Il GDPR e la Direttiva NIS 2 impongono di trattare Safety e Security come articolazioni di un’unica responsabilità.
Questo terzo e conclusivo capitolo di una serie di tre articoli complementari, traduce l’obbligo in organizzazione: definisce il modello integrato di sicurezza, delinea i compiti e le interazioni di DPO, CISO e Safety Manager e mette alla prova la tesi con un caso d’uso concreto, l’impiego dell’intelligenza artificiale per la sicurezza in cantiere, in cui prevenzione degli infortuni, protezione dei dati e disciplina dei controlli a distanza devono essere governate in un’unica decisione.
Indice degli argomenti
Il modello integrato di sicurezza
Nei primi due contributi di questa serie abbiamo delineato i confini concettuali di Safety e Security e dimostrato che la loro convergenza è un obbligo giuridico, sancito dal principio di integrità e riservatezza del Regolamento Generale sulla Protezione dei Dati e dall’approccio multirischio del D.lgs. 138/2024.
Qui affrontiamo il passaggio decisivo: come si organizza, in concreto, un ecosistema integrato della sicurezza.
La security by design e la data protection by design impongono una progettazione sinergica dei sistemi.
Ciò significa:
- condurre valutazioni d’impatto che considerino insieme Safety e Security;
- costruire una continuità operativa che non separi mai la difesa fisica da quella digitale;
- disegnare processi di risposta agli incidenti che integrino emergenza sanitaria, funzione IT e presidio di Security.
I ruoli chiave: DPO, CISO, Safety Manager
Nel nuovo ecosistema della sicurezza:
- il DPO deve conoscere anche i rischi legati a eventi accidentali, non solo dolosi, e deve possedere competenze di base in tema di Safety, in particolare nelle aziende con una esposizione rilevante dei lavoratori;
- il CISO deve dialogare con chi gestisce la sicurezza fisica e ambientale;
- il Safety Manager, anche nel ruolo di RSPP, deve conoscere le implicazioni privacy di ogni misura, dalla videosorveglianza ai dispositivi biometrici, e comprendere come minimizzare il trattamento dei dati mantenendo come obiettivo primario la sicurezza dei lavoratori.
La collaborazione tra questi ruoli non è solo auspicabile, ma è anche normativamente necessaria.
Il DPO dovrebbe includere nel proprio piano di attività audit mirati alla funzione del Responsabile del Servizio di Prevenzione e Protezione.
Analogamente, l’RSPP dovrebbe coinvolgere il DPO quando sorgano dubbi sulla compatibilità di un trattamento di dati personali, per esempio per valutarne l’eventuale eccedenza rispetto alle finalità dichiarate.
Il CISO, a sua volta, dovrebbe collaborare con l’RSPP per analizzare le implicazioni di Safety derivanti dall’introduzione di misure di accesso controllato adottate per la protezione dei beni e dei dati aziendali.
Si pensi alla necessità di approfondire le conseguenze di un sistema che consente l’uscita da locali protetti solo tramite serrature elettroniche, valutando i rischi in caso di emergenza e di mancata alimentazione elettrica.
Un ulteriore terreno di convergenza, in rapida evoluzione, è rappresentato dall’impiego crescente di soluzioni basate su componenti di intelligenza artificiale, tanto in ambito Safety quanto in ambito Security.
L’esempio che segue mostra, in concreto, perché nessuna delle professionalità appena richiamate possa governare da sola questi strumenti.
Un esempio pratico: l’AI per la sicurezza in cantiere
Si immagini un’impresa di costruzioni che decide di installare in cantiere un sistema di visione artificiale collegato alle telecamere già presenti in area.
Gli algoritmi rilevano in tempo reale:
- il mancato utilizzo dei dispositivi di protezione individuale, come il casco o l’imbracatura anticaduta;
- l’ingresso di persone nel raggio d’azione della gru o in aree interdette;
- le situazioni di “uomo a terra”, generando un allarme immediato al preposto.
Sul piano della Safety i benefici sono evidenti: l’intervento diventa tempestivo, i comportamenti a rischio emergono prima che si trasformino in infortuni e i dati aggregati orientano la formazione verso le criticità reali del cantiere.
Invece, sul piano della protezione dei dati, però, il sistema realizza un monitoraggio sistematico di lavoratori, cioè di interessati che il diritto unionale considera in posizione di vulnerabilità rispetto al titolare.
La valutazione d’impatto sulla protezione dei dati ai sensi dell’art. 35 del GDPR è quindi un passaggio obbligato, non una cautela facoltativa.
La base giuridica va individuata negli obblighi di legge che gravano sul datore di lavoro in materia di salute e sicurezza, a partire dall’art. 2087 del codice civile e dal D.Lgs. 81/2008, letti alla luce dell’art. 6, par. 1, lett. c), e dell’art. 88 del GDPR.
Il controllo a distanza dell’attività dei lavoratori
Poiché dallo strumento deriva anche la possibilità di un controllo a distanza dell’attività dei lavoratori, trova applicazione l’art. 4 della legge 300/1970, richiamato dall’art. 114 del Codice privacy: l’installazione richiede l’accordo collettivo o, in mancanza, l’autorizzazione dell’Ispettorato del lavoro, oltre a un’informativa completa ai lavoratori.
L’eventuale utilizzo delle rilevazioni a fini disciplinari va valutato con estrema cautela e resta comunque subordinato al pieno rispetto delle condizioni poste dalla stessa disposizione.
La progettazione deve poi incorporare i principi di minimizzazione e di data protection by design: elaborazione delle immagini a bordo del dispositivo, assenza di riconoscimento facciale, offuscamento dei volti, generazione di allarmi in luogo della registrazione continua, tempi di conservazione ridotti al minimo indispensabile.
AI Act, chi deve governare il trattamento
Occorre infine considerare il Regolamento (UE) 2024/1689 sull’intelligenza artificiale (AI Act), che all’art. 5 vieta i sistemi di inferenza delle emozioni sul luogo di lavoro e che impone di verificare, caso per caso, se il sistema adottato ricada tra quelli ad alto rischio, con i conseguenti obblighi per fornitore e utilizzatore.
L’esempio dimostra la tesi di fondo di questa serie, secondo la quale:
- il Safety Manager valuta l’efficacia di prevenzione dello strumento;
- il CISO ne presidia la sicurezza informatica e l’integrità dei flussi;
- infine il DPO ne verifica la conformità alla disciplina sulla protezione dei dati.
Nessuno dei tre, da solo, può governare il trattamento: la valutazione d’impatto diventa il luogo naturale in cui le tre professionalità convergono e in cui Safety e Security si saldano in un’unica decisione di governance.
Convergenza come leva strategica: efficienza, compliance, fiducia
Integrare Safety e Security non è solo una questione tecnica, ma una scelta di governance.
Essa aumenta l’efficacia complessiva delle misure di protezione, ottimizza le risorse riducendo i costi, rafforza la compliance normativa – dall’art. 24 del GDPR agli artt. 23 e 24 del D.Lgs. 138/2024 – e genera fiducia nei confronti di lavoratori, clienti, stakeholder e cittadini.
AI in cantiere, la sicurezza è un ecosistema integrato
La sicurezza non può più essere frammentata.
Oggi è un ecosistema integrato, in cui Safety e Security sono domini complementari di una stessa responsabilità strategica: garantire protezione alle persone, ai dati, alle reti e alle infrastrutture.
Il GDPR, la NIS 2 e, più in generale, la disciplina della sicurezza delle informazioni consegnano un messaggio chiaro: non esiste resilienza senza visione unitaria.
Occorre quindi superare la dicotomia, costruire una cultura condivisa della protezione e fare della convergenza un fattore abilitante di sostenibilità, innovazione e fiducia.
Partecipa alla community