La distinzione tra Safety, protezione dai rischi accidentali, e Security, protezione dalle minacce intenzionali, è ormai insufficiente se vissuta come separazione organizzativa.
Questo secondo contributo di una serie di tre articoli complementari dimostra come l’integrazione tra i due domini non sia soltanto una buona pratica ma anche un preciso obbligo giuridico, sancito dal principio di integrità e riservatezza del GDPR e dall’approccio multirischio del D.lgs. 138/2024, che ha recepito la Direttiva NIS 2.
Ecco una mappa operativa delle intersezioni tra protezione dei dati e processi di tutela della salute e della sicurezza sul lavoro.
Indice degli argomenti
Una responsabilità unitaria
Nel primo contributo di questa serie abbiamo chiarito i confini concettuali dei due domini della sicurezza: la Safety, orientata alla tutela delle persone dai rischi prevalentemente accidentali, e la Security, orientata alla protezione dei beni materiali e immateriali dalle minacce prevalentemente intenzionali.
Qui mostriamo come la loro convergenza non è rimessa alla sensibilità delle organizzazioni: è il diritto europeo a imporla.
L’interazione tra il GDPR e la Direttiva NIS 2 conferma questa esigenza: la protezione dei dati personali e la difesa delle infrastrutture informatiche non sono ambiti distinti ma due facce della stessa responsabilità.
Safety e Security devono quindi convergere in un modello di gestione unificato, coerente e documentabile.
Il GDPR e la protezione dei dati come sicurezza delle persone
L’art. 5, par. 1, lett. f), del GDPR introduce il principio di integrità e riservatezza, in forza del quale i dati personali sono “trattati in maniera da garantire un’adeguata sicurezza dei dati personali, compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentali”.
Nella stessa disposizione convivono entrambi i domini.
La protezione dalla perdita, dalla distruzione o dal danno accidentali richiama la logica della Safety: guasti, incendi, eventi naturali.
La protezione dai trattamenti non autorizzati o illeciti appartiene invece alla Security: accessi abusivi, attacchi informatici, sottrazione dolosa.
La NIS 2 e la resilienza delle infrastrutture critiche
La Direttiva NIS 2, recepita in Italia con il D.Lgs. 4 settembre 2024, n. 138, obbliga i soggetti essenziali e importanti ad adottare misure tecniche, operative e organizzative adeguate e proporzionate alla gestione dei rischi.
L’art. 24, comma 1, del decreto fonda queste misure su un approccio multirischio, volto a proteggere i sistemi informativi e di rete e il loro ambiente fisico: è la consacrazione normativa della convergenza tra i due domini, perché impone di considerare congiuntamente il rischio accidentale, proprio della Safety, e quello intenzionale, proprio della Security.
Il comma 2 della stessa disposizione declina l’obbligo in ambiti che spaziano dall’analisi dei rischi alla gestione degli incidenti, dalla continuità operativa e gestione delle crisi alla sicurezza della catena di approvvigionamento, fino alla sicurezza delle risorse umane, al controllo degli accessi e alla formazione del personale.
Le misure di base adottate dall’Agenzia per la Cybersicurezza Nazionale in attuazione del decreto confermano questa impostazione, includendo controlli espressamente dedicati alla sicurezza fisica e ambientale.
Non si tratta di un dettaglio tecnico ma di un principio strategico.
Il piano di continuità operativa richiesto dalla disciplina NIS è lo strumento che, in caso di crisi, deve garantire non solo la resilienza dei sistemi ma anche una ripresa completa, tempestiva e coordinata delle attività critiche: un obiettivo che nessuna funzione aziendale può raggiungere da sola.
GDPR e sicurezza delle informazioni: la mappa delle intersezioni
I punti di contatto tra Safety e Security non si esauriscono nella necessità di una visione integrata.
Esistono ambiti in cui la connessione è concreta, operativa e imprescindibile.
Si pensi alla predisposizione di un piano di emergenza in caso di allagamento: la priorità è tutelare l’incolumità delle persone, ma subito dopo occorre salvaguardare i beni aziendali, tra cui i server e i dati in essi custoditi.
Devono inoltre essere attentamente valutati i trattamenti di dati personali connessi ai processi di Safety, che attivano responsabilità specifiche in materia di protezione dei dati.
La tabella
| Ambito | Esempio |
| Adempimenti privacy | Nomina dei responsabili del trattamento e individuazione dei titolari autonomi (medico competente, laboratorio di analisi, RSPP esterno). Sul ruolo del medico competente si vedano il provvedimento del Garante n. 198 del 13 maggio 2021 e il coevo documento di indirizzo sul ruolo del medico competente in materia di sicurezza sul luogo di lavoro |
| Risorse umane | Gestione in sicurezza dei lavoratori con disabilità |
| Sorveglianza sanitaria e medico competente | Titolarità autonoma del medico competente nel trattamento dei dati sanitari dei lavoratori |
| Infortuni | Gestione della documentazione relativa agli infortuni sul luogo di lavoro |
| Fornitori | Ruolo di responsabile del trattamento del fornitore del software per la gestione della sorveglianza sanitaria |
| Gestione della documentazione | Criteri di archiviazione e di accesso alla documentazione, cartacea e informatica, in materia di salute e sicurezza sul lavoro |
| Applicazioni di intelligenza artificiale | Uso dell’AI per la sicurezza in cantiere (esempio che sarà sviluppato nel terzo contributo di questa serie) |
Molte altre informazioni meritano poi di essere tutelate, quali, per esempio:
- i provvedimenti disciplinari adottati a seguito del mancato rispetto delle procedure di Safety;
- i nominativi di quanti aderiscono a campagne di sensibilizzazione su fumo o alimentazione;
- le vaccinazioni richieste ai lavoratori incaricati di trasferte all’estero.
GDPR e NIS 2: quando la convergenza tra Safety e Security è un obbligo giuridico
Il quadro normativo è dunque univoco: il principio di integrità e riservatezza del GDPR e l’approccio multirischio della disciplina NIS convergono nel pretendere una protezione che intrecci, insieme, il rischio accidentale e quello intenzionale, le persone e i beni, il mondo fisico e quello digitale.
Resta da capire come tradurre questo obbligo in organizzazione concreta: quali ruoli, quali processi, quali strumenti.
È l’oggetto del terzo contributo di questa serie, dove il modello di governance integrata sarà messo alla prova con un caso d’uso reale: l’impiego dell’intelligenza artificiale per la sicurezza in cantiere.
Partecipa alla community