Nel complesso panorama della protezione dei dati personali, il GDPR si configura come un solido e chiaro punto di riferimento normativo. Questo particolare corpus normativo, sebbene indichi con precisione “che cosa” sia necessario fare per tutelare i diritti e le libertà fondamentali delle persone, non fornisce indicazioni dettagliate su “come” tali prescrizioni debbano essere concretamente attuate all’interno delle organizzazioni.
È proprio in questa dimensione applicativa che interviene il sistema di gestione della privacy (SGP), uno strumento strategico e versatile, progettato per definire processi, procedure e controlli che rendono misurabile e verificabile l’aderenza al GDPR.
Attraverso l’analisi combinata di approcci ingegneristici e normativi, mostreremo come tali dimensioni si integrino in un quadro coerente che vede il GDPR come nucleo di requisiti e il SGP come impalcatura gestionale.
Lungo questo percorso metteremo in luce come l’adozione di standard internazionali e metodologie consolidate permetta alle organizzazioni di dare corpo alle prescrizioni, generando un vantaggio competitivo e garantendo un ciclo virtuoso di miglioramento continuo.
Indice degli argomenti
La prospettiva ingegneristica: il “cosa” e il “come”
Il GDPR delinea, con un livello di dettaglio sempre più approfondito, i requisiti che le organizzazioni devono soddisfare quando trattano dati personali. Tra questi figurano, ad esempio, il mantenimento di un registro delle attività di trattamento, la formazione dei soggetti autorizzati al trattamento e la valutazione dei responsabili del trattamento. In altre parole, il regolamento stabilisce precisamente “che cosa” un’organizzazione deve fare, senza però indicare “come” debba farlo.
Questa scelta appare del tutto appropriata: una norma che specificasse sia il “cosa” sia il “come” rischierebbe di imporre un modello organizzativo unico a tutte le realtà, uniformando le modalità operative sia per un ente altamente esposto nel trattamento dei dati, sia per uno con un livello di esposizione sensibilmente inferiore.
L’accountability rappresenta uno strumento fondamentale per adattare le prassi operative al contesto specifico di ciascuna azienda. Non a caso, il termine contesto è richiamato ripetutamente nel GDPR, evidenziando l’importanza di calibrare le misure sulla base della realtà concreta dell’organizzazione. Un’analisi terminologica rivela, infatti, che il termine contesto è menzionato nel Regolamento ben 34 volte.
Alcuni articoli del GDPR si basano direttamente sull’analisi del contesto. Ad esempio, l’articolo 24 e l’articolo 25 pongono le loro fondamenta proprio su tale analisi, mentre l’articolo 32 richiede l’adozione di misure di sicurezza proporzionate al contesto. Anche la valutazione d’impatto prevista dall’articolo 35 deve essere condotta tenendo conto del contesto specifico. Infine, l’articolo 39 stabilisce che il Responsabile della Protezione dei Dati (DPO), nell’esercizio delle sue funzioni, deve considerare i rischi connessi al contesto in cui opera l’organizzazione.
Qui entra in gioco la visione ingegneristica del sistema di gestione della privacy (SGP), che si concretizza nella capacità di tradurre il “cosa” previsto dal GDPR in processi operativi, procedure, istruzioni di lavoro e controlli pratici.
Al centro di questo scenario si colloca l’accountability, che implica:
- l’adattamento delle prassi organizzative al contesto specifico dell’organizzazione;
- la creazione di un modello organizzativo privacy (MOP) in grado di documentare in modo chiaro e trasparente il come le disposizioni del GDPR vengono attuate;
- l’esecuzione di audit per verificare l’efficacia delle misure implementate.
Questo approccio trova un preciso fondamento normativo nell’articolo 32, paragrafo 1, lettera d), del GDPR, che stabilisce l’obbligo di “una procedura per testare, verificare e valutare regolarmente l’efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento”. Tale procedura rafforza l’obbligo di tradurre le prescrizioni normative in azioni operative e verificabili.
Così, mentre il GDPR si configura come una normativa statica, il SGP si distingue per la sua natura dinamica, capace di adattarsi alla complessità, alla dimensione e alla natura delle attività aziendali. Questo approccio flessibile si basa sugli esiti dei controlli effettuati che consentono di:
- gestire eventuali non conformità;
- risolvere le problematiche identificate;
- adottare azioni correttive mirate a eliminare le cause profonde delle criticità riscontrate.
In questo modo, il SGP garantisce la conformità normativa e, contestualmente assume la funzione di strumento di miglioramento continuo per la sicurezza e l’efficienza delle attività di trattamento dei dati personali.
Il SGP come ciambella: l’integrazione con il GDPR
Una metafora efficace per comprendere il rapporto tra GDPR e SGP è quella della ciambella. Il Regolamento rappresenta il buco centrale: un vuoto normativo che necessita di essere colmato con misure concrete. Il SGP, invece, è l’impasto circostante, l’anello sostanziale che conferisce struttura e significato a quel vuoto.
Le ispezioni da parte delle autorità non mirano a valutare la forma specifica del SGP, ma a verificare che i requisiti del GDPR siano effettivamente rispettati. In altri termini, gli enti preposti ai controlli di terza parte non si concentrano sulle procedure adottate, bensì sull’efficacia delle stesse nel raggiungere risultati conformi ai requisiti del GDPR e ai Provvedimenti del Garante.
Gli audit condotti dai clienti, in qualità di Titolari del trattamento, hanno lo scopo di verificare l’adeguatezza delle misure implementate dai soggetti ispezionati, che agiscono come Responsabili del trattamento, rispetto alle istruzioni ricevute. Gli audit interni, invece, sono finalizzati a controllare regolarmente l’efficacia delle misure tecniche e organizzative adottate, in linea con quanto richiesto dall’articolo 32, paragrafo 1, lettera d), del GDPR, spesso citato ma raramente applicato con rigore.
Senza la “ciambella” rappresentata dal sistema di gestione della privacy (SGP), il “buco” del GDPR rimarrebbe una struttura puramente teorica, priva di indicazioni pratiche per la sua concreta attuazione. Il SGP consente, invece, a ogni organizzazione di personalizzare il proprio approccio, definendo procedure, ruoli, responsabilità, percorsi formativi e controlli, calibrati sulla propria esposizione al rischio. Questo approccio da un lato garantisce la conformità alle disposizioni del GDPR, dall’altro soddisfa anche le richieste dei clienti e delle autorità preposte ai controlli.
In altre parole, se un’organizzazione fosse sottoposta a una verifica da parte di un organismo ispettivo autorizzato dal Garante per la protezione dei dati personali — ad esempio in merito alla formazione del personale, come previsto dagli articoli 29 e 32, paragrafo 4 — l’interesse degli ispettori non si focalizzerebbe tanto sulle modalità o procedure adottate per garantire l’adeguata formazione, quanto sul risultato. L’elemento fondamentale è che il personale coinvolto nel trattamento dei dati sia effettivamente formato.
Il metodo o la procedura utilizzati per raggiungere tale obiettivo, in questo contesto, risultano irrilevanti ai fini della valutazione. Ciò dimostra come il SGP, attraverso la sua flessibilità, rappresenti un elemento indispensabile per trasformare i requisiti normativi del GDPR in azioni pratiche e verificabili.
Prospettiva normativa: standard e framework di riferimento
Per dare forma e sostanza a un sistema di gestione della privacy (SGP), le organizzazioni possono fare riferimento a una vasta gamma di norme internazionali.
Tra queste, la ISO/IEC 27001:2022 è la più nota nell’ambito della sicurezza delle informazioni, affiancata dalla ISO/IEC 27701:2019 (attualmente in revisione), specificamente dedicata alla gestione della privacy.
Ulteriori indicazioni utili possono essere tratte dalla famiglia delle norme ISO 9000 e da framework come la BS 10012:2017, considerando anche l’opzione di integrare più standard in un modello ibrido.
L’obiettivo finale è quello di progettare un sistema robusto e su misura, adattato alle specifiche esigenze dell’organizzazione. Questo percorso può partire dalle competenze e dalla consapevolezza del personale (richiamate dai requisiti 7.2 e 7.3 di ISO/IEC 27001) e proseguire con la definizione di controlli specifici in materia di sicurezza e privacy, come previsti dalla ISO/IEC 27002 e dalla ISO/IEC 27701.
Esempi di applicazione
Ogni elemento può essere armonizzato per costruire un sistema ben strutturato e reattivo, in grado di soddisfare le esigenze di compliance normativa e di rispondere efficacemente alle sfide organizzative.
Implementare come processo regolamentato il requisito dell’art. 29 GDPR
L’articolo 29 del GDPR stabilisce che le persone autorizzate al trattamento dei dati devono operare seguendo istruzioni adeguate. Un sistema di gestione della privacy (SGP) maturo dovrebbe prevedere procedure specifiche per gestire sia l’inserimento di nuovi collaboratori sia i cambi di mansione per i dipendenti già in organico.
Tali procedure dovrebbero definire in modo chiaro:
- chi è responsabile dell’erogazione della formazione;
- quali contenuti formativi devono essere affrontati;
- entro quanto tempo la formazione deve essere completata;
- come la formazione deve essere documentata;
- in che modo viene valutata l’efficacia della formazione;
- quali azioni correttive intraprendere in caso di valutazione insoddisfacente.
Un approccio sistematico di questo tipo assicura che il requisito normativo non solo sia rispettato, ma diventi parte integrante di un modello organizzativo orientato a garantire sia la conformità sia la qualità dei processi connessi alla protezione dei dati.
Sistematizzazione del principio dell’art. 25 del GDPR
L’articolo 25 del GDPR introduce il principio di privacy by design e privacy by default, stabilendo che la protezione dei dati personali debba essere integrata già dalla fase di progettazione di un nuovo trattamento o dalla modifica di uno esistente.
Per tradurre questo principio in una prassi operativa concreta, è necessario sviluppare una generale procedura strutturata che, prima dell’avvio del trattamento o della sua modifica, consideri i seguenti aspetti fondamentali:
- individuazione della finalità e della base giuridica del trattamento: definire con precisione lo scopo del trattamento e verificarne la conformità con una delle basi giuridiche previste dall’art. 6 del GDPR;
- predisposizione delle modalità per informare gli interessati: elaborare informative chiare e trasparenti, includendo le modalità per raccogliere eventuali consensi, qualora richiesti;
- determinazione dei tempi di conservazione e delle modalità di cancellazione o anonimizzazione: stabilire i periodi di conservazione dei dati in linea con il principio di limitazione della conservazione (art. 5, par. 1, lett. e), e pianificare le modalità per la cancellazione o l’anonimizzazione sicura dei dati;
- adozione di misure adeguate per garantire la sicurezza del trattamento: implementare misure tecniche e organizzative appropriate per proteggere i dati da accessi non autorizzati, perdite o modifiche, come richiesto dall’art. 32.
- Assessments: verificare la necessità di condurre valutazioni come:
- DPIA (Data Protection Impact Assessment) per trattamenti ad alto rischio;
- LIA (Legitimate Interest Assessment) per trattamenti basati sull’interesse legittimo;
- TIA (Transfer Impact Assessment) per l’esportazione di dati personali oltre lo Spazio Economico Europeo;
- FRIA (Freedom Rights Impact Assessment) per verificare il rispetto dei diritti fondamentali degli interessati;
- qualifica di eventuali responsabili o contitolari del trattamento: identificare i responsabili del trattamento o i contitolari e predisporre accordi contrattuali conformi agli articoli 26 e 28 del GDPR;
- definizione delle modalità per garantire i diritti degli interessati: stabilire procedure per facilitare l’esercizio dei diritti, quali accesso, rettifica, cancellazione e portabilità dei dati, come previsto dagli articoli 15-22 del GDPR;
- aggiornamento del registro delle attività di trattamento: documentare il trattamento nel registro, in conformità all’art. 30, assicurandosi che tutte le informazioni siano complete e aggiornate.
Queste procedure, sviluppate sulla base di standard internazionali, promuovono un approccio sistematico e strutturato. La loro attuazione dovrebbe includere:
- la verifica delle competenze delle persone coinvolte;
- la sensibilizzazione e la formazione del personale sui requisiti normativi applicabili;
- l’adozione di controlli mirati per monitorare e migliorare costantemente l’efficacia delle misure implementate.
Il risultato di tale approccio non è solo la conformità normativa, ma una gestione resiliente e sistematica della protezione dei dati, sottoposta a verifiche e audit regolari per incrementarne progressivamente l’efficienza
Dal modello teorico all’eccellenza operativa
L’implementazione di uno o più standard, l’adozione di framework ibridi e la definizione di procedure specifiche permettono di costruire un sistema di gestione della privacy (SGP) solido ed efficace.
Questo non implica necessariamente il conseguimento di una certificazione di terza parte, ma piuttosto la disponibilità di un insieme di strumenti manageriali in grado di:
- coltivare la compliance come valore culturale;
- supportare l’innovazione;
- rafforzare la fiducia di clienti, partner e autorità di controllo.
Un SGP ben progettato consente di tradurre la teoria in pratica, offrendo alle organizzazioni l’opportunità non solo di raggiungere la conformità normativa, ma anche di ottenere un vantaggio competitivo.
Tale vantaggio si basa su trasparenza, affidabilità e una gestione proattiva dei rischi, elementi basilari per distinguersi in un contesto sempre più regolamentato e sfidante.
Conclusioni
In conclusione, il GDPR si configura, nella sua essenza, come un insieme di requisiti statici, mentre il sistema di gestione della privacy (SGP) rappresenta un organismo vivente, flessibile e in costante evoluzione. Questo binomio tra il cosa (i requisiti normativi) e il come (le modalità operative) è la chiave per comprendere il passaggio dal dettato normativo all’eccellenza operativa.
Attraverso l’adozione di standard internazionali, l’integrazione di procedure personalizzate e un approccio ingegneristico alla gestione della privacy, un’organizzazione può ben adempiere agli obblighi previsti dal GDPR, creando anche un valore aggiunto, sia interno che esterno.
Questo processo genera, così, un circolo virtuoso incentrato su efficienza, fiducia e resilienza.
Nella sfida della protezione dei dati, la metafora della ciambella evidenzia un aspetto essenziale: il SGP non è un elemento accessorio, ma il fulcro che conferisce struttura e significato al nucleo normativo, garantendone la piena applicazione e la massima efficacia.
