Negli ultimi mesi, leggendo i provvedimenti delle Autorità di controllo, è possibile notare quello che a molti esperti del settore appare come un salto di qualità.
Non che prima i provvedimenti fossero privi di pregio giuridico, ma l’impressione è che le Autorità entrassero un po’ meno nel merito e nella sostanza dei documenti che gli venivano sottoposti in sede di ispezione.
Cosa può significare questo? Le Autorità sono improvvisamente diventate più esperte nel loro lavoro o forse sono semplicemente diventate più esigenti?
Credo che la lettura da dare sia questa seconda e tale approccio più esigente potrebbe magari essere sia un indice di miglioramento della situazione generale (le basi ormai ci sono e quindi si passa a controlli più approfonditi) tanto quanto indice di una minore disponibilità delle Autorità di Controllo a essere comprensive viste le difficoltà applicative vissute nel primo periodo di applicazione del GDPR.
Data Processing Agreement: contenuto sostanziale e formale
Aumentano i provvedimenti che intervengono sul contenuto sostanziale e formale dei data processing agreement e non più solo sulla loro presenza/assenza.
Sempre più spesso si contesta l’intellegibilità, la coerenza e la completezza delle informative.
Nei provvedimenti viene confutata la correttezza della condotta delle valutazioni dei rischi; quindi, della analisi del rischio che deve necessariamente precederle e, pertanto, dei risultati cui i titolari sono giunti per mezzo di tali valutazioni.
Privacy by Design: cos’è e come si attua
Last but not least, si contesta la mancata progettazione dei processi di trattamento in ottica di garanzia del requisiti del GDPR e di tutela dei diritti degli interessati: la privacy by design.
Ma come “si fa” la privacy by design?
Con fatica. Si. Con fatica.
Incardinare la compliance privacy nei processi aziendali è complesso e faticoso, molto più che all’interno degli Enti pubblici.
Perché?
La risposta – forse semplicistica ma non lontana dalla verità – è probabilmente la seguente: in azienda si va veloci, ciò che è efficace ed essenziale oggi è obsoleto e inutile domani.
La velocità della compliance rispetto all’operatività aziendale
Quello della compliance e quello della operatività sono due percorsi che vanno (auspicabilmente) nella medesima direzione: permettere all’azienda di prosperare o, quantomeno, sopravvivere.
Semplicemente ed evidentemente, però, si muovono a velocità ben differenti.
E allora il primo passo da compiere è quello di creare consapevolezza e sensibilizzazione in entrambe le parti.
La compliance dovrà essere in grado di comprendere i processi in modo accurato ed approfondito, per poter intervenire nei tavoli di progettazione in modo veloce, efficace e non bloccante.
Le funzioni operative dovranno essere però sensibili alle problematiche di protezione dei dati personali ma non solo: occorrerà altresì cambiare il loro approccio ai processi aziendali.
Creare sinergie ed efficientamenti tra le diverse funzioni di compliance
Dovranno iniziare a progettare. Se i processi non vengono progettati…dove volete che si innesti la valutazione in ambito di compliance?
Se manca la fase di progettazione, in realtà, ne risente non solo la privacy by design, ma tutta la struttura, quindi forse sviluppare questo approccio garantirà all’azienda o all’ente un ritorno ben più ampio rispetto al discorso “privacy”.
Il secondo passo è quello di strutturare una procedura concreta e snella che permetta in un modo o nell’altro alle funzioni di compliance di essere coinvolte in modo veloce nella progettazione dei processi.
Un consiglio evergreen è quello di evitare sovrapposizioni farraginose e ingessanti (anche qui attraverso una attenta “meta progettazione”). Occorre creare sinergie ed efficientamenti con le altre funzioni di compliance. Se esiste una procedura che coinvolge la funzione “cybersec”, agganciamoci a quella procedura, non creiamone una ad hoc per “la privacy”.
Conclusioni
A costo di ripetermi, chi sostiene che, se si vuole evitare di risolvere un problema, basta affidare a un comitato il compito di risolverlo non ha necessariamente ragione.
Un Comitato (quindi un gruppo di lavoro che comprenda rappresentanti delle varie funzioni) che si riunisca con una cadenza adeguata e che sia adeguatamente formato e sensibilizzato, resta probabilmente il miglior strumento per garantire la condivisione della consapevolezza sui processi in startup e sull’andamento dei processi in corso e progettarli in modo condiviso.
Resta quindi uno dei migliori strumenti per rispettare l’obbligo (perché di obbligo si tratta) di applicare la privacy by design.
