L’accountability GDPR impone al titolare di rispettare i principi del trattamento e di poterlo dimostrare. Il punto di partenza è l’articolo 5, paragrafo 2, mentre l’articolo 24 collega la responsabilità all’adozione di misure appropriate, da riesaminare e aggiornare quando necessario. Una cartella piena di modelli non prova, da sola, che un trattamento sia conforme.
Il testo del GDPR porta a due domande operative: quale decisione consente di rispettare la regola e quale evidenza dimostra che quella decisione funziona? Questa guida aiuta il responsabile di un’attività, il DPO e la direzione a costruire una catena leggibile tra finalità, requisito, misura, verifica e azione correttiva. L’obiettivo non è raccogliere il maggior numero possibile di documenti, ma rendere ricostruibile il governo del trattamento.
Partire da una singola attività reale
Scegliere un’attività delimitata, come gestione delle candidature, assistenza clienti o organizzazione di un evento. Individuare chi conosce il processo e chi ha l’autorità per modificarlo. Se il fascicolo viene compilato soltanto dal consulente privacy, può descrivere un flusso formalmente plausibile che il reparto non usa.
Annotare persone coinvolte, dati, finalità, sistemi, destinatari, fonti e regole di conservazione. La mappatura dei sistemi e dei flussi permette di includere esportazioni, cartelle condivise e integrazioni. Il database principale è spesso solo una parte del trattamento.
Dove si applica l’articolo 30, collegare l’attività al registro. Il registro descrive il trattamento; non sostituisce ogni analisi né deve contenere tutte le evidenze tecniche. Un collegamento stabile a una verifica degli accessi è più utile di un elenco di utenti copiato in più documenti e destinato a divergere.
Trasformare i principi in domande verificabili
Per ogni principio, formulare una domanda che un’altra persona possa controllare. Per la liceità: quale base sostiene questo uso e quali condizioni risultano soddisfatte? Per la trasparenza: quale informativa riceve effettivamente la persona, in quale momento e attraverso quale canale? Per l’esattezza: cosa accade quando una fonte corregge un dato?
La minimizzazione richiede di confrontare i campi raccolti con lo scopo concreto. La limitazione delle finalità richiede di riconoscere un riutilizzo prima che venga attivato. Sicurezza e conservazione devono essere collegate alle copie reali, non soltanto al testo della policy.
Non tutte le attività richiedono gli stessi documenti. La DPIA dipende dai presupposti dell’articolo 35; la designazione del DPO va valutata secondo l’articolo 37 e la disciplina applicabile. Una decisione negativa motivata è diversa da un campo lasciato vuoto perché nessuno ha esaminato il problema.
Organizzare un indice delle prove
Un indice leggero può contenere requisito, decisione, responsabile operativo, prova, data e stato. Il documento probatorio può rimanere nel sistema in cui viene prodotto, purché sia reperibile e abbia accessi adeguati. Evitare di copiare senza necessità contratti, documenti d’identità e dati degli interessati in un archivio aperto a tutti.
| Questione | Decisione dell’attività | Evidenza da collegare |
|---|---|---|
| Raccolta | Campi necessari approvati dal responsabile | Modulo effettivo e motivazione dei campi |
| Informazione | Informativa fornita nel punto corretto | Versione e prova del percorso utente |
| Accesso | Profili coerenti con le mansioni | Esportazione controllata e revoche eseguite |
| Conservazione | Evento di scadenza e copie individuate | Esito della cancellazione su un campione |
| Fornitore | Ruolo e istruzioni coerenti con il servizio | Accordo applicabile e verifica delle impostazioni |
| Diritti | Responsabile e instradamento delle richieste | Fascicolo di una richiesta chiusa, adeguatamente protetto |
La tabella non costituisce una lista universale sufficiente per la conformità. Serve a mostrare la forma di una prova: il suo valore dipende dal requisito e dalla qualità della verifica, non dal fatto di occupare una casella.
Un esempio: candidature dopo la selezione
Un’impresa ipotetica stabilisce una durata motivata per i curriculum dei candidati non selezionati e una gestione separata dei documenti necessari a una specifica controversia. Il responsabile HR approva la regola, l’IT identifica applicazione ed esportazioni, il referente privacy verifica la coerenza dell’informativa e il reparto esegue la cancellazione prevista.
Nel fascicolo non basta scrivere «cancellazione automatica attiva». La prova registra il gruppo di candidature arrivato a scadenza, l’esito nell’applicazione e il controllo della cartella usata dal selezionatore. Se la cartella contiene ancora copie, il controllo resta aperto con responsabile e scadenza dell’azione correttiva.
Per un singolo contenzioso viene conservato un insieme limitato, con motivazione, accessi ristretti e riesame. Questa eccezione non diventa una sospensione indefinita della cancellazione di tutti i candidati. La guida ai curriculum spontanei in Italia aiuta a distinguere il percorso di raccolta e informazione dal successivo governo della conservazione.
Assegnare responsabilità senza scaricarle sul DPO
Il titolare mantiene la responsabilità delle decisioni. Il DPO informa, consiglia e sorveglia secondo il proprio ruolo; non deve diventare il proprietario operativo di ogni trattamento né approvare da solo scelte che competono alla direzione. L’indipendenza del DPO e i conflitti d’interesse vanno considerati anche quando si distribuiscono i compiti di verifica.
Il responsabile dell’attività descrive il bisogno, l’IT attua le misure tecniche, gli acquisti gestiscono gli impegni del fornitore e la direzione decide sulle questioni che richiedono risorse o modifica del servizio. La matrice deve indicare una persona o funzione che possa davvero agire, non una generica «azienda».
Le questioni irrisolte devono essere visibili a chi può decidere. Una nota del DPO ignorata non diventa una misura attuata; una firma della direzione non rende lecito un trattamento che non soddisfa i requisiti applicabili. Documentare il rischio aiuta la decisione, ma non autorizza a rinunciare agli obblighi.
Verificare anche i fornitori e le copie esterne
Prima di usare un contratto standard, qualificare il ruolo effettivo della controparte. L’articolo 28 riguarda il trattamento svolto per conto del titolare; altre relazioni richiedono un’analisi diversa. La stessa piattaforma può trattare alcuni dati su istruzione e altri per finalità proprie, da valutare separatamente.
Collegare il documento contrattuale alle impostazioni del servizio: localizzazione, subfornitori, accessi di assistenza, esportazione, cancellazione e ritorno dei dati. Quando esistono trasferimenti soggetti al capo V, la valutazione dell’impatto dei trasferimenti richiede evidenze proprie. La firma di clausole non dimostra da sola che il flusso tecnico sia quello descritto.
Un controllo su un fornitore deve concludersi con un esito preciso: requisito verificato, informazione mancante o difetto da correggere. «Certificato disponibile» non spiega quali servizi, sedi e controlli siano coperti, né se il periodo considerato sia pertinente.
Riesaminare quando cambia il trattamento
Stabilire eventi che riaprono l’analisi: nuova finalità, nuova categoria di dati, integrazione, destinatario, trasferimento, incidente o reclamo ricorrente. Una revisione annuale può essere utile come organizzazione interna, ma non giustifica l’attesa quando un cambiamento rilevante è già avvenuto.
Le misure tecniche e organizzative devono riportare le condizioni in cui sono state verificate. Un controllo effettuato prima della migrazione non prova il funzionamento della nuova configurazione. Conservare le versioni necessarie a spiegare il passato, distinguendole chiaramente da quelle operative.
Durante il riesame, chiedere anche se una prova continui a servire. I fascicoli di accountability contengono spesso dati personali, credenziali di prova, nomi dei dipendenti e dettagli degli incidenti. Applicare accessi e conservazione anche a questo archivio, evitando che la dimostrazione della protezione diventi una raccolta incontrollata.
Preparare una lettura per la direzione e una per il controllo
Alla direzione servono decisioni aperte, impatti, responsabili e risorse necessarie. A chi verifica il trattamento servono fonti, versioni, campioni ed esiti. Collegare le due viste senza sommergere il decisore di allegati tecnici o ridurre la verifica a un semaforo verde privo di spiegazione.
Per la preparazione a un’ispezione del Garante, una catena documentale coerente facilita la risposta alle richieste. Il fascicolo deve poter mostrare anche un difetto scoperto e corretto. Nascondere le anomalie in una presentazione perfetta impedisce di dimostrare come l’organizzazione abbia effettivamente controllato e migliorato il trattamento.