Risposta breve
Per un gruppo aziendale, la semplice nomina di un responsabile della protezione dei dati in possesso delle competenze necessarie non è sufficiente. È necessaria un’organizzazione solida della funzione di responsabile della protezione dei dati.
Tra questi figurano, in particolare, un ambito di applicazione chiaramente definito, risorse umane adeguate, un sistema di sostituzione regolamentato, referenti locali, canali di comunicazione definiti, un piano di verifica e audit, un reporting gestionale periodico, raccomandazioni documentate, procedure di escalation regolamentate e un canale di comunicazione affidabile con le autorità di vigilanza competenti.
La nomina stabilisce chi ricopre la carica. Il modello operativo disciplina le modalità con cui tale carica può essere efficacemente esercitata all’interno del gruppo aziendale.
La nomina del responsabile della protezione dei dati come punto di partenza
La nomina o la designazione di un responsabile della protezione dei dati è innanzitutto un atto formale e giuridico. Essa risponde alla domanda su chi ricopra la funzione prevista dalla legge.
Ciò non definisce tuttavia ancora in che modo tale funzione venga integrata nell’attività operativa di un gruppo aziendale. In particolare, occorre chiarire in che modo il responsabile della protezione dei dati venga informato in merito a nuovi progetti e operazioni di trattamento critiche, quali società e sedi rientrino nel mandato e quali referenti locali lo supportino.
Sono regolarmente necessarie ulteriori disposizioni in materia di rappresentanza, definizione delle priorità delle valutazioni d’impatto sulla protezione dei dati, reclami, audit e incidenti relativi alla protezione dei dati, nonché per la rendicontazione alla direzione aziendale. Inoltre, dovrebbe essere possibile documentare in modo tracciabile se e in quale momento il responsabile della protezione dei dati sia stato coinvolto in una procedura.
Queste questioni organizzative non trovano solitamente risposta nell'atto di nomina. Esse sono oggetto di un modello operativo separato.
Caratteristiche specifiche di un incarico DSB all’interno di un gruppo aziendale
Nelle aziende di piccole dimensioni, una singola persona può avere una visione d’insieme diretta di una parte significativa delle operazioni rilevanti ai fini della protezione dei dati. In un gruppo, invece, vi sono solitamente diverse società, paesi, settori di attività e livelli dirigenziali, ciascuno dei quali prende le proprie decisioni.
Le responsabilità sono ripartite, i sistemi e i flussi di dati si sovrappongono e le esigenze locali si scontrano con le linee guida centrali. I progetti vengono spesso pianificati e realizzati in parallelo.
In particolare, occorre tenere conto di quanto segue:
- modelli di business diversi,
- profili di rischio diversi tra loro,
- trasferimenti internazionali di dati,
- sistemi informatici gestiti a livello centrale,
- processi locali nell'ambito delle risorse umane,
- fornitori di servizi condivisi,
- esistente Conformità- e funzioni relative alla sicurezza delle informazioni,
- diverse autorità di vigilanza competenti,
- requisiti normativi specifici del settore.
Una funzione DSB deve essere in grado di rappresentare adeguatamente tale complessità organizzativa e tecnica.
Pertanto, spesso non è sufficiente limitarsi ad estendere a un numero maggiore di società un servizio di consulenza previsto per una singola impresa. Sono invece necessarie strutture, ruoli, capacità e procedure operative ben definite.
Responsabile della protezione dei dati comune o esterno per un gruppo di società
Il GDPR prevede che un gruppo di società possa nominare un responsabile della protezione dei dati comune, a condizione che quest’ultimo sia facilmente raggiungibile da ogni sede.
La funzione può essere esercitata internamente oppure esternamente sulla base di un contratto di prestazione di servizi. Di conseguenza, un responsabile della protezione dei dati esterno o operante a livello di gruppo può, in linea di principio, essere preso in considerazione anche per gruppi aziendali di grandi dimensioni.
Ciò che conta è il modo in cui la funzione viene organizzata, affinché rimanga accessibile, indipendente ed efficace nonostante le dimensioni del gruppo aziendale.
A tal proposito, occorre stabilire in modo univoco a quali società si applica la nomina, quali entità giuridiche sono incluse nel mandato e in che modo vengono prese in considerazione le specificità locali. Un organigramma a livello di gruppo non sostituisce una definizione sufficientemente precisa del mandato.
Requisiti nelle procedure di selezione e di gara d'appalto
Quando scelgono un responsabile esterno della protezione dei dati, le grandi aziende spesso non si limitano a valutare la sua formazione, le sue certificazioni e la sua esperienza professionale. È importante anche verificare se il fornitore sia in grado di ricoprire tale ruolo in modo continuativo, sia dal punto di vista organizzativo che del personale.
Le domande tipiche presenti nei bandi di gara riguardano:
- il protagonista, il cui nome è indicato espressamente,
- Disposizioni in materia di sostituzione e backup,
- capacità disponibili,
- tempi di risposta concordati,
- Conoscenza del settore,
- copertura internazionale,
- Competenze linguistiche,
- Assistenza durante gli audit,
- Comunicazione con le autorità di vigilanza,
- Gestione degli incidenti relativi alla protezione dei dati,
- Assistenza nella realizzazione di valutazioni d'impatto sulla protezione dei dati,
- riunioni periodiche di coordinamento,
- Relazioni alla direzione,
- Percorsi di escalation,
- software utilizzato,
- Documentazione e la documentazione,
- Modelli di prezzo e di prestazioni.
Dietro queste domande si cela la verifica se sia disponibile solo un singolo esperto o un’organizzazione per la protezione dei dati in grado di operare in modo continuativo.
Requisiti di competenza professionale
Un modello operativo non può sostituire le competenze specialistiche richieste al responsabile della protezione dei dati.
Il responsabile della protezione dei dati deve comprendere gli aspetti giuridici, tecnici e organizzativi dei trattamenti in questione. Deve valutare i rischi, formulare raccomandazioni, effettuare controlli e fungere da referente per Parti interessate e alle autorità di vigilanza.
All’interno di un gruppo aziendale, tuttavia, le conoscenze generali in materia di protezione dei dati potrebbero non essere sempre sufficienti. A seconda del modello di business e delle attività di trattamento, potrebbero essere necessarie competenze aggiuntive, in particolare nei seguenti ambiti:
- Protezione dei dati dei dipendenti,
- Nuvola- e architetture di piattaforma,
- trasferimenti internazionali di dati,
- cybersecurity,
- Marketing e Tracciamento,
- Elaborazione da Dati sulla salute,
- Processi finanziari e assicurativi,
- Settore automobilistico,
- Logistica,
- produzione industriale,
- intelligenza artificiale,
- flussi di dati all'interno del gruppo.
Un modello DSB efficace dovrebbe quindi combinare le competenze personali del responsabile della protezione dei dati designato con la possibilità di avvalersi di ulteriori specialisti.
Il responsabile Il responsabile della protezione dei dati non deve occuparsi da solo di ogni questione tecnica o specifica del settore. Dovrebbe tuttavia essere in grado di valutare quali competenze aggiuntive siano necessarie e di coinvolgerle tempestivamente.
I sei elementi fondamentali di un modello operativo resiliente per il DSB
1. Mandato e ambito di applicazione
All'inizio del mandato occorre definire quali entità giuridiche, sedi e attività siano oggetto della presente valutazione.
In particolare, occorre tenere conto di quanto segue:
- società coinvolte,
- Paesi e sedi,
- Ruoli in qualità di titolare del trattamento o responsabile del trattamento,
- processi centrali e locali,
- requisiti normativi specifici,
- ruoli locali già esistenti in materia di protezione dei dati,
- Interfacce con l'ufficio legale, Conformità e la sicurezza delle informazioni.
In assenza di una chiara delimitazione, all’interno di un gruppo aziendale possono sorgere competenze poco chiare o sovrapposte.
Pertanto, una funzione centrale incaricata della protezione dei dati può ritenersi responsabile di una controllata, mentre la controllata può designare un referente locale come responsabile Ruolo nell'ambito dell'organizzazione responsabile della protezione dei dati. Di conseguenza, sussiste il rischio che le operazioni critiche non vengano elaborate o lo siano in ritardo.
Un mandato efficace deve quindi essere sufficientemente preciso dal punto di vista giuridico e comprensibile dal punto di vista operativo per le unità organizzative interessate.
Ogni unità coinvolta dovrebbe in particolare sapere che:
- chi è stato nominato responsabile della protezione dei dati,
- come si possa raggiungere tale obiettivo,
- per quali operazioni è necessario un coinvolgimento,
- quali informazioni devono essere fornite ai fini della verifica,
- chi decide in merito all'attuazione delle sue raccomandazioni.
2. Modello di capacità e competenze
La portata dell'incarico deve riflettersi nelle risorse umane e tecniche messe a disposizione.
Un gruppo aziendale composto da numerose società, con diverse migliaia di dipendenti e processi produttivi complessi, non può di norma essere gestito in modo adeguato con un impegno minimo e forfettario.
La pianificazione della capacità può basarsi, in particolare, sui seguenti criteri:
- Numero e dimensioni delle società incluse,
- Numero di dipendenti,
- Rischi connessi alle operazioni di trattamento,
- Numero e portata dei progetti in corso,
- Volume delle richieste relative alla protezione dei dati,
- Numero di incidenti relativi alla protezione dei dati,
- Ampiezza del panorama dei fornitori di servizi,
- attività internazionale,
- quadro normativo,
- Livello di maturità dell'attuale struttura organizzativa per la protezione dei dati.
Non è determinante esclusivamente il numero di giorni di consulenza concordati. Occorre inoltre stabilire quali competenze specialistiche siano effettivamente disponibili nell’ambito dell’incarico.
Un modello sostenibile può comprendere, ad esempio, i seguenti ruoli:
- Responsabile DSB,
- vice designato,
- Giuristi specializzati in protezione dei dati,
- esperti tecnici in materia di protezione dei dati,
- Audit-specialisti,
- Esperti del settore,
- consulente operativo in materia di protezione dei dati,
- Supporto per la gestione della piattaforma e la reportistica.
Una struttura di questo tipo consente di evitare che l'intero mandato venga Disponibilità dipende da una singola persona.
3. Disponibilità, sostituzione e coinvolgimento a livello locale
Un gruppo aziendale ha bisogno di referenti chiaramente identificati e raggiungibili.
Il responsabile principale della protezione dei dati (DSB) dovrebbe essere visibile e raggiungibile all’interno dell’organizzazione. Allo stesso tempo, occorre prevedere una sostituzione affidabile. Ferie, malattia o eventi critici concomitanti non devono comportare l’impossibilità temporanea di svolgere tale funzione.
Un modello solido dovrebbe quindi disciplinare in particolare:
- la figura del responsabile principale della protezione dei dati,
- almeno un rappresentante designato in via vincolante,
- Tempi di reazione,
- Poteri in caso di rappresentanza,
- coordinatori locali per la protezione dei dati,
- Canali di comunicazione,
- punti di contatto centralizzati per le richieste,
- Accessibilità per i dipendenti e Parti interessate.
I coordinatori locali per la protezione dei dati non sostituiscono il responsabile della protezione dei dati. Possono tuttavia contribuire in modo significativo a garantire che le informazioni provenienti dai dipartimenti specialistici gli vengano trasmesse tempestivamente.
Conoscono bene i processi, i progetti e i referenti locali, sono in grado di preparare le informazioni e di monitorare l'attuazione delle misure concordate.
È fondamentale che vi sia una chiara delimitazione dei ruoli. Il coordinatore locale supporta l’organizzazione responsabile della protezione dei dati. Il responsabile della protezione dei dati fornisce consulenza e svolge attività di controllo. Gli organi competenti e la direzione prendono le decisioni necessarie e si assumono la responsabilità della loro attuazione.
4. Flussi operativi e processi di assistenza
Un incarico DSB non dovrebbe limitarsi a rispondere esclusivamente alle singole richieste in arrivo. Sono necessari processi operativi ricorrenti e orientati al rischio.
Tra questi possono figurare:
- scadenze di verifica settimanali o mensili,
- coordinamento regolare con l’ufficio legale e quello per la sicurezza delle informazioni,
- Valutazione di nuovi progetti,
- Assistenza nella realizzazione delle valutazioni d'impatto sulla protezione dei dati,
- Verifica delle attività di trattamento critiche,
- Consulenza in materia di trattamento dei dati per conto di terzi,
- Assistenza nella gestione dei diritti degli interessati,
- Gestione degli incidenti relativi alla protezione dei dati,
- Verifica dei trasferimenti internazionali di dati,
- controlli periodici,
- Formazione e Consapevolezza-Misure.
La frequenza dovrebbe essere determinata in base al rischio specifico e all’urgenza. Un incidente critico relativo alla protezione dei dati non può essere rinviato fino alla consueta riunione mensile. Una revisione strategica dell’organizzazione della protezione dei dati, invece, non deve necessariamente avvenire a intervalli brevi.
Il mandato dovrebbe quindi prevedere diverse modalità di elaborazione, ad esempio per:
- il funzionamento normale,
- richieste di consulenza prioritarie,
- escalation critiche,
- il supporto in caso di incidenti relativi alla protezione dei dati,
- la comunicazione con le autorità di vigilanza.
Una descrizione del servizio sufficientemente concreta permette di comprendere quale iter di elaborazione sia previsto per ogni tipo di pratica.
5. Controllo, audit e rendicontazione
Tra i compiti del responsabile della protezione dei dati rientrano, oltre alla consulenza, anche il controllo del rispetto dei requisiti previsti dalla normativa sulla protezione dei dati e delle linee guida interne in materia.
A tal fine, è opportuno prevedere un piano di revisione strutturato e orientato al rischio.
Un piano di audit può prendere in considerazione, in particolare, i seguenti ambiti:
- attività di lavorazione particolarmente rischiose,
- categorie particolari di dati personali,
- flussi internazionali di dati,
- sistemi informatici centrali,
- Dati sui dipendenti,
- Processi di marketing,
- Piani di estinzione,
- Responsabile del trattamento,
- Modelli di autorizzazione,
- Applicazioni dell'intelligenza artificiale,
- punti deboli ricorrenti.
I risultati degli audit non dovrebbero essere documentati in modo isolato. Da essi occorre ricavare regolarmente misure concrete. Per tali misure si dovrebbe Persone responsabili e devono essere stabiliti termini e scadenze, nonché previsto un sistema di monitoraggio. Eventuali scostamenti critici devono essere segnalati ai livelli superiori, se necessario.
Lo stesso vale per il sistema di rendicontazione.
Una relazione di gestione non dovrebbe limitarsi a elencare le richieste evase. Dovrebbe consentire alla direzione, in particolare, di ottenere una sintesi dei seguenti punti:
- rischi significativi in materia di protezione dei dati,
- misure critiche in sospeso,
- decisioni in ritardo,
- valutazioni d'impatto sulla protezione dei dati in corso,
- incidenti rilevanti in materia di protezione dei dati,
- principali risultati dell'audit,
- punti deboli ricorrenti,
- le escalation verificatesi,
- Variazioni rispetto al periodo di riferimento precedente.
La direzione non necessita, di norma, di una descrizione completa di tutti i singoli casi. È invece necessaria una panoramica attendibile dei rischi, delle decisioni in sospeso e delle azioni da intraprendere.
6. Escalation e comunicazione con le autorità di vigilanza
Il responsabile della protezione dei dati deve poter svolgere i propri compiti in modo indipendente. Ciò implica che le raccomandazioni critiche non vengano ignorate nell’ambito dei processi di coordinamento operativo.
Un modello operativo solido dovrebbe in particolare definire:
- quando un processo deve essere classificato come critico,
- quali enti devono essere informati in primo luogo,
- a quali condizioni si procede a un’escalation verso la direzione,
- come vengono documentate le raccomandazioni del responsabile della protezione dei dati,
- come vengono registrate le decisioni divergenti,
- come vengono gestiti gli incidenti urgenti,
- chi coordina la comunicazione con le autorità di vigilanza.
Ciò è particolarmente rilevante quando la responsabile Non dia seguito a una raccomandazione del garante della protezione dei dati.
Il responsabile della protezione dei dati, di norma, non prende autonomamente le decisioni operative. I titolari del trattamento possono giungere a una valutazione diversa dopo aver effettuato una propria verifica. In tal caso, tuttavia, occorre documentare in modo comprensibile:
- quale raccomandazione è stata formulata,
- su quali fatti si basasse,
- quali rischi sono stati individuati,
- chi ha preso la decisione diversa,
- quali misure alternative o integrative siano state previste.
Una decisione diversa, documentata, va valutata dal punto di vista organizzativo in modo diverso rispetto a una raccomandazione che, senza un’analisi evidente, viene ignorata.
Relazione tra reporting e supporto software
Un modello operativo DSB, se applicato a un ambito di applicazione esteso, non può di norma basarsi in modo permanente e esclusivo su e-mail, fogli di calcolo e appunti personali.
Con l'aumentare delle dimensioni dell'incarico, cresce il rischio che le informazioni vengano distribuite su sistemi diversi, non vengano aggiornate in modo uniforme o non possano più essere ricostruite integralmente in un secondo momento.
Una piattaforma adeguata dovrebbe quindi andare oltre la semplice tenuta di un registro delle attività di trattamento e supportare l’attività corrente della funzione del responsabile della protezione dei dati.
A tal fine possono rientrare, in particolare, le seguenti funzioni:
- registrazione strutturata delle richieste,
- Assegnazione a società e responsabili,
- Documentazione dalle valutazioni sulla protezione dei dati,
- Gestione dei rischi e delle misure,
- Rappresentazione delle valutazioni d'impatto sulla protezione dei dati,
- Scadenze e riammenaggi,
- Documentazione delle raccomandazioni del garante della protezione dei dati,
- Registrazione delle decisioni prese,
- Gestione dei risultati degli audit,
- Archiviazione dei documenti giustificativi,
- Redazione di rapporti di gestione,
- Documentazione di escalation.
Di particolare importanza è il collegamento tra le singole informazioni.
Un’attività di trattamento può riguardare, ad esempio, un sistema, un fornitore di servizi, un Valutazione d'impatto sulla protezione dei dati, a un rischio e a una misura da esso derivante. Una raccomandazione del responsabile della protezione dei dati non viene quindi documentata esclusivamente in un’e-mail, ma rimane collegata alla pratica di riferimento.
Ciò può facilitare la gestione delle operazioni e, al contempo, migliorare la tracciabilità dell'organizzazione in materia di protezione dei dati.
Indicatori adeguati per un incarico DSB
Nel definire gli indicatori per una funzione DSB, occorre tenere presente che non tutti i parametri facilmente misurabili consentono di trarre conclusioni attendibili sull’efficacia della funzione.
Il numero di e-mail a cui è stata data risposta non consente, di norma, una valutazione affidabile della qualità della consulenza e dei controlli. Anche un numero esiguo di incidenti relativi alla protezione dei dati segnalati non è da considerarsi automaticamente positivo, poiché può indicare, al contrario, l’insufficienza delle procedure di segnalazione.
Sono più indicati gli indicatori che mettono in evidenza i rischi, lo stato di avanzamento delle attività e le esigenze di controllo.
Tra questi figurano, ad esempio:
- Numero di misure critiche in sospeso,
- Numero di misure in ritardo,
- tempo medio di elaborazione per livello di priorità,
- Numero di valutazioni d'impatto sulla protezione dei dati in corso,
- Periodo fino al coinvolgimento del responsabile della protezione dei dati,
- Percentuale di elaborazioni ad alto rischio verificate entro i termini previsti,
- riscontri ricorrenti emersi dagli audit,
- Stato di attuazione delle raccomandazioni critiche,
- Numero e tipo di escalation effettuate,
- richieste in sospeso da parte delle persone interessate,
- Completezza della documentazione centrale in materia di protezione dei dati.
Gli indicatori di prestazione non devono ridurre l'attività indipendente del responsabile della protezione dei dati alla produttività di un sistema di gestione dei ticket. Ciò che conta non è chiudere il maggior numero possibile di pratiche nel minor tempo possibile.
Gli indicatori dovrebbero piuttosto consentire di verificare se l’organizzazione responsabile della protezione dei dati individua i rischi significativi, li classifica in ordine di priorità e li gestisce in modo adeguato.
L'importanza della conoscenza del settore
I requisiti in materia di protezione dei dati si applicano a tutti i settori. La loro attuazione pratica può tuttavia variare notevolmente a seconda del modello di business, delle finalità del trattamento e del contesto normativo.
Il responsabile della protezione dei dati di un’azienda industriale deve comprendere processi e rischi diversi rispetto a quelli di un responsabile della protezione dei dati di una banca, di un operatore sanitario o di un rivenditore online.
Le conoscenze del settore possono risultare particolarmente rilevanti per:
- la valutazione dei rischi tipici legati alla lavorazione,
- la definizione delle priorità degli esami,
- la classificazione dei processi aziendali consolidati,
- la comprensione dei sistemi tecnici,
- la comunicazione con i dipartimenti specializzati,
- la considerazione delle sovrapposizioni normative,
- lo sviluppo di misure concretamente applicabili.
Se il responsabile della protezione dei dati non conosce a sufficienza il modello di business, sussiste il rischio che raccomandazioni giuridicamente fondate non possano essere attuate nel contesto aziendale specifico, oppure possano esserlo solo con uno sforzo sproporzionato.
La competenza professionale si manifesta quindi anche nella capacità di illustrare con precisione i rischi e di indicare, tenendo conto dei rispettivi processi aziendali, soluzioni concrete per garantire un funzionamento conforme alle norme sulla protezione dei dati.
Coinvolgimento del responsabile esterno della protezione dei dati nella gestione degli incidenti
In caso di incidente relativo alla protezione dei dati, occorre rispettare tempi di elaborazione e di decisione generalmente brevi. È quindi opportuno che un responsabile esterno della protezione dei dati venga coinvolto sin dall’inizio nel modello di gestione degli incidenti dell’azienda.
In particolare, occorre chiarire quanto segue:
- come viene allertato il responsabile della protezione dei dati,
- quali informazioni gli vengono fornite,
- chi coordina l'accertamento dei fatti,
- chi valuta l'eventuale obbligo di segnalazione,
- chi documenta la decisione presa,
- chi con la Autorità di vigilanza comunicato,
- chi, se del caso colpiti ha informato le persone,
- che misure tecniche e organizzative coordinato.
Il garante della protezione dei dati fornisce consulenza e vigila sugli organismi competenti.
In assenza di una chiara ripartizione dei compiti, non dovrebbe assumere contemporaneamente la direzione operativa dell’incidente, la decisione giuridica, l’indagine tecnica e il controllo indipendente. Proprio nella gestione degli incidenti relativi alla protezione dei dati, i rispettivi ruoli e responsabilità devono essere chiaramente distinti gli uni dagli altri.
Un mandato solido definisce tali interfacce già prima che si verifichi il primo incidente.
Criteri di valutazione per la scelta di un responsabile esterno della protezione dei dati
Nella scelta di un responsabile della protezione dei dati esterno, un gruppo aziendale dovrebbe valutare, oltre ai curriculum e alle tariffe, anche il modello operativo previsto.
Mandato
- Quali società, paesi e sedi possono essere inclusi?
- Come viene documentato l'ambito di applicazione?
- In che modo vengono prese in considerazione le peculiarità locali?
Persone e competenze
- Chi viene nominato personalmente responsabile della protezione dei dati?
- Chi si occuperà della sostituzione?
- Quali specialisti sono disponibili?
- Come viene garantita la continuità in caso di avvicendamento del personale?
Capacità
- Quali risorse umane sono previste in modo vincolante?
- Come vengono gestiti i picchi di carico temporanei?
- Quali sono i tempi di risposta previsti?
- Come vengono rappresentati i costi effettivamente sostenuti?
Funzionamento operativo
- Quali sono le scadenze periodiche previste per le votazioni?
- Come vengono presentate, valutate e classificate per priorità le richieste?
- Come vengono gestite le valutazioni d'impatto sulla protezione dei dati, gli audit e gli incidenti relativi alla protezione dei dati?
- Quali sono le vie di escalation?
Reportistica
- Quali rapporti riceve la direzione?
- Come vengono illustrati i rischi e le misure da adottare?
- Come vengono documentate le raccomandazioni e le decisioni divergenti?
Tecnologia
- Quale software viene utilizzato?
- È possibile rappresentare separatamente società, ruoli e processi?
- Sono Audit Sono disponibili funzioni di tracciamento, gestione delle attività, scadenze e opzioni di esportazione?
- Il cliente mantiene l'accesso ai propri dati e alla propria documentazione?
Comunicazione con le autorità di vigilanza
- Quali esperienze si sono maturate nei rapporti con le autorità di vigilanza?
- Chi si occupa di quali aspetti della comunicazione?
- Come vengono coordinate le richieste e le prese di posizione?
- In quali circostanze viene coinvolta la direzione?
Prezzo e servizi inclusi
- Quali servizi sono inclusi nel mandato di base?
- Quali attività vengono fatturate separatamente?
- Come vengono gestiti i progetti e gli esami straordinari?
- Quali capacità vengono garantite in via vincolante?
- Come è possibile adeguare la gamma di servizi in caso di variazioni delle esigenze?
Criteri per una valutazione critica dell'offerta
Un'offerta dovrebbe essere esaminata più attentamente se:
- non venga designata alcuna persona specifica come responsabile principale della protezione dei dati,
- le norme in materia di sostituzione siano descritte solo a titolo indicativo,
- l'ambito dei servizi sia definito esclusivamente in base al numero di ore,
- non è prevista alcuna logica di escalation,
- manca un reporting gestionale regolare,
- gli audit vengono effettuati esclusivamente su richiesta specifica,
- non strutturata Documentazione oppure sia previsto un software adeguato,
- i tempi di reazione non vengono stabiliti,
- non ci sono specialisti disponibili,
- la comunicazione con le autorità di vigilanza non è regolamentata,
- i servizi aggiuntivi essenziali non siano descritti in modo chiaro,
- vengono offerti mandati di ampia portata con capacità palesemente limitate.
Nella scelta si può tenere conto di un prezzo contenuto. Tuttavia, questo è significativo solo se vengono effettivamente garantiti i servizi, le capacità e la reattività necessari per l’incarico.
Supporto al modello operativo da parte di Ailance, responsabile esterno della protezione dei dati
Ailance Externer DSB è in grado di integrare l’attività professionale del responsabile della protezione dei dati con una piattaforma strutturata dedicata al lavoro e alla rendicontazione.
Il software non sostituisce né lo svolgimento delle mansioni né la responsabilità personale del responsabile della protezione dei dati. Può tuttavia contribuire a rappresentare il suo coinvolgimento, le sue raccomandazioni, le sue verifiche e le misure che ne derivano all’interno dell’organizzazione aziendale.
Tramite la piattaforma è possibile gestire, tra l’altro, le seguenti informazioni e procedure:
- Società e ambiti di applicazione,
- Referenti e responsabili della protezione dei dati,
- Richieste al responsabile della protezione dei dati,
- Attività di trattamento,
- Valutazioni d'impatto sulla protezione dei dati,
- Rischi e misure,
- Verifiche e piani di audit,
- Incidenti relativi alla protezione dei dati,
- Prese di posizione,
- Approvazioni e decisioni,
- Scadenze e riammenaggi,
- Relazioni sulla gestione,
- Escalazioni.
Il responsabile esterno della protezione dei dati può così collaborare con la direzione, i reparti specialistici e i referenti locali nell'ambito di un processo di governance documentato.
È possibile fornire al gruppo aziendale una panoramica centralizzata dalla quale risultino in particolare:
- quali operazioni sono ancora in sospeso,
- laddove sussistono rischi critici,
- quali misure sono in ritardo,
- quali società hanno bisogno di ulteriore sostegno,
- quali raccomandazioni sono state formulate,
- quali decisioni sono ancora in sospeso,
- in quali casi è necessario l'intervento della direzione.
In questo modo, la piattaforma può Trasparenza e favorire la trasparenza dell’attività del responsabile della protezione dei dati, senza compromettere l’indipendenza del responsabile della protezione dei dati prevista dalla legge.
Distinzione tra contratto e modello operativo
Un contratto di prestazione di servizi stabilisce se e a quali condizioni un fornitore eroga determinati servizi. Il piano operativo descrive invece come viene effettivamente esercitata la funzione DSB all’interno del gruppo aziendale.
Un contratto contiene in genere disposizioni relative a:
- Descrizione delle prestazioni,
- Retribuzione,
- Durata,
- Responsabilità civile,
- Disdetta,
- Riservatezza.
Il piano operativo integra in particolare le disposizioni relative a:
- Ruoli e responsabilità,
- Ambito di applicazione,
- Capacità,
- Sostituzione,
- canali di comunicazione,
- consultazioni periodiche,
- Pianificazione dell'audit,
- Indicatori chiave,
- Reportistica,
- Percorsi di escalation,
- Processi relativi agli incidenti,
- Comunicazione con le autorità,
- Assistenza tecnica.
Entrambi i livelli di regolamentazione sono importanti per garantire un mandato solido.
In assenza di un modello operativo sufficientemente concreto, possono sorgere aspettative divergenti tra il committente e il fornitore. Il committente potrebbe ritenere di aver commissionato una funzione completa di responsabile della protezione dei dati, mentre il fornitore interpreta l'incarico come un servizio di consulenza a tempo determinato.
Spesso tali differenze diventano evidenti solo durante il funzionamento o nel corso di un’operazione critica.
Elementi fondamentali di un mandato per un gruppo societario
Un mandato di gruppo solido dovrebbe comprendere almeno i seguenti elementi:
Responsabile DSB
Persona designata personalmente come responsabile dell'esercizio della funzione.
Sostituzione
Rappresentante debitamente autorizzato con accesso alle informazioni necessarie per l'incarico.
Team di esperti
Assistenza legale, tecnica e settoriale a disposizione.
Coordinamento regolare
Appuntamenti fissati con un ordine del giorno definito e il monitoraggio delle misure concordate.
Piano di audit
Verifiche orientate al rischio che coinvolgono società, sedi e aree tematiche.
KPI e reporting gestionale
Panoramica sintetica dei principali rischi, delle misure, delle scadenze e degli sviluppi.
Escalation degli incidenti
Procedura definita per incidenti relativi alla protezione dei dati urgenti o particolarmente rischiosi.
Comunicazione con le autorità
Collaborazione sistematica con le autorità di vigilanza competenti.
Se uno di questi elementi dovesse mancare, occorre verificare attraverso quale altra disposizione organizzativa venga garantita la rispettiva funzione.
Domande di verifica relative ai mandati DSB in corso
Nel corso della verifica di un contratto esistente o di un modello operativo, è possibile prendere in considerazione in particolare le seguenti domande:
- Chi sostituisce il responsabile della protezione dei dati?
- Quali società rientrano concretamente nell'ambito del mandato?
- Qual è il tempo di reazione previsto in caso di incidente critico relativo alla protezione dei dati?
- Quali audit sono previsti per l'anno in corso?
- Quali rischi relativi alla protezione dei dati vengono segnalati alla direzione aziendale?
- Come vengono documentate le raccomandazioni e le decisioni divergenti?
- Quale piattaforma viene utilizzata per gestire le azioni in sospeso, le scadenze e le escalation?
Se non è possibile rispondere a queste domande sulla base della documentazione esistente, occorre verificare se, oltre al contratto, sia disponibile un piano operativo sufficientemente concreto.
Conclusione
La nomina di un responsabile della protezione dei dati a livello di gruppo istituisce la funzione prevista dalla legge. Tuttavia, di per sé, ciò non garantisce che tale funzione possa essere esercitata in modo efficace all’interno di un gruppo aziendale complesso.
A tal fine sono necessari, in particolare:
- un ambito di applicazione chiaramente definito,
- risorse umane adeguate,
- Competenza tecnica e settoriale,
- una regolamentazione vincolante in materia di rappresentanza,
- coinvolgimento locale,
- processi operativi regolari,
- un piano di audit basato sul rischio,
- Reportistica gestionale,
- raccomandazioni documentate,
- procedure di escalation ben definite,
- una comunicazione ufficiale prestabilita,
- un supporto tecnico adeguato.
Nella scelta di un responsabile esterno della protezione dei dati, le aziende di grandi dimensioni dovrebbero quindi considerare, oltre alle competenze professionali personali, anche la Disponibilità, verificare la continuità, la verificabilità e l'assetto organizzativo del modello di servizio previsto.
Ciò che conta è se, al di là del contratto, il mandato si basi su un modello operativo comprensibile e solido.
Domande e risposte
Le società del gruppo possono nominare un responsabile della protezione dei dati comune?
Un gruppo aziendale può, secondo la GDPR nominare un responsabile della protezione dei dati comune, a condizione che sia facilmente raggiungibile da ogni sede. A tal proposito, è opportuno definire in modo chiaro l'ambito di competenza, l'accessibilità e il rispetto dei requisiti locali.
Un gruppo aziendale può nominare un responsabile della protezione dei dati esterno?
Sì. Le funzioni del responsabile della protezione dei dati possono essere svolte esternamente sulla base di un contratto di prestazione di servizi. Le dimensioni del gruppo aziendale non costituiscono in linea di principio un ostacolo, ma richiedono un modello operativo che tenga adeguatamente conto della portata e della complessità dell’incarico.
Quali requisiti deve soddisfare un responsabile esterno della protezione dei dati per un gruppo aziendale?
Oltre alle competenze tecniche necessarie, sono particolarmente importanti capacità adeguate, la disponibilità di personale sostitutivo, la reperibilità, la conoscenza del settore, processi di assistenza ben definiti, Audit-Assistenza, reporting gestionale, gestione degli incidenti relativi alla protezione dei dati e comunicazione regolamentata con le autorità.
Perché non è sufficiente nominare un responsabile della protezione dei dati?
La nomina stabilisce chi ricopre la funzione. Tuttavia, di norma non disciplina le modalità di gestione delle richieste, delle verifiche, degli audit, degli incidenti relativi alla protezione dei dati, delle escalation e delle segnalazioni nell’ambito delle normali attività operative.
Cosa deve contenere un modello operativo DSB?
Un modello operativo del responsabile della protezione dei dati (DSB) comprende, in particolare, il mandato e l’ambito di applicazione, il DSB capofila, la rappresentanza, il team di esperti, i referenti locali, le risorse, gli incontri periodici di coordinamento, il piano di audit, gli indicatori chiave, la rendicontazione, le procedure relative agli incidenti, i canali di escalation e la comunicazione con le autorità.
Un responsabile della protezione dei dati esterno deve essere sempre disponibile?
Il responsabile della protezione dei dati deve garantire, per l'organizzazione, i dipendenti, colpiti Le persone e le autorità di vigilanza devono essere raggiungibili in modo adeguato. Per le operazioni critiche occorre concordare tempi di reazione concreti e regole di sostituzione affidabili.
Quali sono i compiti dei coordinatori locali per la protezione dei dati?
I coordinatori locali per la protezione dei dati possono supportare la funzione del responsabile della protezione dei dati raccogliendo informazioni, indicando i referenti e monitorando l'attuazione delle misure. Essi non sostituiscono il responsabile della protezione dei dati.
Quali indicatori sono adatti per un mandato DSB?
Tra questi figurano, ad esempio, le misure critiche in sospeso, i compiti in arretrato, i tempi di elaborazione in base ai livelli di priorità, le valutazioni d’impatto sulla protezione dei dati in corso, le constatazioni ricorrenti emerse dagli audit e lo stato di avanzamento delle raccomandazioni critiche.
In che modo il responsabile della protezione dei dati dovrebbe riferire alla direzione?
Il reporting dovrebbe in particolare riassumere i rischi significativi, le misure critiche, gli incidenti rilevanti in materia di protezione dei dati, i risultati delle verifiche, le segnalazioni ai livelli superiori e le variazioni rispetto ai periodi di riferimento precedenti.
Perché una piattaforma software può essere rilevante per i responsabili della protezione dei dati esterni?
Una piattaforma può integrare richieste, attività di trattamento, rischi, verifiche, raccomandazioni, misure, scadenze e documentazione. In questo modo è possibile documentare e gestire in modo trasparente l’attività della funzione del responsabile della protezione dei dati all’interno del gruppo aziendale.
Qual è il ruolo di Ailance in relazione al responsabile esterno della protezione dei dati?
Ailance è in grado di favorire una collaborazione strutturata tra il responsabile della protezione dei dati, la direzione, i reparti specialistici e i referenti locali. Attraverso la piattaforma è possibile documentare a livello centrale procedure, raccomandazioni, misure, scadenze e relazioni.
Come si riconosce un’offerta DSB non adeguatamente strutturata?
È necessario effettuare una verifica soprattutto in caso di regole di sostituzione poco chiare, referenti non indicati, tempi di risposta insufficienti, assenza di un piano di audit, reporting gestionale non previsto, procedure di escalation poco chiare e capacità che non corrispondono in modo evidente alla portata dell’incarico.
German 
English 
Italian 
French