Articolo a cura di: Redazione - Studio Legale Calvello
Un’azienda può disporre di informative privacy, registro dei trattamenti, contratti con i fornitori e procedure interne senza essere effettivamente conforme al GDPR. La documentazione, infatti, deve corrispondere ai trattamenti concretamente effettuati, alle tecnologie utilizzate e alle responsabilità attribuite alle diverse funzioni aziendali. È proprio su questa corrispondenza che si concentra l’audit privacy del DPO, attraverso verifiche destinate a individuare carenze organizzative, trattamenti non correttamente disciplinati e misure di protezione insufficienti.
Per imprenditori, amministratori e responsabili aziendali, conoscere quali controlli deve effettuare il DPO permette di valutare se il sistema privacy sia realmente monitorato oppure si limiti alla produzione di documenti. L’articolo 39 del Regolamento (UE) 2016/679 attribuisce al Responsabile della Protezione dei Dati compiti di sorveglianza sull’osservanza della normativa, comprese le attività di controllo, sensibilizzazione e formazione. L’organizzazione concreta delle verifiche dipende dai rischi dei trattamenti, dalle caratteristiche dell’impresa e dalle risorse disponibili.
Audit privacy del DPO: cosa deve controllare concretamente e quando emergono le criticità
L’audit GDPR aziendale consiste nell’esame organizzato dei trattamenti di dati personali e delle misure adottate per rispettare la normativa. Non coincide con una semplice verifica della presenza dei documenti obbligatori. Occorre accertare se le procedure dichiarate dall’azienda siano effettivamente applicate, se i dipendenti conoscano le istruzioni ricevute e se le misure tecniche e organizzative risultino adeguate rispetto ai rischi individuati.
Il DPO, denominato anche RPD o Responsabile della Protezione dei Dati, esercita una funzione di consulenza e sorveglianza ai sensi degli articoli 38 e 39 del GDPR. Deve poter accedere alle informazioni necessarie, essere coinvolto tempestivamente nelle questioni riguardanti la protezione dei dati personali e riferire direttamente al vertice gerarchico del titolare o del responsabile del trattamento. La responsabilità di assicurare e dimostrare la conformità dei trattamenti rimane in capo al titolare del trattamento, mentre il DPO verifica, formula osservazioni e contribuisce a individuare le misure da adottare.
Un controllo efficace parte dalla ricostruzione dei processi aziendali. Occorre comprendere quali dati vengano raccolti, per quali finalità, chi possa consultarli, dove siano conservati, quali fornitori vi accedano e quando debbano essere cancellati. Il DPO deve prestare particolare attenzione alle attività che comportano rischi più elevati per gli interessati, come il trattamento di dati sanitari, il monitoraggio sistematico delle persone, la profilazione e l’utilizzo di tecnologie capaci di raccogliere informazioni dettagliate sui comportamenti individuali.
Le criticità emergono spesso quando l’organizzazione cambia senza aggiornare il sistema privacy. L’introduzione di un nuovo gestionale, l’affidamento di servizi informatici a un fornitore esterno, l’installazione di telecamere o l’ampliamento delle attività commerciali possono modificare le modalità di trattamento. Se tali cambiamenti non vengono esaminati, l’azienda rischia di utilizzare documentazione formalmente esistente ma non più rappresentativa delle proprie attività.
Per questo motivo, il controllo periodico della conformità GDPR dovrebbe essere programmato considerando la natura, l’ambito, il contesto e le finalità dei trattamenti, nonché la probabilità e la gravità dei rischi per i diritti e le libertà delle persone. Il GDPR non stabilisce una frequenza annuale generalizzata per tutti gli audit del DPO. Le verifiche devono essere proporzionate alla situazione concreta e possono rendersi necessarie anche in occasione di modifiche organizzative, incidenti di sicurezza, reclami o precedenti non conformità.
Un ulteriore elemento riguarda l’effettiva indipendenza della funzione di controllo. Il DPO deve poter segnalare criticità anche quando riguardano decisioni assunte dalla direzione o da responsabili di funzione. Le osservazioni non devono essere subordinate all’approvazione preventiva dei soggetti la cui attività viene verificata. L’articolo 38 del GDPR vieta di impartire istruzioni al DPO riguardo all’esecuzione dei suoi compiti e richiede che disponga delle risorse necessarie. Questo aspetto assume particolare rilievo quando l’azienda affida il servizio a un professionista esterno oppure attribuisce l’incarico a una figura interna con altre responsabilità operative.
La presenza di un DPO nominato non dimostra, da sola, che le verifiche vengano realmente svolte. Occorre esaminare le attività documentate, le criticità comunicate, le indicazioni formulate e il seguito dato dall’organizzazione. Quando il Responsabile della Protezione dei Dati è coinvolto soltanto in occasione di un problema, senza un sistema di monitoraggio proporzionato ai rischi, possono rimanere inosservate irregolarità che si sviluppano progressivamente. Abbiamo approfondito questa situazione nell’articolo dedicato al DPO assente o solo formale e ai rischi per l’azienda.
Verifica della documentazione GDPR, dei trattamenti e delle misure di sicurezza aziendali
Una delle prime attività dell’audit riguarda il registro delle attività di trattamento previsto dall’articolo 30 del GDPR, quando applicabile. Il DPO deve verificarne la coerenza con i processi aziendali effettivi, confrontando le informazioni riportate con le attività svolte dalle diverse funzioni. Un registro che non comprende nuovi software, trattamenti introdotti dall’ufficio HR o servizi affidati a fornitori esterni può impedire all’azienda di avere una rappresentazione attendibile dei rischi. La verifica deve considerare anche l’eventuale necessità di aggiornare il registro dei trattamenti.
L’esame prosegue sulle informative rese agli interessati, sulle basi giuridiche utilizzate e sulle modalità di raccolta degli eventuali consensi. Il DPO deve controllare che le informazioni fornite a dipendenti, clienti e fornitori siano comprensibili, complete e coerenti con i trattamenti realmente effettuati. Particolare attenzione richiedono le attività di marketing, la profilazione, la conservazione dei dati e l’utilizzo di informazioni per finalità ulteriori rispetto a quelle originariamente dichiarate. Un’informativa correttamente redatta al momento della sua predisposizione può diventare inadeguata quando cambiano finalità, destinatari o strumenti utilizzati.
Un’altra verifica riguarda i rapporti con i responsabili del trattamento ai sensi dell’articolo 28 GDPR. Quando un fornitore tratta dati personali per conto dell’azienda, occorre verificare la corretta qualificazione del rapporto, l’esistenza di un accordo conforme alla normativa e la concreta applicazione delle istruzioni impartite. L’audit può riguardare società informatiche, fornitori cloud, gestori di piattaforme digitali e altri operatori esterni. Il controllo non dovrebbe limitarsi alla sottoscrizione del contratto: devono essere considerate anche le garanzie offerte dal fornitore, le misure di sicurezza, l’eventuale ricorso a subresponsabili e le condizioni applicabili ai trasferimenti internazionali di dati.
Il controllo delle misure tecniche e organizzative richiede il coinvolgimento delle funzioni IT e dei responsabili dei processi aziendali. Il DPO verifica, nell’ambito dei propri compiti di sorveglianza, se l’organizzazione abbia valutato adeguatamente i rischi e adottato misure coerenti con l’articolo 32 del GDPR. Possono essere esaminati la gestione delle credenziali, i profili di autorizzazione, la protezione dei dispositivi, la registrazione degli accessi, le procedure di backup e la gestione degli incidenti informatici. Le verifiche tecniche specialistiche possono richiedere l’intervento di professionisti della sicurezza informatica: il DPO non deve necessariamente eseguire personalmente test di vulnerabilità o attività di penetration testing.
Un settore particolarmente delicato è quello dei dati dei lavoratori. L’audit deve considerare le modalità di gestione delle informazioni da parte dell’ufficio del personale, gli accessi ai fascicoli, i sistemi di rilevazione delle presenze e gli strumenti informatici assegnati ai dipendenti. In presenza di videosorveglianza, monitoraggio delle attività o utilizzo di sistemi capaci di controllare indirettamente la prestazione lavorativa, occorre verificare anche il rispetto della disciplina applicabile ai controlli a distanza, compreso l’articolo 4 della Legge n. 300/1970. La conformità al GDPR, infatti, non esaurisce necessariamente gli obblighi previsti dalla normativa lavoristica. Sul tema abbiamo predisposto un approfondimento dedicato alla privacy e al GDPR nella gestione del personale.
L’audit deve poi verificare se l’azienda abbia correttamente individuato i trattamenti per i quali è necessaria una valutazione d’impatto sulla protezione dei dati (DPIA) ai sensi dell’articolo 35 del GDPR. Il DPO fornisce consulenza, quando richiesta, in merito alla DPIA e ne sorveglia lo svolgimento. La responsabilità di effettuare la valutazione rimane al titolare del trattamento. Il controllo deve considerare la correttezza dell’analisi dei rischi, l’adeguatezza delle misure previste e l’eventuale necessità di riesaminare la valutazione quando cambiano i trattamenti o i rischi connessi.
Rientra nelle verifiche anche la capacità dell’organizzazione di riconoscere e gestire una violazione dei dati personali. Devono essere esaminate le procedure di segnalazione interna degli incidenti, la distribuzione delle responsabilità, la documentazione delle violazioni e i criteri utilizzati per valutare l’eventuale notifica al Garante e comunicazione agli interessati. Il DPO può assistere il titolare nelle valutazioni, ma non sostituisce quest’ultimo nelle responsabilità previste dagli articoli 33 e 34 del GDPR. Le procedure devono essere concretamente utilizzabili anche quando l’incidente coinvolge un fornitore esterno o si verifica fuori dall’orario ordinario di lavoro.
Le verifiche documentali e operative devono infine consentire di distinguere le irregolarità meramente formali dalle carenze che possono compromettere la liceità del trattamento o la sicurezza dei dati. Un documento non aggiornato richiede un intervento diverso rispetto a un sistema informatico che consente accessi indiscriminati a informazioni riservate. Per questo l’audit dovrebbe produrre rilievi comprensibili alla direzione, indicazioni sulle priorità e una base documentale utile a verificare successivamente le misure adottate. La concreta attuazione delle correzioni compete all’azienda, che deve mettere il DPO nelle condizioni di svolgere le successive attività di sorveglianza.
Come documentare gli audit del DPO, gestire le non conformità e riferire alla direzione aziendale
Una volta esaminati i trattamenti, la documentazione e le misure di sicurezza, l’attività del DPO deve consentire all’azienda di comprendere quali irregolarità siano state riscontrate, quali conseguenze possano derivarne e quali interventi richiedano maggiore attenzione. Un audit privacy aziendale non dovrebbe esaurirsi in osservazioni verbali o in una generica dichiarazione di conformità. È opportuno che le verifiche siano documentate attraverso rilievi sufficientemente precisi da permettere alla direzione di assumere decisioni consapevoli e di controllare successivamente l’effettiva attuazione delle misure correttive.
Il GDPR non impone un modello uniforme di relazione per ogni audit del DPO. La documentazione delle verifiche costituisce però uno strumento organizzativo coerente con il principio di responsabilizzazione previsto dall’articolo 5, paragrafo 2, e con gli obblighi del titolare stabiliti dall’articolo 24. Un report può indicare i processi esaminati, i documenti consultati, le persone coinvolte, le carenze individuate e le raccomandazioni formulate. Quando una verifica non può essere completata per mancanza di informazioni o per impossibilità di accedere a determinati sistemi, anche tale circostanza dovrebbe risultare dalla relazione, evitando di presentare come controllati aspetti che non sono stati effettivamente esaminati.
Particolare attenzione richiede la classificazione delle non conformità GDPR. Non tutte le irregolarità presentano la stessa gravità. Un’informativa contenente un riferimento organizzativo non aggiornato può richiedere un intervento relativamente semplice, mentre l’accesso indiscriminato a dati sanitari o l’assenza di adeguate misure di protezione in un sistema informatico possono esporre gli interessati a rischi ben maggiori. La valutazione deve considerare la natura dei dati, il numero delle persone potenzialmente coinvolte, le caratteristiche del trattamento, le conseguenze prevedibili e le misure già adottate dall’organizzazione.
Quando emergono criticità, il DPO dovrebbe formulare indicazioni comprensibili anche ai responsabili aziendali privi di competenze giuridiche specialistiche. Segnalare che una procedura non rispetta il GDPR può essere insufficiente se non vengono chiariti il trattamento interessato, il requisito normativo rilevante e le ragioni della contestazione. L’azienda deve poter distinguere gli interventi che richiedono una decisione immediata dalle attività di aggiornamento programmabili, individuando i responsabili dell’attuazione e le risorse necessarie.
La gestione delle azioni correttive successive all’audit compete al titolare del trattamento, che deve organizzare gli interventi attraverso le funzioni aziendali interessate. Il DPO mantiene il proprio ruolo di consulenza e sorveglianza: può verificare se le misure raccomandate siano state adottate e se risultino adeguate rispetto alle criticità riscontrate, senza assumere automaticamente la responsabilità operativa delle decisioni. Questa distinzione evita che il soggetto incaricato del controllo diventi anche il responsabile delle attività che dovrebbe successivamente verificare.
Un esempio riguarda la scoperta, durante l’audit, di autorizzazioni informatiche eccessivamente ampie. Il DPO può segnalare il problema, richiamare i requisiti di sicurezza e raccomandare una revisione dei profili di accesso. Spetta invece alla direzione, attraverso i responsabili IT e le altre funzioni competenti, stabilire e attuare concretamente le modifiche. Una successiva verifica potrà accertare se gli accessi siano stati effettivamente limitati e se le nuove autorizzazioni corrispondano alle mansioni svolte.
Le criticità devono essere portate all’attenzione dei soggetti che dispongono del potere di intervenire. L’articolo 38, paragrafo 3, del GDPR prevede che il DPO riferisca direttamente al vertice gerarchico del titolare o del responsabile del trattamento. Tale previsione assume particolare importanza quando le irregolarità dipendono da scelte organizzative, investimenti non effettuati o procedure mantenute nonostante precedenti segnalazioni. Il DPO deve poter esprimere valutazioni indipendenti anche quando la direzione non condivide le sue raccomandazioni. La decisione aziendale di non adottare una misura suggerita non trasferisce automaticamente al DPO la responsabilità del trattamento.
Quando una verifica interna fa emergere una possibile violazione del GDPR, occorre distinguere la normale non conformità da una violazione dei dati personali ai sensi dell’articolo 4, punto 12, del Regolamento. La presenza di documentazione incompleta, per esempio, non costituisce necessariamente un data breach. Se invece emergono perdita, distruzione, divulgazione non autorizzata o accesso illecito a dati personali, l’azienda deve valutare tempestivamente gli obblighi previsti dagli articoli 33 e 34. In queste circostanze, il controllo ordinario può rendere necessario un intervento immediato, come approfondito nell’articolo dedicato alla violazione GDPR scoperta internamente e alle iniziative da adottare.
Il monitoraggio successivo deve essere proporzionato alle criticità individuate. Non è sufficiente registrare un’azione correttiva come completata sulla base della sola dichiarazione del responsabile incaricato, quando la natura del rischio richiede una verifica concreta. Possono essere necessari l’esame di documenti aggiornati, controlli a campione, colloqui con il personale o verifiche tecniche eseguite da professionisti competenti. Il follow-up dell’audit GDPR permette così di accertare se le misure adottate abbiano effettivamente modificato le condizioni che avevano determinato il rilievo.
Per le aziende che hanno adottato un Modello di organizzazione, gestione e controllo ai sensi del D.Lgs. 231/2001, alcune risultanze degli audit privacy possono assumere rilievo anche nell’ambito dei controlli interni e dei flussi informativi verso l’Organismo di Vigilanza, quando pertinenti al sistema di prevenzione adottato. La condivisione deve rispettare le competenze dei diversi soggetti e il principio di minimizzazione dei dati. Il DPO non coincide con l’Organismo di Vigilanza e l’audit GDPR non sostituisce le verifiche sull’effettiva attuazione del Modello 231.
Esempio pratico: audit del DPO in un’azienda con documentazione privacy non aggiornata
Consideriamo il caso ipotetico di una società di servizi che, dopo aver ampliato il personale e introdotto nuovi applicativi gestionali, decide di sottoporre il proprio sistema privacy a una verifica. L’azienda dispone già di informative, registro dei trattamenti e accordi con alcuni fornitori, ma la documentazione è stata predisposta prima delle modifiche organizzative. Durante l’audit emergono differenze tra i trattamenti descritti e quelli effettivamente svolti, autorizzazioni informatiche non riesaminate e rapporti con fornitori esterni che richiedono ulteriori verifiche contrattuali.
Il DPO ricostruisce i processi interessati attraverso l’esame della documentazione e il confronto con le funzioni HR, amministrazione e IT. L’aspetto più delicato riguarda l’individuazione dei soggetti che possono accedere ai dati dei dipendenti e dei clienti, poiché alcuni profili sono stati mantenuti anche dopo cambiamenti di mansione. Le criticità vengono riportate in una relazione che distingue gli interventi prioritari dagli aggiornamenti documentali. La direzione incarica le funzioni competenti di rivedere le autorizzazioni, verificare gli accordi con i fornitori e aggiornare il registro dei trattamenti. Il DPO programma successivamente un controllo sulle misure attuate, mantenendo separata la propria funzione di sorveglianza dalle responsabilità operative dell’azienda.
Domande frequenti sugli audit privacy del DPO e sui controlli GDPR aziendali
Il DPO è obbligato a effettuare un audit privacy ogni anno?
Il GDPR attribuisce al DPO compiti di sorveglianza della conformità, comprese le attività di audit, ma non stabilisce una frequenza annuale obbligatoria valida per tutte le aziende. La periodicità delle verifiche deve essere definita considerando i rischi dei trattamenti, la complessità dell’organizzazione e le modifiche intervenute. Un’azienda che tratta dati particolarmente delicati o introduce frequentemente nuovi sistemi informatici può richiedere controlli più ravvicinati rispetto a un’organizzazione con trattamenti semplici e stabili.
Il DPO può effettuare personalmente tutti i controlli oppure servono altri professionisti?
Il DPO può svolgere direttamente le verifiche compatibili con le proprie competenze, ma alcuni controlli richiedono conoscenze tecniche specialistiche. L’esame delle configurazioni di sicurezza, delle vulnerabilità informatiche o delle infrastrutture cloud può rendere necessario il coinvolgimento di professionisti IT. Il DPO mantiene la propria funzione di sorveglianza e consulenza, mentre l’azienda deve assicurare le risorse e la collaborazione necessarie ai sensi dell’articolo 38 del GDPR.
Se durante l’audit emergono violazioni del GDPR, il DPO deve comunicarle al Garante Privacy?
La scoperta di una non conformità non comporta automaticamente un obbligo di segnalazione al Garante. Il DPO deve portare le criticità all’attenzione dell’organizzazione e fornire le indicazioni pertinenti. Se viene individuata una violazione dei dati personali, il titolare deve valutare gli obblighi di notifica previsti dall’articolo 33 del GDPR e, quando ne ricorrono i presupposti, quelli di comunicazione agli interessati ai sensi dell’articolo 34. Il DPO assiste nelle valutazioni e coopera con l’autorità di controllo nell’ambito delle proprie attribuzioni.
Chi deve correggere le irregolarità individuate durante un audit GDPR?
La responsabilità di adottare le misure correttive appartiene al titolare del trattamento, attraverso la direzione e le funzioni aziendali competenti. Il DPO può formulare raccomandazioni, indicare le priorità e verificare successivamente l’attuazione degli interventi. Non deve però essere considerato automaticamente il responsabile operativo di tutte le modifiche richieste, perché ciò potrebbe compromettere la distinzione tra attività di controllo e gestione dei trattamenti.
Un’azienda può richiedere un audit privacy indipendente anche se dispone già di un DPO?
Sì. La presenza di un DPO non impedisce all’azienda di affidare una verifica specifica a un professionista esterno, soprattutto quando occorre esaminare processi complessi, valutare criticità già emerse oppure ottenere un’analisi indipendente del sistema di gestione della privacy. L’incarico deve essere organizzato rispettando le attribuzioni del DPO già nominato, che deve continuare a essere coinvolto nelle questioni relative alla protezione dei dati personali.
Audit privacy aziendale e controlli del DPO: richiedi una valutazione allo Studio Legale Calvello
Un audit privacy del DPO consente di verificare se la documentazione GDPR corrisponda ai trattamenti effettivamente svolti, se le misure di protezione siano adeguate e se le criticità individuate vengano affrontate attraverso interventi concretamente verificabili. Quando emergono documenti non aggiornati, procedure incomplete, problemi nella gestione dei fornitori o dubbi sulle attività di controllo, è opportuno esaminare la situazione specifica dell’impresa prima di stabilire quali misure adottare.
Lo Studio Legale Calvello dell’Avvocato Claudio Calvello, con oltre 25 anni di esperienza professionale, offre assistenza giuridica alle aziende in materia di protezione dei dati personali, conformità GDPR e organizzazione dei controlli privacy. Possiamo esaminare le criticità segnalate, valutare gli adempimenti applicabili e assistere l’impresa nell’individuazione degli interventi necessari, tenendo conto delle responsabilità del titolare del trattamento e delle funzioni attribuite al DPO.
Se la tua azienda deve effettuare una verifica della conformità GDPR, affrontare irregolarità emerse durante un audit oppure valutare l’adeguatezza dei controlli privacy esistenti, richiedi una valutazione attraverso il modulo dedicato alla consulenza GDPR e privacy aziendale. Esamineremo la richiesta per individuare le esigenze di assistenza professionale in relazione alla situazione rappresentata.
