La sicurezza dei dati e delle infrastrutture non si regge solo su misure tecniche, ma soprattutto su persone e decisioni.
Conflitto di interessi ed inconferibilità dell’incarico sono due pilastri invisibili, ma potentissimi, perché garantiscono ciò che nessun software può assicurare: l’indipendenza di chi decide e la credibilità delle scelte.
È un percorso complesso che richiede attenzione. Infatti tocca non solo regole giuridiche, ma la sostanza stessa della governance digitale.
Ecco perché il conflitto di interessi è una minaccia silenziosa che si insinua nei processi decisionali e rischia di svuotare di senso ogni misura di sicurezza.
Indice degli argomenti
Conflitto di interessi e inconferibilità dell’incarico: un viaggio in 3 tappe
Quando si parla di GDPR, ISO/IEC 27001 o di NIS 2, il dibattito pubblico si concentra quasi sempre su aspetti tecnici: architetture di rete, protocolli di cifratura, procedure di business continuity.
Tutto importante, certo. Tuttavia, se si osservano con attenzione le radici delle più gravi vulnerabilità, si scopre che raramente nascono da un errore di codice.
La fragilità più insidiosa è quasi sempre umana. La fiducia che cittadini, imprese e istituzioni ripongono nei sistemi di protezione dei dati non dipende soltanto dall’efficienza delle tecnologie, ma anche dall’indipendenza di chi guida le decisioni.
Se quella indipendenza viene minata, se a orientare le scelte non è l’interesse dell’organizzazione ma un interesse personale o esterno, allora anche il sistema più avanzato si riduce a una facciata.
Ed è proprio in questo spazio che prendono forma due concetti chiave. Il primo è il conflitto di interessi, che descrive il rischio di vedere compromessa l’imparzialità. Il secondo è l’inconferibilità dell’incarico, che interviene prima ancora che quel rischio possa materializzarsi, ponendo un divieto netto.
Non si tratta di due nozioni astratte, ma di concetti che danno corpo a un principio molto semplice: senza indipendenza non c’è fiducia, ma senza fiducia non c’è sicurezza.
Conflitto di interessi ed inconferibilità dell’incarico
Conflitto di interessi ed inconferibilità dell’incarico sono così intrecciati tra loro da meritare uno spazio di riflessione dedicato. Sono tappe di unico cammino.
Il conflitto di interessi rappresenta una minaccia concreta alla privacy e alla sicurezza informatica disegnata dalla NIS 2.
L’inconferibilità dell’incarico, invece, costituisce una barriera giuridica che blocca l’ingresso a incarichi incompatibili.
Infine, chiuderemo il percorso integrando i due piani in una visione più ampia, una vera e propria grammatica della fiducia digitale, che dia senso e forza ad ogni modello di governance.
L’approccio che seguiremo sarà volutamente nuovo. Non ci limiteremo a un’analisi giuridica né a una prospettiva esclusivamente tecnica. Leggeremo questi concetti dal punto di vista della sicurezza delle informazioni, unendo le due dimensioni, perché nella realtà non vivono mai separate.
Privacy, cyber security e governance non sono mondi paralleli: sono fili intrecciati della stessa trama. Solo trattandoli insieme, è possibile coglierne il significato autentico.
Conflitto di interessi: natura e rischio invisibile
Il conflitto di interessi non coincide soltanto con corruzione o malaffare, come spesso si crede. È qualcosa di più sottile e diffuso: una condizione di rischio in cui interessi personali, economici o professionali finiscono per interferire con decisioni che dovrebbero essere prese in maniera indipendente e nell’interesse di altri.
Non serve che l’interferenza sia provata o che ci sia già stato un comportamento illecito: è sufficiente che il rischio esista, persino solo in apparenza, perché l’imparzialità venga compromessa. È proprio questa caratteristica a renderlo tanto insidioso.
Il conflitto di interessi è un nemico silenzioso. Non si mostra apertamente, spesso sfugge allo sguardo di chi osserva dall’esterno, ma ha la capacità di scavare lentamente dentro l’organizzazione, erodendo quel cemento invisibile che tiene unite persone e processi: la fiducia.
Una volta incrinata, la fiducia non si ricostruisce con facilità, e il sistema intero resta esposto a fragilità profonde, difficili da colmare con misure tecniche o con procedure formali.
Un esempio
Immaginiamo che un responsabile IT affidi a una società guidata da una parente stretta l’incarico di eseguire un test di vulnerabilità e penetrazione. Oppure una responsabile delle risorse umane che decide di assumere come Ciso il fidanzato della propria figlia.
In entrambi i casi potremmo trovarci di fronte a candidati eccellenti: l’azienda potrebbe davvero offrire il miglior rapporto qualità-prezzo, e il giovane professionista potrebbe avere tutte le competenze necessarie per svolgere il ruolo.
Ma ciò non basta. Il sospetto resta, ed esso è sufficiente ad incrinare la credibilità. Non colpisce soltanto chi riceve l’incarico, ma si estende all’intera organizzazione che appare incapace di distinguere in modo netto tra decisioni fondate sull’interesse comune e quelle influenzate da legami personali.
Il conflitto di interessi nel GDPR: il caso del DPO
Il GDPR ha colto con chiarezza quanto sia importante proteggere i ruoli di garanzia da possibili condizionamenti, e per questo affronta direttamente il tema del conflitto di interessi.
L’articolo 38 stabilisce due regole fondamentali:
- da un lato, il DPO non può ricevere istruzioni su come svolgere i propri compiti, perché la sua indipendenza deve essere piena;
- dall’altro, lo stesso DPO può avere anche altri incarichi, ma solo se questi non generano conflitti. In concreto, questo significa che non può essere nominato DPO chi, al tempo stesso, ricopre posizioni di responsabilità come quella di direttore dei sistemi informativi o responsabile delle risorse umane. In una situazione del genere, la persona finirebbe per vigilare su sè stessa, perdendo
- ogni reale indipendenza. Il rischio non è teorico: una simile sovrapposizione trasformerebbe la figura del DPO in una presenza solo formale, priva della capacità di agire come garante effettivo.
Il ruolo resterebbe sulla carta, ma la sua funzione sostanziale si dissolverebbe, riducendosi a un titolo vuoto incapace di offrire la tutela che il regolamento ha voluto garantire.
Articolo 28 del GDPR: un caso di applicazione del conflitto di interessi
Un’applicazione meno immediata, ma altrettanto significativa, del conflitto di interessi si ritrova nell’articolo 28 del GDPR, dedicato al responsabile del trattamento.
La norma prevede che il responsabile debba informare immediatamente il titolare qualora ritenga che un’istruzione ricevuta violi il regolamento o altre disposizioni in materia di protezione dei dati.
Questa previsione porta con sé un potenziale conflitto: segnalare una violazione significa spesso mettere in discussione il rapporto con il cliente.
Il titolare, sentendosi ostacolato o controllato, potrebbe decidere di rivolgersi a un fornitore più accondiscendente, o ridurre l’ambito dell’incarico per limitare i margini di rischio.
Per il responsabile, dunque, il pericolo non è soltanto quello di perdere un contratto, ma di compromettere la stabilità del proprio rapporto professionale.
Qui emerge la forza della norma
Il responsabile del trattamento, se agisce con coscienza, deve avere come orientamento ciò che il regolamento prescrive, anche a costo di andare contro i propri interessi economici o di relazione.
La sua funzione non è quella di compiacere il cliente, ma di garantire che le decisioni restino dentro i confini della legalità e della tutela dei diritti. È un compito delicato, che espone a rischi commerciali, ma che rappresenta la vera essenza del ruolo: essere garante, non semplice esecutore.
Il conflitto di interessi nella NIS 2: la responsabilità dei vertici
Con l’adozione della Direttiva (UE) 2022/2555, recepita in Italia con il D.lgs. 138/2024, il tema del conflitto di interessi si sposta dal singolo ruolo di garanzia a un livello ancora più ampio: quello della governance aziendale.
La NIS 2 non si limita a prescrivere misure tecniche o procedure organizzative, ma assegna precise responsabilità agli organi di amministrazione e direttivi. L’articolo 23, comma 1 del Decreto NIS con le lettere a) e b) impone ai vertici formazione e consapevolezza in materia di sicurezza. Invece con la lettera c) e l’art. 38 (5) li rende direttamente responsabili delle violazioni.
In questo contesto, un conflitto di interessi che coinvolga il management non è più soltanto una questione etica o reputazionale. Diventa un rischio sistemico e, soprattutto, una violazione di legge.
Quando chi siede in un consiglio di amministrazione deve scegliere tra destinare risorse adeguate alla sicurezza o comprimere i costi per aumentare dividendi e bonus, si trova in una condizione di conflitto di interessi.
Da una parte, c’è la responsabilità di proteggere l’organizzazione, dall’altra l’interesse personale e immediato di ottenere un vantaggio economico. In situazioni del genere il rischio è che prevalga la logica del breve termine, con il risultato di un’impresa più fragile, incapace di adempiere agli obblighi normativi e priva della fiducia necessaria per affrontare la pressione di un incidente cibernetico.
È un conflitto meno visibile di quelli che riguardano legami familiari o rapporti diretti con i fornitori, ma non per questo meno pericoloso.
Anzi, proprio perché più subdolo e meno apparente, rischia di passare inosservato. Eppure le conseguenze sono profonde: scelte viziate che sacrificano la sicurezza sull’altare del profitto immediato e lasciano l’intera organizzazione esposta a vulnerabilità difficili da sanare.
Il conflitto di interessi nella ISO/IEC 27001:2022
Anche gli standard internazionali affrontano in modo esplicito il tema del conflitto di interessi.
La ISO/IEC 27001:2022, oltre a prevedere requisiti come gli audit interni (punto 9.2), include controlli che mirano a prevenire situazioni in cui interessi divergenti possano compromettere la sicurezza e la corretta gestione delle risorse.
Uno dei più emblematici è il controllo 5.3 “Separazione dei compiti”, che stabilisce: “Le mansioni e le aree di responsabilità in conflitto tra loro devono essere separate per ridurre la possibilità di modifiche non autorizzate o involontarie o di uso improprio delle risorse dell’organizzazione”.
Il significato del controllo 5.3 sulla separazione dei compiti
Anche gli standard internazionali affrontano in modo esplicito il tema del conflitto di interessi.
La ISO/IEC 27001:2022, oltre a prevedere requisiti come gli audit interni (punto 9.2), include controlli che mirano a prevenire situazioni in cui interessi divergenti possano compromettere la sicurezza e la corretta gestione delle risorse.
Uno dei più emblematici è il controllo 5.3 “Separazione dei compiti”, che stabilisce: “Le mansioni e le aree di responsabilità in conflitto tra loro devono essere separate per ridurre la possibilità di modifiche non autorizzate o involontarie o di uso improprio delle risorse dell’organizzazione”.
Il messaggio è diretto e inequivocabile. Non si tratta solo di impedire che troppe persone possano autorizzare permessi di accesso o modificare dati sensibili. Il principio va oltre l’ambito strettamente informatico e abbraccia ogni forma di risorsa organizzativa.
Quando il controllo parla di “uso improprio delle risorse”, il riferimento riguarda anche quelle economiche, confermando che il conflitto di interessi non minaccia soltanto la sicurezza tecnica ma la tenuta complessiva dell’organizzazione.
La ISO/IEC 27002:2022, che fornisce linee guida di approfondimento, aggiunge un’osservazione preziosa: per le piccole organizzazioni la separazione dei compiti può risultare complessa da attuare, a causa della ridotta disponibilità di personale.
Tuttavia, raccomanda che il principio sia applicato “per quanto possibile e praticabile”. Questo significa che l’obiettivo non è la rigidità assoluta, ma la consapevolezza che alcune funzioni non devono mai concentrarsi in un’unica persona o in un unico ufficio, perché il rischio di conflitto sarebbe troppo elevato.
In questo modo la norma internazionale conferma un punto chiave già emerso nelle riflessioni su GDPR e NIS 2: la sicurezza non è solo un fatto tecnico, ma una questione di indipendenza, di ruoli ben distinti e di fiducia nelle scelte organizzative.
Le conseguenze operative del conflitto di interessi
Il conflitto di interessi non gestito produce effetti che non restano confinati nelle aule dei tribunali. Ha conseguenze dirette e concrete sul funzionamento delle organizzazioni.
Le decisioni risultano viziate comportando:
- scelte di investimento orientate non alla sicurezza, ma alla convenienza personale;
- data breach sottovalutati o addirittura occultati;
- fornitori selezionati non per merito ma per rapporti di prossimità;
- dipendenti assunti in funzione di rapporti interpersonali senza una adeguata selezione.
Tutto ciò genera una catena di vulnerabilità che si propaga rapidamente. Il danno più immediato è la perdita di fiducia. Dipendenti, collaboratori, partner, fornitori e clienti avvertono quando le scelte non sono realmente indipendenti, e questa percezione erode il capitale più prezioso che un’organizzazione possiede: la credibilità.
A questo si aggiungono le conseguenze giuridiche, perché un conflitto di interessi ignorato espone a sanzioni, a responsabilità patrimoniale e persino a responsabilità personale dei vertici.
Ma, oltre a leggi e sanzioni, resta la ferita reputazionale, spesso più profonda e duratura di qualunque sanzione pecuniaria.
La minaccia silenziosa che può svuotare la sicurezza
Il conflitto di interessi è la crepa invisibile che si apre nei muri della governance. Non si vede ad occhio nudo, non produce rumore immediato, ma indebolisce ogni protezione dall’interno.
Senza indipendenza nelle decisioni, il GDPR diventa un insieme di regole astratte e la NIS 2 un obbligo di carta.
L’indipendenza, invece, trasforma quelle stesse norme in strumenti vivi, capaci di proteggere davvero dati, persone e infrastrutture.
Questo è il senso della prima tappa del nostro viaggio, dove abbiamo visto come il conflitto di interessi non sia un dettaglio marginale, ma una minaccia sistemica che riguarda tanto il DPO quanto i vertici aziendali.
Nel prossimo capitolo di questa nuova trilogia, scopriremo come si può impedire che questa minaccia si manifesti. A fornire la risposta è il diritto, attraverso uno strumento potente e preventivo: l’inconferibilità dell’incarico, il tema al centro della seconda tappa del nostro percorso.
