DPO in pratica: best practice per la gestione dei fornitori

La gestione dei fornitori è il processo comune a tutte le organizzazioni che nell’ambito della compliance GDPR viene richiamato – seppure indirettamente – dagli articoli 28, 29 e 32 GDPR.

Nella sua declinazione operativa, esprime la scelta propria del titolare del trattamento in ordine alla determinazione dei mezzi con cui svolgere le operazioni sui dati personali con riferimento sia a risorse umane che tecnologiche.

Ovviamente gli articoli richiamati non possono in alcun modo esaurire le prescrizioni normative applicabili in ogni ipotesi, che ben possono variare a seconda del contesto applicativo e ad esempio riguardare anche:

1. l’integrazione del principio di privacy by design e privacy by default^[1] ai nuovi processi e all’introduzione di nuove tecnologie;
2. la conduzione di una valutazione d’impatto privacy^[2];
3. l’esportazione di dati verso Paesi terzi o organizzazioni internazionali^[3].

DPO in pratica: le regole per “entrare” nell’ufficio IT

Gestione fornitori e protezione dei dati personali

Tornando agli elementi che compongono un denominatore comune, nell’ambito della protezione dei dati personali il ruolo dei fornitori è fondamentale e richiama l’esigenza che il DPO sia tempestivamente e adeguamento coinvolto a tale riguardo^[4].

Il corretto inserimento del DPO consente infatti di evitare preventivamente le principali non conformità che riguardano l’inquadramento di tali soggetti esterni all’organizzazione che sono in grado di impattare – in modo più o meno significativo – nella supply chain della gestione dei dati personali.

Ad esempio, in tutte le ipotesi in cui il rapporto si esprime in una fornitura di dotazioni tecnologiche il DPO dovrà porsi – ed essere posto dall’organizzazione – nelle condizioni di poter verificare anche avvalendosi del supporto della funzione interna dell’ufficio IT che dall’impiego di tali risorse non derivi una variazione significativa di contesto e dei rischi per cui è necessario svolgere un riesame delle misure predisposte, tanto in ottica di security che di compliance.

Rispettivamente può di conseguenza emergere o l’esigenza di predisporre misure di sicurezza ulteriori o altrimenti di provvedere a nuovi adempimenti quali lo svolgimento di una valutazione d’impatto o la definizione delle modalità trasferimento dei dati verso Paesi terzi. Inoltre, le informazioni relative alle caratteristiche tecniche dei servizi o degli strumenti, così come i manuali d’impiego, sono elementi fondamentali anche per dare efficace attuazione delle politiche di istruzione, formazione e sensibilizzazione degli operatori.

Nel corso dell’analisi dei fornitori un passaggio particolarmente importante consiste nel corretto inquadramento della qualifica soggettiva degli stessi, precisando ad esempio quali assumono il ruolo di responsabili del trattamento e di amministratori di sistema.

In questi casi è l’organizzazione che deve avere contezza di tutti gli obblighi conseguenti per cui è necessario provvedere ad ulteriori adempimenti.

È opportuno considerare inoltre che i soggetti che non svolgono attività di trattamento di dati personali per conto dell’organizzazione ma che hanno comunque – occasionalmente o sistematicamente – un accesso a dati e sistemi costituiscono un fattore significativo all’interno dell’analisi dei rischi da cui deriva la valutazione di adeguatezza richiesta in relazione alle misure di sicurezza secondo le indicazioni dell’art. 32 GDPR. Inoltre, tali soggetti devono comunque essere autorizzati ed istruiti secondo la previsione dell’art. 29 GDPR^[5].

Diventa chiaro dunque che già in sede di analisi preliminare e di inquadramento dei fornitori il DPO si trova a svolgere un’attività di consulenza ed informazione riguardante gli obblighi derivanti dalla normativa in materia d protezione dei dati personali, dalla quale possono essere ricavati tanto gli ambiti quanto i criteri della sorveglianza che dovrà andare da svolgere.

Privacy by design nella gestione fornitori

La gestione dei fornitori è un processo caratterizzato da una serie di attività di natura non statica. Nelle dinamiche comuni dei sistemi di gestione è previsto lo svolgimento di un rating dei soggetti che risultano già iscritti in anagrafica o per i nuovi inserimenti una ricerca e selezione.

In entrambi i casi viene richiesta una valutazione, che può seguire le regole della ISO 9001:2015 e prevedere^[6] un’attività che definisce dei criteri orientativi e decisionali dell’organizzazione. Criteri che possono essere integrati dal principio di privacy by design e dunque prevedere per l’effetto che sia valutato anche il rispetto dei principi del GDPR da parte dei fornitori.

Quanto detto comporta che alcune misure e indici di valutazione vadano progettate ed inserite nel momento in cui è definita la struttura del sistema di gestione. Nei contenuti devono contemplare ed essere arricchite da tutte le variabili che possono derivare dal contesto organizzativo e dalla tipologia di attività che viene svolta sui dati personali dal fornitore.

Tutti gli elementi che vengono così definiti costituiscono dei criteri utili per determinare il livello minimo di capacità, esperienza ed affidabilità dei soggetti esterni coinvolti nelle attività di trattamento e lo standard di sicurezza cui devono conformarsi per essere annoverati fra i fornitori dell’organizzazione.

Non è infrequente che in tale fase si vadano anche a definire o precisare alcuni obblighi ulteriori che riguardano ad esempio l’impiego e l’applicazione di determinati strumenti e tecnologie, il possesso di determinate certificazioni, la possibilità di ricorrere ad ulteriori fornitori e la conseguente capacità di eseguire dei controlli di filiera.

La definizione dei parametri non può prescindere dall’opinione del DPO, la quale però deve essere fornita facendo sempre riferimento a criteri, elementi e valutazioni oggettive. Nella rendicontazione di ogni decisione assunta su selezione e valutazione dei fornitori, il parere del DPO è un elemento di cui tenere conto ma in alcun caso vincolante.

Inoltre, è opportuno considerare che una corretta contrattualizzazione dei servizi è dunque una condizione necessaria ma non sufficiente per garantire la compliance GDPR.

Per tale motivo, l’approfondimento svolto da parte del DPO deve riguardare non solo la correttezza della forma dei contratti e la previsione al loro interno di garanzie adeguate, ma anche l’effettiva capacità di mantenimento di tali elementi di conformità alla norma per tutto il corso della fase operativa.

L’ambito esterno di sorveglianza del DPO

L’estensione dei compiti di sorveglianza del DPO nei confronti degli ambiti esterni dell’organizzazione viene tipicamente contemplata all’interno delle relazioni titolare-responsabile e deriva dall’art. 28 par. 3 lett. h) GDPR, il quale contiene la previsione della possibilità di regolare fra le parti il diritto di svolgere audit ed ispezioni.

I criteri che possono essere richiamati in tale attività sono il rispetto della normativa in materia di protezione dei dati personali con particolare riguardo agli obblighi del responsabile, nonché tutte le eventuali precisazioni e specificazioni che sono contenute all’interno del contratto di servizi.

Premesso che l’ampiezza dei controlli deve pertanto riguardare l’attività di trattamento che il responsabile svolte per conto del titolare entro i limiti della statuizione contrattuale, la profondità deve essere invece regolata facendo ricorso al generale approccio risk-based^[7] richiesto al DPO per l’esecuzione dei propri compiti. In modo analogo, nelle situazioni in cui la sorveglianza riguarda l’attività di soggetti esterni che non assumono il ruolo di responsabili del trattamento, il DPO deve procedere sempre entro i limiti del rapporto intercorrente con l’organizzazione e adottare i criteri di valutazione facendo riferimento alla norma e al contenuto dei contratti stipulati.

L’attività di reporting a riguardo deve interessare la funzione di approvvigionamento (tipicamente: ufficio acquisti) e i vertici dell’organizzazione, nonché individuare tramite evidenze tutte le eventuali non conformità rilevate andandone a precisare la gravità. È buona prassi che il DPO indichi alla direzione anche le possibili strategie risolutive, mantenendosi entro i margini di quel necessario potere/dovere riferire alla direzione per l’indicazione dei correttivi.

Nel caso in cui il servizio prestato dal fornitore manchi di una definizione contrattuale, tale evenienza è di per sé sufficiente per riportare una non conformità relativa alla capacità di dimostrare gli adempimenti^[8] relativi al rispetto degli artt. 29 e 32 GDPR e, nell’ipotesi in cui il soggetto esterno sia responsabile del trattamento, anche dell’art. 28 GDPR.

Responsabilità per i fornitori

Qualora dall’attività conseguente alla selezione o al mantenimento di un fornitore derivi una violazione della normativa in materia di protezione dei dati personali, l’organizzazione incorre principalmente in un rischio civile (risarcitorio) e amministrativo (sanzionatorio).

Pur nel diaframma dell’art. 82 GDPR, il criterio di imputazione della responsabilità si colloca nella c.d. culpa in eligendo. Tale regime di responsabilità è direttamente deducibile dall’art. 28 par. 1 GDPR^[9] nel caso in cui il fornitore sia un responsabile del trattamento, ma è ricondotto in via generalmente al rispetto del principio di accountability per cui il titolare del trattamento ha l’obbligo di garantire l’adeguatezza delle misure adottate e per l’effetto tale garanzia si estende a tutte le risorse di cui si può avvalere per tramite dei propri fornitori.

Sebbene i limiti di conoscibilità debbano ovviamente essere deducibili in concreto e possono formare oggetto di prova a discarico in caso di un’istruttoria dell’autorità di controllo, l’inerzia del titolare in relazione all’accesso ad informazioni significative per dimostrare la conformità alla norma o ancor peggio di fronte ad un parere del DPO in cui sono indicati dei rischi o ad una segnalazione da parte di un interessato sono elementi che possono costituire quanto meno una colpa, che può poi assumere i connotati ben più gravi di una colpa cosciente se non del dolo ai fini della determinazione del risarcimento e dell’irrogazione della sanzione.

NOTE

1. Ai sensi dell’art. 25 GDPR. ↑

2. Ai sensi dell’art. 35 GDPR. ↑

3. Ai sensi degli artt. 44 e ss. GDPR. ↑

4. Come previsto dall’art. 38 GDPR. ↑

5. “Il responsabile del trattamento, o chiunque agisca sotto la sua autorità o sotto quella del titolare del trattamento, che abbia accesso a dati personali non può trattare tali dati se non è istruito in tal senso dal titolare del trattamento, salvo che lo richieda il diritto dell’Unione o degli Stati membri.” ↑

6. Paragrafo 8.4 – Controllo dei processi, prodotti e servizi forniti dall’esterno. ↑

7. “Nell’eseguire i propri compiti il responsabile della protezione dei dati considera debitamente i rischi inerenti al trattamento, tenuto conto della natura, dell’ambito di applicazione, del contesto e delle finalità del medesimo.” (art. 39 par.2 GDPR). ↑

8. Richiamata dall’art. 24 par. 1 GDPR. ↑

9. “Qualora un trattamento debba essere effettuato per conto del titolare del trattamento, quest’ultimo ricorre unicamente a responsabili del trattamento che presentino garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate in modo tale che il trattamento soddisfi i requisiti del presente regolamento e garantisca la tutela dei diritti dell’interessato.” ↑