Ad un anno dalla piena applicabilità del Regolamento europeo sulla privacy, molte aziende non hanno tenuto conto della rilevanza che hanno per i propri clienti i controlli di conformità GDPR su tutta la catena di fornitura (Supply Chain) di cui l’azienda stessa è parte.
Questa “distrazione” è dovuta, probabilmente, al fatto che l’attività del Garante Privacy è, sinora, passata un po’ in sordina. Complice la cosiddetta “moratoria” prevista dalla legge 101/2018, terminata a maggio, non si sono in effetti visti, o almeno non sono stati pubblicizzati, grandi interventi istruttori o indagini rilevanti, e sostanzialmente nessuna sanzione legata a quanto previsto da GDPR, da parte del Garante Privacy.
Questo può aver dato un falso senso di sicurezza a coloro che, pur non avendo fatto quasi nulla per adeguarsi, hanno ritenuto di poter rimandare gli adeguamenti ancora per qualche tempo.
In effetti, risulta che diverse grandi aziende, dopo una prima fase in cui hanno investito per migliorare la propria conformità GDPR, ora stanno passando gradualmente ad una nuova fase in cui cominciano ad analizzare la conformità GDPR dei propri fornitori tramite audit esterni.
Tali audit sono mirati a valutare non solo la conformità GDPR e la sicurezza organizzativa e tecnica all’interno della propria Supply Chain, ma anche il rispetto dei requisiti tecnici indicati nei vari contratti, per ridurre il rischio di essere coinvolti in prima persona da eventuali carenze nella conformità e nella realizzazione di tali misure da parte di terze parti che forniscono parte dei servizi.
Indice degli argomenti
Obblighi nel rapporto tra titolare e responsabile del trattamento
A tal proposito, l’art. 28 del Regolamento indica esplicitamente che il titolare “ricorre unicamente a responsabili del trattamento che presentino garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate in modo tale che il trattamento soddisfi i requisiti GDPR e garantisca la tutela dei diritti dell’interessato”.
Questo pone in capo alle azienda nostre clienti, l’obbligo di verificare la conformità dei propri fornitori che trattano dati personali per loro conto. Personalmente ritengo che nella attuale fase di fortissima espansione di digitalizzazione e automazione di processi e servizi anche per prodotti non tradizionalmente legati a trattamento dati, la maggioranza dei fornitori si possa considerare come responsabile di trattamento dati.
In associazione con l’art.24, che impone l’obbligo al titolare di poter dimostrare che siano state messe in atto misure di sicurezza tecniche ed organizzative adeguate, quanto sopra esposto implica che le aziende nostre Clienti abbiano necessità di verificare la gestione del trattamento che noi effettuiamo per loro conto, assicurandosi che le relative misure di sicurezza e organizzative messe in atto per loro conto e/o su loro istruzioni scritte all’interno dei vari contratti, siano eseguite in conformità al GDPR ed alle loro istruzioni.
Conformità GDPR: il rapporto tra titolare e responsabile
Chi lavora in un contesto corporate, in contesti multinazionali, o anche in contesti organizzativi e tecnologici complessi, si è obbligato da tempo contrattualmente a rispettare la conformità GDPR e a mettere in condizione i propri clienti di essere conformi per poter rinnovare il contratto con essi.
Da anni, inoltre, già con la precedente versione del Codice Privacy, le grandi aziende clienti inseriscono nei contratti con i propri fornitori, non solo l’obbligo di rispettare i requisiti della privacy vigenti, dove il trattamento viene effettuato, ma anche indicazioni molto dettagliate ed allegati tecnici con requisiti sulle misure di sicurezza da rispettare.
Pertanto, il rapporto tra titolare e responsabile del trattamento nei casi di grandi aziende è quasi sempre iper-contrattualizzato.
Avendo con il GDPR l’obbligo di controllo di cui abbiamo parlato in precedenza, il cliente ora è anche tenuto a verificare la nostra situazione anche qualora non lo avesse mai fatto prima. Anzi, di più qualora non lo avesse mai fatto prima.
Questo sta generando in diversi casi, non solo la richiesta di avere documentazione sullo stato della conformità GDPR e dei controlli di sicurezza e sulle misure adottate, che siano anche periodicamente aggiornate, ma anche verifiche tramite audit esterne sulla veridicità della documentazione.
Ciò potrebbe accadere, in qualsiasi momento, anche da parte dei vostri clienti.
Gli impatti di un audit che riscontra la non conformità GDPR
È il caso di domandarsi, quindi, cosa potrebbe danneggiare di più la nostra reputazione e il business di un grande cliente che riscontra una mancanza di conformità GDPR che ci esporrebbe ad una perdita di fiducia. Bisogna infatti tener presente che, in termini di GDPR, è generalmente il nostro cliente a rispondere in prima persona per i nostri errori in materia di cattiva gestione dei dati personali.
Chi lavora in un contesto corporate, o di società multinazionali, o in realtà operative complesse, certamente si è già obbligato da tempo con i propri clienti, all’ultimo rinnovo contrattuale, a rispettare la conformità GDPR e tutti i requisiti tecnici del caso, per poter ottenere il rinnovo del contratto di lavoro.
La semplice sottoscrizione di tali contratti genera diversi rischi distinti per l’azienda che li sottoscrive:
- rischio di essere sanzionato per mancata conformità GDPR nel caso di contestazioni da parte degli utenti verso le autorità, o di iniziativa dell’Autorità che, in fase di verifica privacy presso un nostro cliente, decida di controllare la conformità del trattamento che il cliente ci ha delegato come responsabile del trattamento anche presso la nostra (o le nostre) sedi;
- rischio di risarcimento dei danni sia nei confronti dei nostri clienti, sia degli utenti finali che risultino danneggiati da eventi non gestiti dalla nostra azienda in conformità a quanto previsto dal Regolamento GDPR;
- rischio di perdita del contratto qualora il cliente, riscontrata la mancanza di conformità che ci si è impegnati a garantire, decida di cambiare fornitore o, nei casi più gravi, anche di risolvere il contratto prima del termine per inadempienza contrattuale.
Come verificare la nostra situazione e prevenire problemi
Ecco dunque alcune linee guida e alcuni utili consigli per affrontare al meglio un audit esterno per la verifica della conformità GDPR della nostra azienda.
Audit esterno ad ampio raggio partendo dai contratti con i clienti
Come già evidenziato in un precedente articolo, la strada maestra per prevenire tali rischi è quello di ricorrere noi stessi ad un audit GDPR esterno, per identificare i maggiori ed i più critici punti di scopertura.
Un valutatore esterno è più idoneo a esaminare con obiettività se quanto già in essere possa funzionare correttamente in tutti gli scenari possibili, o almeno in quelli relativi alle situazioni più critiche, garantendo di poter mettere i nostri clienti in condizione di essere conformi a GDPR.
È consigliabile, quindi, definire con l’auditor esterno che avremo consultato, un piano di verifiche sul corretto funzionamento di procedure e processi che dovremmo avere già modificato in funzione dei requisiti GDPR.
In particolare, un auditor GDPR esperto ci potrà aiutare, in base alla propria esperienza ed ai requisiti che ci pongono i clienti, a individuare rapidamente quali potrebbero essere le criticità, per cui l’azienda si comporta diversamente da quanto richiesto o non segue affatto i dettami GDPR.
Generalmente ciò viene fatto tramite una GAP Analysis.
L’audit esterna, dovrebbe includere non solo la verifica della conformità GDPR, ma anche la verifica dell’effettivo rispetto dei requisiti in merito alle misure di sicurezza e al trattamento di dati personali, che abbiamo sottoscritto con i nostri clienti e che risulta, secondo GDPR, come istruzioni del titolare che vanno assolutamente seguite.
La Gap Analysis per raggiungere la conformità GDPR
La Gap Analysis generalmente identifica in maniera più precisa processi, sistemi, misure di sicurezza tecniche ed organizzative, documenti e risorse che devono essere modificati o resi disponibili perché la conformità GDPR dell’azienda possa essere migliorata, che per il momento, per sintesi, chiameremo punti di scopertura.
Come già detto, in questo caso ’analisi deve assolutamente includere l’analisi dei contratti con i clienti e delle successive modifiche/rinnovi, considerando che, come istruzioni scritte del nostro titolare del trattamento, secondo GDPR, siamo tenuti al rispetto di tali indicazioni.
Identificazione e risoluzione dei punti di scopertura
Una volta identificati i punti di scopertura, insieme all’Auditor GDPR, potremo definire le priorità, i mezzi e le modalità per risolvere i punti identificati, in base al budget disponibile.
La risoluzione dei punti di scopertura, può generalmente essere affidata a team interni, però è sempre bene potersi avvalere del supporto e collaborazione di chi ha realizzato l’audit GDPR, in caso di dubbi o nel caso in cui situazioni complesse richiedano cambiamenti in corso d’opera del piano di attività.
Verifica della conformità dopo l’applicazione delle risoluzioni
Al termine delle attività dedicate a risolvere i punti identificati dalla GAP Analysis, è sempre consigliabile fare una verifica complessiva, per controllare che le modifiche apportate siano in linea con i requisiti del cliente e quelli previsti dal Regolamento GDPR.
Conclusioni
Essere pronto a un eventuale audit o ad una ispezione del Garante Privacy è un obbligo per chi vuole mantenere la propria azienda al riparo dai cosiddetti “rischi privacy”, che possono, come già analizzato, compromettere seriamente il business aziendale.
