Articolo a cura di: Redazione - Studio Legale Calvello

Un’azienda può aver predisposto informative privacy, registro dei trattamenti, nomine e procedure interne senza essere necessariamente in grado di dimostrare la propria conformità al GDPR. Il problema emerge soprattutto quando il Garante per la protezione dei dati personali richiede chiarimenti, un cliente contesta il trattamento dei propri dati oppure un controllo interno rivela che le misure previste nei documenti non vengono effettivamente applicate. Il principio di accountability GDPR impone al titolare del trattamento di rispettare le disposizioni del Regolamento (UE) 2016/679 e di essere in grado di comprovarne l’osservanza. Per amministratori e responsabili aziendali significa organizzare un sistema di responsabilità, verifiche ed evidenze documentali coerente con i trattamenti concretamente effettuati. Quando questa capacità di dimostrazione manca, può essere necessario un intervento professionale per individuare le carenze, valutare i rischi e ricostruire un sistema di controllo attendibile.

Accountability GDPR: perché avere i documenti privacy non basta a dimostrare la conformità

L’articolo 5, paragrafo 2, del GDPR stabilisce che il titolare del trattamento è competente per il rispetto dei principi applicabili al trattamento dei dati personali e deve essere in grado di comprovarlo. È il cosiddetto principio di responsabilizzazione, o accountability, che trova ulteriore attuazione nell’articolo 24 del Regolamento. Quest’ultima disposizione richiede al titolare di mettere in atto misure tecniche e organizzative adeguate, tenendo conto della natura, dell’ambito di applicazione, del contesto, delle finalità dei trattamenti e dei rischi per i diritti e le libertà delle persone fisiche. Le misure devono essere riesaminate e aggiornate quando necessario.

La distinzione tra rispetto della normativa e capacità di dimostrarlo ha conseguenze operative precise. Un’impresa può disporre di un registro dei trattamenti formalmente compilato, ma continuare a utilizzare applicativi, servizi cloud o procedure di raccolta dei dati che non vi sono rappresentati. Può aver adottato una policy sulla gestione degli accessi informatici senza controllare periodicamente le autorizzazioni effettivamente attribuite ai dipendenti. Oppure può aver predisposto istruzioni sulla conservazione dei dati senza verificare che i sistemi aziendali consentano di applicare i tempi stabiliti. In queste situazioni, la documentazione non costituisce una prova sufficiente dell’effettiva applicazione delle misure dichiarate.

Il problema non si risolve accumulando moduli, dichiarazioni o attestazioni generiche. La documentazione deve rappresentare fedelmente l’organizzazione e permettere di ricostruire le scelte compiute dal titolare. Quando un’azienda affida a un fornitore esterno la gestione di un servizio che comporta il trattamento di dati personali, per esempio, non è sufficiente verificare l’esistenza di un accordo ai sensi dell’articolo 28 GDPR. Occorre poter dimostrare, secondo le circostanze, che siano state valutate le garanzie offerte dal responsabile del trattamento, definite istruzioni appropriate e predisposti controlli coerenti con i rischi del servizio affidato.

Lo stesso criterio riguarda le decisioni organizzative. Se un’impresa introduce un nuovo software gestionale, amplia le attività di profilazione commerciale oppure modifica le modalità di accesso ai dati dei lavoratori, deve valutare gli effetti sui trattamenti esistenti e aggiornare le misure interessate. L’accountability richiede quindi una corrispondenza verificabile tra attività aziendali, valutazioni effettuate, decisioni assunte e misure concretamente adottate. Per comprendere se questa corrispondenza esiste, può essere utile partire da una verifica della conformità GDPR dell’azienda, distinguendo gli adempimenti formalmente presenti dalle attività che richiedono ulteriori riscontri.

Il principio assume particolare rilievo quando l’impresa deve rispondere a una richiesta del Garante o dimostrare la correttezza delle proprie scelte in una controversia. La presenza di documenti predisposti in precedenza non prova automaticamente che il trattamento contestato fosse lecito, proporzionato e adeguatamente protetto. Servono elementi pertinenti al caso concreto, capaci di ricostruire le valutazioni effettuate e il funzionamento delle misure nel periodo interessato. L’accountability non coincide con un’attestazione generale di regolarità, ma con la capacità del titolare di fornire riscontri attendibili rispetto ai propri obblighi.

Quali prove e documenti servono per dimostrare il rispetto del GDPR

Il GDPR non prevede un fascicolo unico di accountability, identico per tutte le imprese. Le evidenze necessarie dipendono dai trattamenti effettuati, dalle caratteristiche dell’organizzazione e dai rischi che ne derivano. Il punto di partenza è individuare gli obblighi applicabili e collegare ciascuno di essi a documenti, procedure o riscontri operativi che ne dimostrino l’osservanza. Un’azienda che tratta prevalentemente dati amministrativi presenta esigenze diverse rispetto a una struttura sanitaria, a una società che effettua monitoraggi sistematici o a un’impresa che gestisce grandi quantità di informazioni attraverso piattaforme digitali.

Il registro delle attività di trattamento, quando richiesto dall’articolo 30 GDPR, costituisce uno degli strumenti attraverso i quali ricostruire le operazioni effettuate, le finalità, le categorie di interessati e dati, i destinatari e gli altri elementi previsti dalla disposizione. La sua utilità probatoria dipende dalla corrispondenza con i processi aziendali reali. Se l’impresa utilizza nuovi applicativi o modifica le modalità di trattamento, occorre verificare che il registro continui a descrivere correttamente le attività. Per questo abbiamo dedicato un approfondimento specifico a quando aggiornare il registro dei trattamenti.

Accanto al registro assumono rilievo le informative rese agli interessati, la documentazione relativa alle basi giuridiche, gli accordi con i responsabili del trattamento, le istruzioni impartite al personale e le eventuali valutazioni d’impatto sulla protezione dei dati. Non tutti questi documenti sono obbligatori indistintamente per qualsiasi trattamento: occorre verificarne la necessità in rapporto alle disposizioni applicabili. La loro semplice esistenza, inoltre, non dimostra che siano stati rispettati tutti gli obblighi. Per esempio, un’informativa corretta deve corrispondere alle operazioni realmente effettuate, mentre una valutazione d’impatto deve essere riesaminata quando cambiano i rischi del trattamento.

Una parte delle prove riguarda direttamente le misure tecniche e organizzative previste dall’articolo 32 GDPR. A seconda del contesto, possono essere pertinenti le registrazioni delle verifiche sugli accessi, gli esiti dei controlli sui sistemi informatici, le evidenze relative alle procedure di backup e ripristino, i risultati delle attività di verifica della sicurezza e la documentazione delle azioni correttive. Non si tratta di raccogliere indiscriminatamente informazioni tecniche, ma di conservare riscontri proporzionati, attendibili e coerenti con le misure individuate dall’impresa. La documentazione stessa deve essere gestita in modo sicuro, evitando di introdurre ulteriori trattamenti non necessari.

Un’altra componente riguarda la capacità di dimostrare che le persone incaricate di trattare dati personali abbiano ricevuto istruzioni adeguate e che le procedure siano effettivamente conosciute. La documentazione della formazione, i controlli sulle autorizzazioni e le verifiche sull’applicazione delle istruzioni possono contribuire a ricostruire l’organizzazione adottata. L’effettiva adeguatezza di queste misure deve essere valutata rispetto ai compiti svolti e ai rischi presenti. Sul piano operativo, la formazione privacy dei dipendenti e la relativa documentazione devono quindi essere considerate nell’ambito del sistema complessivo di responsabilizzazione.

Quando si verifica una violazione dei dati personali, la capacità di documentare le valutazioni assume un rilievo ulteriore. L’articolo 33, paragrafo 5, GDPR impone al titolare di documentare le violazioni, comprese le circostanze, le conseguenze e i provvedimenti adottati, in modo da consentire all’autorità di controllo di verificare il rispetto della disposizione. Anche la decisione di non notificare una violazione deve poggiare su una valutazione del rischio giuridicamente corretta e documentabile. Questi aspetti richiedono procedure che consentano di ricostruire tempestivamente le informazioni disponibili, le decisioni assunte e gli interventi eseguiti.

Il controllo delle evidenze non può essere affidato esclusivamente alla preparazione iniziale dei documenti. L’articolo 24 richiede il riesame e l’aggiornamento delle misure quando necessario, mentre l’articolo 32 contempla, tra gli elementi rilevanti per la sicurezza, procedure per testare, verificare e valutare regolarmente l’efficacia delle misure tecniche e organizzative. Per l’impresa questo comporta la necessità di individuare responsabilità interne, modalità di verifica e criteri per registrare le non conformità e gli interventi correttivi. La frequenza e l’estensione dei controlli devono essere commisurate ai rischi, senza presumere che un unico calendario di audit sia adatto a tutte le organizzazioni.

Quando è stato designato un DPO, il suo coinvolgimento deve essere coerente con i compiti di informazione, consulenza e sorveglianza previsti dall’articolo 39 GDPR. Le verifiche effettuate, le raccomandazioni formulate e le eventuali segnalazioni alla direzione possono costituire evidenze utili del sistema di controllo. La presenza del DPO non trasferisce però su quest’ultimo la responsabilità generale della conformità, che rimane in capo al titolare del trattamento. L’audit privacy svolto dal DPO deve essere inserito in un’organizzazione nella quale le decisioni e gli interventi necessari siano assunti dai soggetti aziendali competenti.

La documentazione di accountability deve quindi consentire di seguire un percorso verificabile: individuazione del trattamento, valutazione degli obblighi e dei rischi, scelta delle misure, loro applicazione e controllo dei risultati. Se uno di questi passaggi manca, la verifica professionale deve accertare se si tratti di una carenza documentale oppure di un problema sostanziale di conformità. La distinzione incide direttamente sulle attività necessarie per correggere la situazione e sulla capacità dell’impresa di fornire spiegazioni attendibili in caso di controllo.

Responsabilità, controlli e sanzioni: cosa rischia l’azienda che non riesce a dimostrare la conformità GDPR

La mancata capacità di dimostrare il rispetto del GDPR può assumere rilievo anche quando l’impresa ritiene di aver adottato misure adeguate. Il principio di accountability comporta infatti una responsabilità che non si esaurisce nella predisposizione iniziale della documentazione: il titolare deve poter fornire elementi attendibili sull’effettiva applicazione delle disposizioni. L’assenza di evidenze verificabili può rendere difficile dimostrare la correttezza delle decisioni aziendali e, quando integra una violazione degli obblighi normativi, può contribuire a determinare conseguenze sanzionatorie.

La distinzione è particolarmente importante nell’ambito dei controlli del Garante per la protezione dei dati personali. L’autorità dispone, ai sensi dell’articolo 58 GDPR, di poteri di indagine che comprendono la richiesta di informazioni necessarie all’esercizio delle proprie funzioni, l’accesso ai dati personali e alle informazioni pertinenti e lo svolgimento di verifiche. In queste circostanze, l’azienda può essere chiamata a spiegare come abbia individuato i rischi dei trattamenti, quali misure abbia adottato e attraverso quali controlli ne abbia verificato l’efficacia. Una documentazione incompleta o non corrispondente alla situazione effettiva può ostacolare la ricostruzione delle attività svolte.

Per esempio, quando un’impresa dichiara di aver limitato l’accesso ai dati personali ai soli dipendenti autorizzati, può essere necessario verificare come siano state attribuite le credenziali, chi abbia approvato le autorizzazioni e quali controlli siano stati effettuati nel tempo. Se un dipendente ha cambiato mansione o cessato il rapporto di lavoro, assume rilievo anche la capacità di ricostruire la modifica o la revoca degli accessi. Una procedura scritta non dimostra, da sola, che le autorizzazioni siano state effettivamente gestite secondo quanto previsto.

Le conseguenze giuridiche dipendono dalla violazione concretamente accertata. L’inosservanza dei principi dell’articolo 5 GDPR, compreso il principio di responsabilizzazione, rientra nel regime sanzionatorio dell’articolo 83, paragrafo 5, che prevede, nei casi applicabili, sanzioni amministrative pecuniarie fino a 20 milioni di euro oppure, per le imprese, fino al 4% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore. La violazione degli obblighi previsti dagli articoli 24, 30 e 32, quando ne ricorrono i presupposti, è invece ricompresa nel regime dell’articolo 83, paragrafo 4, con limiti fino a 10 milioni di euro oppure al 2% del fatturato mondiale totale annuo, se superiore. Questi importi costituiscono massimali normativi e non sanzioni automaticamente applicabili a ogni irregolarità documentale.

La determinazione dell’eventuale sanzione richiede una valutazione delle circostanze indicate dall’articolo 83, paragrafo 2, tra cui natura, gravità e durata della violazione, categorie di dati interessate, misure adottate per attenuare il danno, grado di responsabilità del titolare e cooperazione con l’autorità. Non è quindi corretto sostenere che la semplice mancanza di un documento determini necessariamente una sanzione di importo elevato. Occorre accertare quale obbligo sia stato violato, quali conseguenze ne siano derivate e quali elementi siano disponibili per ricostruire la condotta aziendale.

Il problema diventa particolarmente delicato quando l’impresa deve rispondere a una contestazione relativa a trattamenti effettuati in passato. Ricostruire successivamente le ragioni di una decisione può essere difficile se non sono state conservate evidenze delle valutazioni originarie. La predisposizione tardiva di documenti non equivale alla prova che determinate misure fossero già operative nel periodo contestato. In questi casi occorre distinguere le evidenze effettivamente disponibili dagli interventi correttivi realizzati successivamente, evitando ricostruzioni documentali che possano rappresentare in modo inesatto la situazione preesistente.

La responsabilità generale della conformità rimane in capo al titolare del trattamento anche quando l’impresa si avvale di consulenti esterni o ha nominato un responsabile della protezione dei dati. L’affidamento di attività specialistiche non esonera l’organizzazione dall’adottare le decisioni di propria competenza e dal mettere a disposizione le risorse necessarie. Il DPO esercita le funzioni previste dal Regolamento, ma non sostituisce gli amministratori nelle decisioni relative alle finalità, ai mezzi e alle misure del trattamento. Per approfondire questa distinzione è utile considerare le responsabilità del DPO e del titolare del trattamento.

Quando emergono carenze, l’intervento deve partire dalla loro qualificazione. Una cosa è riscontrare l’assenza di una registrazione relativa a un controllo effettivamente svolto; altra situazione è scoprire che il controllo non è mai stato effettuato oppure che una misura di sicurezza prevista non è stata concretamente implementata. Nel primo caso può essere necessario migliorare la tracciabilità delle attività; nel secondo occorre valutare e correggere la carenza sostanziale. Se emergono trattamenti illeciti, violazioni di sicurezza o altri obblighi non rispettati, devono essere esaminate anche le conseguenze specifiche previste dalla normativa.

Per questo motivo un audit privacy aziendale dovrebbe verificare sia la documentazione sia il funzionamento effettivo delle misure, individuando le non conformità e assegnando priorità agli interventi secondo il rischio. L’attività può comprendere l’esame dei documenti, colloqui con i responsabili dei processi, verifiche a campione e riscontri tecnici, nei limiti pertinenti all’organizzazione. Gli esiti devono essere registrati in modo da consentire alla direzione di conoscere le criticità, assumere decisioni e verificare successivamente l’esecuzione delle misure correttive.

Esempio pratico: un’azienda con documentazione GDPR completa ma senza prove dei controlli effettuati

Si consideri il caso ipotetico di una società di servizi che utilizza un gestionale cloud per amministrare i dati dei clienti e dispone di informative, registro dei trattamenti, accordi con i fornitori e procedure interne. Durante una verifica preliminare richiesta dalla direzione emerge che la documentazione descrive correttamente gran parte delle attività, ma non sono disponibili evidenze delle verifiche periodiche sugli accessi al gestionale. Alcuni dipendenti hanno cambiato mansione e l’azienda non riesce a ricostruire con precisione quando siano state modificate le rispettive autorizzazioni.

Una possibile attività di assistenza consiste nell’esaminare la documentazione esistente, confrontarla con la configurazione effettiva degli accessi e ricostruire, nei limiti consentiti dalle informazioni disponibili, le operazioni effettuate. L’aspetto più delicato è distinguere ciò che può essere comprovato da quanto risulta soltanto dichiarato nelle procedure. Sulla base delle criticità riscontrate, l’impresa può definire responsabilità per l’approvazione e la revoca delle autorizzazioni, modalità di registrazione delle verifiche e controlli periodici proporzionati ai rischi. La documentazione viene quindi aggiornata per rappresentare il sistema effettivamente adottato, senza attribuire retroattivamente ai controlli una data o un contenuto che non possono essere dimostrati.

Domande frequenti sull’accountability GDPR e sulla prova della conformità aziendale

Un’azienda può essere conforme al GDPR anche senza avere documentato tutte le verifiche effettuate?

La mancanza di una registrazione non dimostra automaticamente che il controllo non sia stato eseguito. Può però rendere difficile provarne lo svolgimento e l’efficacia. Occorre distinguere gli obblighi documentali espressamente previsti dal GDPR dalle evidenze che risultano opportune per dimostrare l’applicazione delle misure adottate. La valutazione dipende dal trattamento, dai rischi e dalle circostanze concrete.

È sufficiente una dichiarazione del consulente privacy per dimostrare che l’azienda è in regola?

No. Una relazione professionale può documentare le verifiche effettuate e le relative risultanze, ma non sostituisce l’adempimento degli obblighi del titolare. L’azienda deve poter dimostrare che le misure indicate siano state concretamente adottate e, quando necessario, controllate e aggiornate. Anche un eventuale audit favorevole deve essere valutato considerando il suo oggetto, la metodologia utilizzata e i limiti delle verifiche.

Per quanto tempo devono essere conservate le prove della conformità GDPR?

Non esiste un termine unico di conservazione applicabile a tutte le evidenze di accountability. Alcuni documenti sono soggetti a disposizioni specifiche, mentre per altri occorre stabilire tempi proporzionati alla finalità documentale, agli obblighi applicabili e all’eventuale necessità di tutelare i diritti dell’impresa. La conservazione deve rispettare il principio di limitazione previsto dall’articolo 5 GDPR, evitando di mantenere dati personali oltre quanto necessario.

Che cosa deve fare un’azienda quando scopre di non poter dimostrare alcuni adempimenti GDPR?

È opportuno verificare quali evidenze siano effettivamente disponibili e accertare se la carenza riguardi soltanto la documentazione oppure anche l’applicazione delle misure. Le criticità devono essere valutate secondo il rischio, individuando gli interventi correttivi e documentandone l’esecuzione. Non è corretto predisporre retroattivamente registrazioni che attestino attività mai svolte. Se emergono violazioni della normativa, occorre esaminare gli ulteriori obblighi eventualmente applicabili.

Quando conviene richiedere una verifica professionale dell’accountability GDPR?

Una verifica esterna può essere opportuna quando l’azienda non dispone di evidenze attendibili dei controlli, ha modificato processi o sistemi informatici senza riesaminare la documentazione oppure deve rispondere a richieste di clienti, committenti o autorità. L’intervento è particolarmente utile quando occorre distinguere le irregolarità formali dalle carenze sostanziali e definire un programma di adeguamento coerente con i rischi effettivi.

Accountability GDPR: richiedi una valutazione della conformità documentale e organizzativa della tua azienda

Se la tua azienda dispone di documentazione privacy ma non è certa di poter dimostrare l’effettiva applicazione delle misure previste, possiamo esaminare la situazione sotto il profilo giuridico e organizzativo. Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, assiste le imprese nella verifica degli obblighi GDPR, nell’individuazione delle carenze documentali e nella valutazione degli interventi necessari per rendere verificabile il sistema di gestione della privacy.

Ogni valutazione deve considerare i trattamenti effettivamente svolti, le responsabilità aziendali, i controlli disponibili e gli eventuali rischi di contestazione. Per sottoporre il caso allo Studio, richiedi una valutazione della conformità GDPR della tua azienda attraverso il modulo dedicato. Esamineremo la richiesta per individuare le possibili modalità di assistenza professionale.