Manca poco piu' di un mese alla scadenza del 25 maggio, destinata a rendere operativo il Regolamento (UE) n. 679/2016. Nel contempo, le attivita' da svolgere per l’adeguamento alla nuova disciplina, e per garantire la protezione dei dati rispetto all’evoluzione tecnologica, restano ancora numerose e molto impegnative. Ad oggi, lo sforzo di adeguamento puo' beneficiare di vari strumenti di supporto messi a disposizione dal Garante. Basta pensare alle Linee guida, alle FAQ, alla Guida al nuovo regolamento e alle relative raccomandazioni, alle infografiche, ai video e ad altre importanti iniziative di informazione e di divulgazione. Cio' nonostante, nel momento in cui si passa dalla conoscenza teorica al profilo prettamente pratico, operativo e gestionale, non c’e' sufficiente chiarezza, all’interno delle singole amministrazioni, su adempimenti, ruoli e, soprattutto, sulle priorita' da rispettare.

Nel contesto di questo quadro, puo' tornare utile fare riferimento all’orientamento del Garante. Nell’intervista rilasciata lo scorso 11 aprile 2018 ad un quotidiano, e pubblicata successivamente sul sito, il Presidente dell’Autorita' Garante evidenzia che “l’esigenza di adeguare la normativa all’evoluzione tecnologica, comporta anzitutto un’anticipazione della soglia di tutela dei dati alla fase della progettazione dei sistemi, secondo i criteri di privacy by design e privacy by default, inscrivendo cosi' nelle stesse tecnologie le misure di garanzie per gli utenti. Ma l’innovazione principale concerne la responsabilizzazione del titolare: principio su cui fonda il Regolamento e che impone a imprese e professionisti di adottare strategie aziendali che garantiscano un livello di tutela dei dati personali adeguato al rischio connesso al trattamento e idonee misure preventive”.

Da questa sintetica dichiarazione, ben si comprende che lo sforzo di adeguamento deve dirigersi, in via prioritaria e principalmente verso la progettazione di un vero e proprio “sistema” di protezione a presidio del rischio di violazione dei dati. Il nuovo sistema di protezione, a sua volta, deve sapersi dirigere verso una pluralità di direzioni che possono essere, sinteticamente, riassunte come segue:

• adeguamento tecnologico

• adeguamento gestionale

• adeguamento procedurale

• adeguamento documentale

• adeguamento delle conoscenze e competenze individuali, di gruppo, e dell’intera organizzazione.

Sistema di protezione dei dati personali

La progettazione e, soprattutto, e la realizzazione del delineato sistema di adeguamento trasversale, che impatta su tutti i profili dell’organizzazione, implica, prima di tutto, avere ben chiari i processi/procedimenti che l’organizzazione pone in essere. Di qui l’invito del Garante a procedere alla ricognizione/mappatura delle attivita', intese come processi/procedimenti gestionali, finalizzati a realizzare le funzioni e i compiti istituzionali. L’attivita' di ricognizione e di mappatura – che puo' utilmente prendere avvio e giovarsi della mappatura dei procedimenti amministrativi ex legge 241/1990, e della piu' recente mappatura anticorruzione – deve essere integrale e analitica. Occorre, a titolo di esempio, associare alle singole attivita', e ai relativi trattamenti: soggetti, ruoli ricoperti e relative responsabilita', dispositivi e tecnologie utilizzati, nell’ambito di una complessiva analisi del contesto. Sotto il profilo gestionale, occorre individuare e mappare, in particolare, chi sono i contitolari, chi sono i responsabili, quali sono i documenti che vengono utilizzati per il trattamento dei dati personali e, in definitiva, qual’e' lo “stato di fatto” attualmente esistente, ad oggi.

Solo la raccolta di queste informazioni, e la formazione di tale base conoscitiva – che costituisce patrimonio della singola organizzazione – consente, una volta ultimata l’analisi dei trattamenti e dei rischi agli stessi collegati, di effettuare la valutazione del livello dei rischi, per poi passare alla gestione dei rischi mediante la previsione di adeguate misure di prevenzione, da progettare e da realizzare secondo l’invocato criterio di privacy by design e privacy by default.

Per la scadenza del 25 maggio non si tratta, in conclusione, di porre in essere una singola attivita' o qualche singola attivita', ma di dare corso ad un vero e proprio processo finalizzato alla costruzione di un “sistema”, strutturato, e ben organizzato di protezione.

Le priorita' in materia

Tenuto conto della complessita' degli adempimenti, e della circostanza che il tempo a disposizione e' estremamente limitato, occorre che il vertice delle singole organizzazioni diano priorita' a questo processo individuando, al loro interno, i dipendenti da coinvolgere nel processo medesimo.

Si tratta di una attivita' indispensabile tenuto conto che anche l’eventuale ricorso alla “esternalizzazione” lascia, comunque, impregiudicata, in capo alla singola organizzazione, la raccolta della base conoscitiva, la responsabilita' della valutazione dei rischi e della individuazione delle misure e, in ultima analisi, la responsabilita' complessiva del sistema e della tenuta dei Registri per documentare la conformita' alla nuova disciplina.

Fonte: Maggioli Editore - La Gazzetta degli Enti Locali