Prepararsi a un’ispezione del Garante significa poter descrivere i trattamenti reali e fornire documenti coerenti con ciò che l’organizzazione fa. Il fascicolo deve permettere di risalire da una risposta alla sua fonte, senza ricostruzioni retroattive o dichiarazioni che superano le informazioni disponibili. La preparazione comprende persone, documenti, sistemi e gestione delle richieste successive.
L’articolo 58 GDPR disciplina i poteri dell’autorità di controllo. Gli articoli 157 e seguenti del Codice Privacy completano il quadro nazionale relativo a richieste e accertamenti. La presente guida adatta il percorso di preparazione documentale a tale contesto, senza presumere modalità, preavvisi o termini identici per ogni procedimento.
Distinguere preparazione ordinaria e gestione del controllo
La preparazione ordinaria riguarda documenti aggiornati, responsabilità e capacità di reperire evidenze. Quando arriva una richiesta concreta, il suo contenuto determina perimetro, destinatario, informazioni richieste e scadenze da gestire. Non sostituite queste indicazioni con una checklist generica trovata online.
Designate un coordinatore e un sostituto che sappiano coinvolgere direzione, funzione legale, DPO, sicurezza e responsabili dei servizi. La persona che coordina non deve conoscere ogni dettaglio, ma deve sapere chi può confermare i fatti. Questo evita risposte divergenti fornite da funzioni diverse sul medesimo trattamento.
Preparate istruzioni per chi riceve una comunicazione o accoglie soggetti incaricati del controllo. Devono comprendere contatti interni e modalità per documentare la ricezione, senza introdurre ostacoli indebiti. L’obiettivo è portare rapidamente la richiesta a persone competenti, mantenendo una traccia attendibile di quanto viene chiesto e consegnato.
Leggere la richiesta e costruire una matrice di risposta
Scomponete il documento ricevuto in punti numerati. Per ciascuno indicate responsabile della raccolta, fonte, stato, termine e verifica prima dell’invio. Distinguete domande fattuali, richieste di documenti e chiarimenti sul funzionamento dei sistemi. Una risposta discorsiva unica può rendere difficile verificare che tutti i punti siano coperti.
Se un elemento è ambiguo, identificate precisamente ciò che necessita di chiarimento e gestitelo attraverso il canale pertinente. Nel frattempo proseguite la raccolta delle informazioni indipendenti. Non interpretate il silenzio come proroga e non assumete che una richiesta informale sostituisca automaticamente le indicazioni ricevute per iscritto.
Conservate il documento originario e tutte le comunicazioni successive. Un indice cronologico aiuta a ricostruire modifiche del perimetro e risposte integrative. Evitate di distribuire copie incontrollate dell’intero fascicolo: alcune informazioni possono contenere dati personali, dettagli di sicurezza o elementi riservati che richiedono accessi limitati.
Collegare il registro ai processi effettivi
Il registro dei trattamenti dovrebbe aiutare a identificare finalità, categorie di persone, dati, destinatari e misure. Verificate che descriva il trattamento oggetto della richiesta e che sia coerente con applicazioni e fornitori attivi. Un registro aggiornato soltanto nella data può mantenere informazioni sostanzialmente superate.
Scegliete un processo e seguite un caso di esercitazione dalla raccolta alla cancellazione. Individuate informative mostrate, base giuridica utilizzata, persone autorizzate e destinazioni dei dati. La mappatura dei sistemi consente di confrontare il documento giuridico con il percorso tecnico.
Registrate eventuali differenze e correggetele attraverso il normale processo di gestione, conservando la cronologia. Una modifica fatta durante la preparazione deve avere data reale e motivazione. Non presentatela come configurazione già esistente nel periodo precedente se non lo era: distinguere stato storico e intervento correttivo è essenziale per una rappresentazione attendibile.
Preparare i documenti per famiglie coerenti
Organizzate un indice che renda visibile il collegamento fra domanda e allegato. Le famiglie possono comprendere governance, informative, basi giuridiche, diritti, fornitori, sicurezza, conservazione e valutazioni del rischio. Inserite soltanto documenti pertinenti al perimetro, evitando un invio indiscriminato che renda più difficile individuare la risposta.
| Famiglia | Documenti possibili | Verifica di coerenza |
|---|---|---|
| Governance | Ruoli, deleghe e procedure | Corrispondenza con responsabilità reali |
| Trattamenti | Registro e descrizione dei flussi | Sistemi e finalità effettivamente attivi |
| Informazione | Versioni delle informative | Canale e periodo di utilizzo |
| Diritti | Richieste e riscontri pertinenti | Cronologia e azioni eseguite |
| Fornitori | Contratti, istruzioni e verifiche | Entità e servizio realmente coinvolti |
| Sicurezza | Configurazioni, prove e incidenti | Perimetro e limiti delle evidenze |
Per la nomina dei responsabili del trattamento, controllate parti, allegati e subfornitori. Un modello non firmato o riferito a un servizio diverso non dimostra il rapporto concreto. Distinguete il documento contrattuale dalle evidenze di verifica del fornitore, che rispondono a un’altra parte della valutazione.
Verificare le evidenze tecniche senza alterarle
Preparate l’estrazione di configurazioni, autorizzazioni e log pertinenti. Annotate chi esegue l’operazione, quando, con quali criteri e da quale sistema. Conservate il contesto necessario a interpretare il risultato: un elenco di account senza indicazione dei ruoli o della data può essere facilmente frainteso.
La guida ai log di sicurezza aiuta a distinguere autenticazione, operazioni applicative e modifiche amministrative. Non attribuite a un evento un significato che non possiede. Un login non dimostra la consultazione di uno specifico documento, mentre l’assenza di un evento può dipendere da limiti di raccolta che devono essere dichiarati.
Per le copie destinate al fascicolo, definite modalità di integrità e accesso proporzionate. Se occorre oscurare informazioni non pertinenti, conservate una relazione comprensibile fra originale, versione consegnata e criterio applicato. La protezione di dati di terzi non deve diventare un pretesto per rendere inutilizzabile la risposta, ma va gestita con precisione e nel quadro della richiesta ricevuta.
Preparare le persone a descrivere ciò che sanno
I referenti devono conoscere il proprio processo e distinguere osservazioni dirette da informazioni ricevute da altri. Una risposta corretta può includere un limite: «questo dato proviene dal fornitore e stiamo verificando il dettaglio». Una certezza inventata per apparire preparati può creare contraddizioni difficili da correggere.
Organizzate una simulazione interna su domande concrete. Chiedete come viene revocato un accesso, come si gestisce una richiesta di rettifica o chi autorizza una nuova esportazione. Il valore dell’esercizio consiste nel trovare passaggi poco chiari e documenti mancanti, senza addestrare le persone a recitare risposte standard indipendenti dai fatti.
Il DPO, quando presente, partecipa secondo i propri compiti. Mantenete distinte consulenza, sorveglianza e responsabilità operative. Un’organizzazione non può trasferire tutte le spiegazioni al DPO se soltanto il responsabile applicativo conosce il funzionamento effettivo del servizio.
Gestire consegne e integrazioni
Prima dell’invio, verificate copertura dei punti, coerenza delle date e corrispondenza degli allegati. Utilizzate il canale indicato e conservate prova di trasmissione e contenuto esatto consegnato. Un indice delle versioni evita che un’integrazione successiva venga confusa con il primo riscontro.
Se scoprite un errore in una risposta già fornita, esaminatelo tempestivamente con i referenti competenti e gestite la rettifica nel modo appropriato. Documentate che cosa cambia e perché. Non sostituite silenziosamente i file interni perdendo la versione inviata, perché la cronologia è necessaria a interpretare l’interlocuzione.
Assegnate anche le richieste successive. Il fatto che la prima consegna sia stata completata non significa che il controllo o il procedimento siano conclusi. La matrice delle azioni dovrebbe distinguere riscontri all’autorità, verifiche interne e interventi correttivi, ciascuno con un responsabile e uno stato verificabile.
Trattare le lacune come azioni concrete
Una lacuna può riguardare un documento, una configurazione o una responsabilità. Descrivete il problema reale e l’effetto: «non sappiamo dimostrare la revoca degli account di questo servizio» è più utile di «manca compliance». Definite misura, referente, scadenza interna e prova di completamento.
La gestione delle prove di accountability permette di mantenere il collegamento fra decisione e attuazione. Non archiviate un’azione come chiusa soltanto perché è stata approvata una procedura: verificate che il processo sia stato utilizzato e che produca le evidenze previste.
Per gli interventi che cambiano il trattamento, valutate anche aggiornamento di informative, contratti e valutazioni del rischio. Una correzione tecnica può modificare destinatari o modalità di accesso; una nuova procedura può introdurre ulteriori dati personali. Il miglioramento deve essere coerente con il resto della documentazione, evitando di risolvere un problema isolato creando nuove incongruenze.
Mantenere il fascicolo pronto senza costruire un archivio eccessivo
La pagina del Garante dedicata all’attività ispettiva consente di consultare gli atti pubblicati, senza dedurre che soltanto i settori elencati possano essere controllati. La preparazione ordinaria dovrebbe riguardare l’affidabilità dei processi dell’organizzazione, non l’imitazione dell’ultimo programma pubblicato.
Definite accessi e conservazione del fascicolo in relazione alle esigenze effettive. Non mantenete indefinitamente copie integrali di ogni dato estratto «nel caso servano». Conservate invece indice, versioni pertinenti, decisioni e prove necessarie a ricostruire il lavoro. Il risultato atteso è una capacità stabile di rispondere con precisione: fatti verificati, limiti dichiarati e documenti che descrivono l’attività realmente svolta.
Per verificare la reperibilità, affidate a un sostituto una richiesta di esercitazione circoscritta, come individuare la versione dell’informativa mostrata in un periodo passato e la procedura di revoca degli accessi allora applicata. Misurate se riesce a trovare documenti autentici, comprenderne l’ambito e identificare chi può confermarli. Se deve ricostruire tutto chiedendo a una singola persona, il fascicolo dipende ancora da conoscenze informali. Correggete indice, riferimenti o responsabilità e ripetete soltanto il passaggio risultato problematico. Questa prova non anticipa un controllo dell’autorità, ma verifica una capacità organizzativa concreta: reperire e interpretare le proprie evidenze senza alterarne data o significato.
Per i documenti custoditi dal fornitore, verificate in anticipo disponibilità, formato e referente della consegna. Un’informazione teoricamente esistente può richiedere tempi tecnici incompatibili con una richiesta concreta, se il contratto e il processo di assistenza non prevedono come recuperarla.