Dopo sei anni di applicazione del GDPR, i compiti e le responsabilità del DPO all’interno di un’organizzazione, che rivesta il ruolo di titolare o di responsabile del trattamento, sono ben definiti e chiari. Tuttavia, la questione della gestione della documentazione prodotta dal DPO solleva importanti interrogativi.
In questo articolo, intendiamo esaminare le implicazioni organizzative inerenti a tale tematica, strettamente connessa al rischio che il DPO, nell’esercizio delle proprie funzioni, possa involontariamente contribuire alla compromissione dei dati personali che è chiamato a proteggere.
Mediante un’analisi attenta e il richiamo a casi pratici, verranno indagate le problematiche e le potenzialità associate alla gestione documentale affidata al DPO, valutando le modalità attraverso le quali tali documenti devono essere trattati, conservati ed eventualmente distrutti, nel rispetto della specifica normativa e delle migliori pratiche in materia di protezione dei dati personali.
Indice degli argomenti
La gestione degli archivi del DPO
Durante l’attività svolta, il DPO elabora una serie di documenti che richiedono un’adeguata gestione degli archivi. Questi documenti, che spaziano dal cartaceo all’elettronico, sono essenziali per documentare il corretto svolgimento delle sue attività di formazione, consulenza e sorveglianza e devono essere conservati in modo sicuro e accessibile.
Tali documenti, comprendono verbali, relazioni e rapporti di audit, pareri ed esiti di analisi, resoconti di attività e via dicendo.
La gran parte di tali documenti non contengono dati personali, ma paradossalmente informazioni relative alle vulnerabilità dell’organizzazione come, ad esempio, i risultati delle analisi dei rischi, dei penetration test eccetera.
Da ciò ne discende che l’accesso a tali documenti deve essere permesso solo ai solo soggetti autorizzati, da individuare con cautela, atteso che gli stessi documenti potrebbero contenere dati particolarmente riservati con un accesso limitato (ad esempio le relazioni a seguito di un data breach e la stessa analisi dei rischi).
Per garantire la certezza temporale e fissarne il contenuto – al fine di eliminare ogni sospetto che i documenti siano stati alterati dopo la loro emissione – è consigliabile far ricorso alla marca temporale, o timestamp. Si tratta di una sequenza numerica che certifica la creazione, trasmissione o archiviazione di un documento informatico, indicandone la data e l’ora esatte.
Questo approccio costituisce anche uno strumento di tutela per tutte le parti coinvolte e risulta particolarmente utile soprattutto durante eventuali ispezioni da parte dell’Autorità Garante. Tale soluzione non è certo da applicare a tutti i documenti prodotti, ma sicuramente a quelli per i quali è fondamentale dare evidenza della data di produzione (e.g. interviste, audit e simili).
In ogni caso, per una gestione efficace della documentazione, potrebbe essere definita una procedura dedicata, eventualmente condivisa con l’Organismo di Vigilanza (ODV). Peraltro, tale procedura potrebbe anche essere integrata nel Regolamento del DPO.
L’archiviazione degli originali dei documenti può avvenire sia internamente che esternamente all’organizzazione (come, ad esempio, presso l’ufficio del DPO qualora quest’ultimo fosse esterno all’organizzazione), con vantaggi e rischi differenti in termini di accessibilità e sicurezza.
Non riconosciamo alcun vantaggio nel conservare documentazione all’esterno dell’organizzazione; per cui sosteniamo che tale modalità non è opportuna.
Nel caso in cui si opti per gli archivi della documentazione all’esterno, è però opportuno che una copia dei documenti sia conservata anche presso la sede dell’organizzazione a disposizione:
- dell’Autorità Garante per eventuali ispezioni;
- di altri autonomi titolari del trattamento, nel caso in cui l’organizzazione si configuri come responsabile del trattamento. Detti autonomi titolari potrebbero, infatti, richiedere l’accesso ad una parte di tali documenti, in attuazione di specifici accordi contrattuali e per le opportune verifiche.
Qualunque sia il luogo di archiviazione scelto, in ogni caso, è fondamentale stabilire chi ha accesso ai documenti.
In linea di principio, solo il DPO e il Referente Privacy dovrebbero poter accedere agli archivi. In ogni caso, qualora si volesse prevedere l’accesso a tale archivio da parte di altri soggetti, in numero limitato, il DPO dovrà prestare particolare attenzione a quei documenti che contengono informazioni dettagliate su un dipendente o altro interessato; ad esempio, in caso di indagini mirate da parte del DPO su casi specifici.
Ancora, va considerato anche il ruolo dell’amministratore di sistema che – almeno in via potenziale, ed a meno che non si utilizzino software opportunamente protetti per la gestione documentale – potrebbe accedere a tali dati quando sono in formato elettronico. Certamente, un robusto modello di gestione delle chiavi permetterebbe una gestione controllata degli accessi fisici contenenti documenti in versione cartacea.
Quindi, la definizione ed applicazione di procedure chiare e l’attenzione alla sicurezza e all’accessibilità sono fondamentali per una gestione efficace degli archivi del DPO.
In estrema sintesi, gli archivi del DPO devono essere gestiti in modo congruente con i principi applicati nella gestione della documentazione e garantirne riservatezza, disponibilità ed integrità, fermo restando che, per lo svolgimento delle attività a suo carico, il DPO non può prescindere dalla applicazione, laddove definite, di specifiche procedure per la gestione della documentazione predisposte dall’organizzazione.
Minimizzare i dati critici di business nella documentazione del DPO
Il DPO stesso dovrà poi prestare particolare attenzione a neutralizzare, per quanto possibile, i documenti che predispone utilizzando degli opportuni accorgimenti.
Infatti, i principi di protezione dei dati personali sono funzionali:
- certamente, a proteggere le persone fisiche con riguardo al trattamento dei loro dati personali;
- contestualmente, a modellare i processi aziendali in modo da tutelare anche le informazioni critiche per il business.
In tale quadro, il DPO, che è chiamato a garantire la conformità dei processi aziendali ai principi privacy, deve “pre-occuparsi”di minimizzare tutte le informazioni all’interno dei documenti di sua competenza, sia quelle personali che quelle critiche per il business. Ciò al fine di ridurre tutti i rischi di incidenti di sicurezza inerenti alle attività da lui svolte.
Egli, pertanto, nella preparazione della documentazione deve quindi adottare un approccio proattivo, assicurando che siano incluse solo le informazioni indispensabili. In sostanza, prima di includere qualsiasi informazione in un documento, il DPO deve valutare criticamente se quella determinata informazione è essenziale per lo scopo al quale è rivolto il documento stesso.
La revisione periodica dei documenti e la valutazione dei rischi associati alla loro divulgazione sono attività che possono aiutare a identificare aree organizzative e funzioni aziendali in cui le informazioni possono essere ulteriormente minimizzate.
Sarebbe, pertanto, auspicabile che queste pratiche diventino parte integrante del ciclo di vita della gestione dei documenti.
Come minimizzare i dati personali negli archivi del DPO
Il ruolo di “sentinella dei dati personali” attribuito dal GDPR al DPO[1] risulta essenziale per assicurare che le organizzazioni sviluppino i propri processi di produzione di beni e servizi in linea con i principi di protezione dei dati personali. Pertanto, lo stesso DPO, ancor prima di svolgere la sua sorveglianza, deve agire in piena conformità a detti principi.
In tale quadro, anche per il DPO vale, come per tutte le altre funzioni aziendali, il principio di minimizzazione. Per cui i soggetti (persone fisiche) a cui il DPO fa riferimento nella sua documentazione – come, ad esempio, le persone citate nei rapporti di audit – devono essere opportunamente protetti.
A tal fine il DPO dovrebbe mettere in atto opportuni accorgimenti ispirandosi, ad esempio, a quelli di seguito indicati, per garantire il rispetto della protezione dei dati personali raccolti nello svolgimento dei compiti a suo carico.
Informativa agli interessati
Bisognerebbe verificare che nell’informativa resa agli interessati sia stata indicata, come finalità, anche quella dell’esecuzione di doverosi controlli da parte di soggetti terzi autorizzati e che tali soggetti sono stati, pertanto, indicati come possibili destinatari di tali dati (es. DPO, Membri dell’Organismo di Vigilanza e del Collegio dei Sindaci, auditor, rappresentati della Guardia di Finanza, dell’INPS, ATS, ARPA e più in generale della PA preposti a controlli di varia natura ecc.).
Soggetti nominati dall’organizzazione preposti ai controlli
È opportuno verificare che ai soggetti nominati dall’organizzazione per eseguire controlli sono state fornite le indicazioni sulla gestione dei dati personali di cui, nel corso delle attività a loro carico, venissero a conoscenza.
Tali indicazioni possono esser riportate nell’atto di affidamento dell’incarico (se soggetti esterni all’Organizzazione) o nella descrizione di loro responsabilità/job description (se soggetti interni) o in altri documenti (istruzioni).
Informazioni relative alle “Persone coinvolte” nell’ambito delle attività del DPO
Altra misura adeguata consiste nel valutare, di volta in volta, quali dati vanno riportati in relazione alle persone coinvolte nelle attività in carico al DPO.
In alcuni casi, ai fini di una completa trasparenza del processo, è opportuno che siano indicati nome, cognome per esteso e ruoli degli interessati, in altri casi è sufficiente riportare il numero di matricola (o altro dato identificativo), in altri ancora, per evitare un trattamento sproporzionato, solo le iniziali o una parte della matricola.
Esempi concreti
Nel corso dell’audit condotto dal DPO è opportuno indicare:
- per esteso, i dati identificativi delle persone partecipanti alle riunioni (iniziale, finale ed eventuali incontri intermedi) e di quelle che, ricoprendo ruoli rilevanti, sono state contattate e intervistate nel corso dell’audit;
- le sole iniziali di quelle osservate, laddove non è necessaria la raccolta delle informazioni personali ma ci si può limitare ad indicare il ruolo ricoperto.
Quindi, bisognerebbe evitare la registrazione di:
- Intervistato G.V.;
- Visto Mario Rossi all’ufficio HR che non applica la Clean desk policy.
- Verificati criteri di protezione, accesso ed archiviazione delle sanzioni disciplinari ed a campione per quella somministrata a Giovanna Bianchi a seguito di aggressione al collega Mauro Azzurri del 10.10.20xx.
- Verificati criteri di protezione, accesso ed archiviazione della documentazione che delinea i requisiti, le specifiche, le condizioni, e i criteri di valutazione relativi alla procedura di gara per l’assegnazione di un contratto pubblico.
- Allegata alla documentazione di partecipazione alla gara per il Comune di Asti del 28.05.20xx e relativa documentazione dei carichi pendenti dei Rappresentanti Legali Alberta Gialli e Alessandra Viola come richiesto dal bando – verificata l’assenza di carichi pendenti.
- Allegare documenti non necessari a rapporti di audit, relazioni a seguito di data breach eccetera.
Bisognerebbe preferire, invece, la registrazione di:
- Intervistato Giovanni Verdi, Responsabile HR.
- Visto addetto all’ufficio HR che non applica la Clean desk policy – in questo caso l’attenzione va posta su un autorizzato che non applica una policy aziendale (quindi una carenza di processo) piuttosto che sullo specifico autorizzato.
- Verificati criteri di protezione, accesso ed archiviazione delle sanzioni disciplinari ed a campione per quella somministrata a G.B. o anche sanzione disciplinare somministrata il 10.10.20xx – non vi è, in questo caso, alcuna necessità di indicare altri dati come il contenuto della sanzione che esula dalla finalità della verifica.
- Verificati criteri di protezione, accesso ed archiviazione della documentazione che delinea i requisiti, le specifiche, le condizioni, e i criteri di valutazione relativi alla procedura di gara per l’assegnazione di un contratto pubblico.
- Allegata alla documentazione di partecipazione alla gara per il Comune di Asti del 28.05.20xx e relativa documentazione dei carichi pendenti dei Rappresentanti Legali come richiesto dal bando – senza riportare i riferimenti sul contenuto di tali documenti.
- Non allegare documenti non necessari a rapporti di audit, relazioni a seguito di data breach ecc. – gli unici documenti da allegare sono quelli che aggiungono informazioni pertinenti al contenuto che si vuole trasmettere e non reperibili o facilmente reperibili da altre fonti.
Conclusioni
In sintesi, seppure potrebbe sembrare un paradosso, nel corso dello svolgimento delle attività a suo carico, il DPO potrebbe, realisticamente, trovarsi in situazioni dove, involontariamente, contribuisce alla violazione dei dati personali che è incaricato di proteggere.
In questo articolo sono state analizzate proprio le dinamiche attraverso le quali tali violazioni possono verificarsi. Sono stati esplorati i rischi associati e sono state proposte strategie per prevenire tali incidenti, sottolineando l’importanza di un approccio sistematico e di continue pratiche di miglioramento nella gestione della protezione dei dati.
In conclusione, si è cercato di evidenziare che la gestione della documentazione del DPO è un tema davvero complesso che richiede una valutazione olistica delle implicazioni organizzative.
La posizione del DPO e il contesto organizzativo sono fattori chiave che influenzano questa questione. È essenziale quindi che le organizzazioni sviluppino politiche chiare e procedure per affrontare la gestione dei documenti del DPO in modo efficace e conforme alla normativa sulla protezione dei dati personali.
Questi protocolli devono, naturalmente, ricevere il pieno sostegno e l’accettazione del DPO, poiché la loro efficacia dipende dalla collaborazione tra il DPO e l’organizzazione stessa. Infatti, solo attraverso un dialogo aperto e una comprensione mutualmente approfondita di queste questioni è possibile assicurare un approccio alla gestione documentale che non solo rispetti le normative sulla privacy, ma che sia anche pratico e sostenibile nel tempo.Da tale aspetto, peraltro, deriva anche il dubbio se lo stesso DPO, al termine del suo mandato, sia legittimato a tenere una copia di tali documenti. Ma tale argomento merita un’autonoma riflessione e verrà affrontato in un prossimo articolo.
[1] Il tema è approfondito in “Privacy & Audit. Tipologia, pianificazione e processo. Comunicazione e valutazione. Audit e situazioni particolari” di Emegian F. e Perego M., IPSOA-Wolters Kluwer, Milano 2019 – 5^ edizione.
