratto, di nomina del RTDP, determina una sanzione amministrativa pecuniaria.

Infatti, l’art. 83/679/2016 dispone che (…) la violazione delle disposizioni seguenti è soggetta a sanzioni amministrative pecuniarie fino a 10 000 000 EUR, o per le imprese, fino al 2% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore nei casi di: a) gli obblighi del titolare del trattamento e del responsabile del trattamento a norma degli articoli 8, 11, da 25 a 39, 42 e 43.
Come si può notare, l’art. 28 ci sta; è specificatamente considerato.

Un altro aspetto per cui la nomina del RTDP è oltremodo doverosa e opportuna è quello esplicitato all’art. 82/679/2016 in materia di Diritto al risarcimento e responsabilità e, più precisamene, in materia di responsabilità solidale.

Al Titolare, quindi, può essere obiettato il fatto che il soprassedere alla sottoscrizione del contratto di nomina del RTDP è contrario ai suoi obblighi di messa in atto delle misure tecniche e organizzative adeguate per garantire, ed essere in grado di dimostrare, che il trattamento è effettuato conformemente al presente regolamento con un rischio, appunto, di sanzione amministrativa pecuniaria fino a 10 000 000 EUR, o per le imprese, fino al 2 % del fatturato mondiale totale annuo dell’esercizio precedente, se superiore per inosservanza del combinato disposto ex artt. 24, 28 e 83 del GDPR.

Per quanto sopra, oggettivamente, al Titolare non può essere attribuita una culpa in eligendo laddove i RTDP nominati dovessero disattendere i requisiti di idoneità e adeguatezza. Abbiamo detto perché obbligati al rispetto del Regolamento, fin dall’origine, in qualità di TTDP.

Altro è invece se parliamo di culpa in vigilando. Fra le istruzioni che il Titolare impartisce al RTDP, infatti, è obbligatoria anche quella che prevede di poter svolgere, direttamente e/o indirettamente, attività di revisione e ispezione. Facoltà del tutto legittima anche se estesa a tutta la filiera dei soggetti che, direttamente o meno, trattano dati personali riconducibili al Titolare … fino al gestore del cloud.

Per chi, infine, ritiene che la nomina del RTDP è, persino, irregolare dichiarando il prevalere del cosiddetto principio di effettività per cui il RTDP è tale di fatto e non deve ricevere nessun incarico formale, per la semplice esistenza di un contratto di fornitura (quando esiste) o del rapporto di compravendita fra le parti, mi permetto di dissentire fortemente perché siffatto principio:

  • deve essere esplicitamente richiamato nella specifica normativa di riferimento;
  • non rientra nel novero dei Principi applicabili al trattamento di dati personali ex art. 5;
  • è palesemente in contrasto al disposto ex art. 28.

Nulla quindi che possa essere paragonato al principio di effettività richiamato, per quanto di propria competenza, nella legislazione speciale di cui al:

  • D. Lgs. 81/08 e smi che – all’art. 299/81/08 e smi “Esercizio di fatto di poteri direttivi” – recita: <<Le posizioni di garanzia relative ai soggetti di cui all’articolo 2, comma 1, lettere b), d) ed e), gravano altresì su colui il quale, pur sprovvisto di regolare investitura, eserciti in concreto i poteri giuridici riferiti a ciascuno dei soggetti ivi definiti e
  • D. Lgs. 231/01 e smi che – al comma 1, lett. a) dell’art. 5 “Responsabilità dell´ente” – dispone: <<L´ente è responsabile per i reati commessi nel suo interesse o a suo vantaggio da persone che rivestono funzioni di rappresentanza, di amministrazione o di direzione dell´ente o di una sua unità organizzativa dotata di autonomia finanziaria e funzionale nonché da persone che esercitano, anche di fatto, la gestione e il controllo dello stesso.

Marcello Colaianni
Compliance & Management Systems Consultant/Auditor
Privacy Consultant & DP Auditor Certified

 

 

Il DPO: un facilitatore, un coach, un mentore!

È un sommo piacere vedere ribadito, nel post di Angelo Freni (https://www.linkedin.com/pulse/dpo-facilitatore-angelo-freni-1f/), che il DPO è colui che, fra l’altro, sorveglia l’osservanza del Reg. UE e non “quello che fa le carte” pena l’incorrere in un inevitabile conflitto d’interesse.

Da questa prospettiva si capisce come il DPO sia, e debba essere percepito, un facilitatore. Un professionista, cioè, che ha in sé la qualità di portare l’Organizzazione ad elicitare le proprie risorse e passare dalla situazione “A”, quella pre-Regolamento UE 679/2016, alla situazione “B”, post 25/05/2018 in adempimento ai requisiti della normativa vigente.

Il DPO è un coach! Svolge attività di coaching.

“COACHING” la cui parola richiama quella di COACH, carrozza ….  e come la carrozza trasporta il passeggero da un luogo ad un altro, il Coach porta il Cliente e l’utente finale (Coachee) dalla situazione attuale a quella desiderata, dalla definizione di propri obiettivi fino al loro raggiungimento.

Ha capacità relazionali ed è in grado di condurre colloqui e gestire le diverse fasi del processo.
Ha abilità proprie e caratteristiche peculiari che si riconoscono nell’ascolto attivo e contestuale; è aperto e sicuro di sé, flessibile e capace di adattarsi alle situazioni, umile e scevro da pregiudizi, rispettoso ed eticamente corretto.

L’indicazione dell’abilità del coaching fra gli skill previsti del DPO, ovvero del Responsabile della Protezione dei Dati (RPD), nella norma UNI 11697, non è un caso!

Non solo! Essendo un addetto ai lavori in materia di Data Protection, il DPO è un mentore!

Il mentor è un saggio che conosce le cose, un modello, la persona da prendere come riferimento e caratterizzata da una forte motivazione a fare da guida e da consigliere al mentee.

In azienda, il Mentore è colui che affianca ed istruisce chi lo succederà nel suo ruolo. È il DPO che affianca e istruisce l’intera organizzazione; è il DPO che è co-attore nell’istituzione, affiancamento e formazione del Data Protection Departement.

È il DPO, il tuo facilitatore nell’applicazione del GDPR.

Marcello Colaianni
Compliance & Management Systems Consultant/Auditor
Business, Team e Corporate Coach.

 

 

DPO: Data Protection Officer versus Data Privacy Officer, stesso acronimo, figure diverse

Ho già avuto modo di scriverlo in alcuni miei articoli come quello del 21 agosto 2017 (https://marcellocolaianniblog.wordpress.com/2017/08/21/il-responsabile-della-protezione-dei-dati-il-privacy-officer-e-le-altre-figure-del-gdpr/) e mi preme qui ribadire il concetto per cui di Data Protection Officer ce n’è uno ed uno solo. È quello nominativamente previsto agli articoli 37 a 39 del Regolamento UE 679/2016.

Senza nulla togliere alle altre figure professionali della Privacy, o più correttamente, della Data Protection, vanno assolutamente specificate le differenze in termini di ruolo, mansioni e competenze.

Esiste il Chief Privacy Officer? Va bene, non è il DPO! Esistono i Privacy Officer e gli altri Officer che si occupano a vario titolo della materia in discorso? Benissimo! Sono altro rispetto al DPO!

L’ultimo nato è l’ancor più ingannevole Data Privacy Officer con acronimo identico al Data Protection Officer.  Un caso?

Da dove salti fuori non ne ho minimamente idea. È certo che se si vogliono identificare soggetti che, in azienda o fuori, si occupano della materia in discorso basta ricorrere ai suggerimenti della norma UNI 11697 che, riconoscendo personalmente il Responsabile della Protezione dei Dati,  propone la figura del Manager Privacy, valida alternativa a tutte le altre definizioni più sopra citate, dello Specialista privacy e del Valutatore privacy per i quali sono formulate caratteristiche proprie e identificative.

D’altra parte, è lo stesso WP29 (ora EDPB) a ricordarcelo:
Nulla osta a che un’azienda o un ente, quando non sia soggetta all’obbligo di designare un RPD e non intenda procedere a tale designazione su base volontaria, ricorra comunque a personale o consulenti esterni incaricati di incombenze relative alla protezione dei dati personali. In tal caso è fondamentale garantire che non vi siano ambiguità in termini di denominazione, status e compiti di queste figure; è dunque essenziale che in tutte le comunicazioni interne all’azienda e anche in quelle esterne (con l’autorità di controllo, gli interessati, i soggetti esterni in genere), queste figure o consulenti non siano indicati con la denominazione di responsabile per la protezione dei dati (RPD).
Considerazioni che valgono anche per i chief privacy officers (CPO) o altri professionisti in materia di privacy già operanti presso alcune aziende, che non sempre e non necessariamente si conformano ai requisiti fissati nel regolamento per quanto riguarda, per esempio, le risorse disponibili o le salvaguardie della loro indipendenza e che, in tal caso, non possono essere considerati e denominati “RPD”.  

Marcello Colaianni
Compliance & Management Systems Consultant/Auditor