Prosegue il cammino verso la piena attuazione del Regolamento UE 2022/2554 afferente alla resilienza operativa digitale per il settore finanziario, più noto come Regolamento DORA, con la pubblicazione sulla Gazzetta Ufficiale europea (lo scorso 25 giugno) dei tre atti delegati della Commissione UE:
- Regolamento Delegato (UE) 2024/1772, relativo ai criteri per la classificazione degli incidenti informatici.
- Regolamento Delegato (UE) 2024//1773, relativo alla politica per la fornitura di servizi ICT da parte di terzi a supporto di funzioni essenziali o importanti.
- Regolamento Delegato (UE) 2024/1774, relativo agli strumenti, ai metodi, ai processi e alle politiche per la gestione dei rischi informatici.
Tutti e tre i regolamenti delegati entreranno in vigore il 15 luglio 2024 e saranno direttamente applicabili.
Lo studio di questi tre atti delegati, insieme a uno dei tanti provvedimenti del Garante che si rivolgono insieme a titolari e responsabili del trattamento (ad es., l’Ordinanza ingiunzione del 25 novembre 2021, docweb/9737185 ) è utile per discutere l’esigenza che soggetti specializzati, coinvolti per la gestione delle informazioni (dalla fornitura di hardware, al software, ai servizi IT, al processamento delle informazioni), personali o meno che siano, debbano essere selezionati in maniera adeguata alla criticità del processo da effettuare e che la loro attività sia oggetto di supervisione non solo sulla quali-quantità degli output contrattualmente previsti ma anche alle modalità con cui sono ottenuti.
Ciò per evitare i rischi di culpa in eligendo nel primo caso e di culpa in vigilando nel secondo.
Indice degli argomenti
Rapporti fra titolare e responsabile del trattamento: cosa dice il GDPR
Sappiamo che il GDPR prevede in capo alle Autorità Garanti, fra l’altro, poteri correttivi (art. 58) e di comminazione di sanzioni amministrative pecuniarie (art. 83) sia verso i titolari che verso i responsabili del trattamento.
Con la citata Ordinanza, il Garante è intervenuto nei confronti di entrambi fra l’altro evidenziando, a supportare la chiamata in causa del titolare, che: “È onere del titolare del trattamento avvalersi di responsabili che offrano sufficienti garanzie ma questo non basta a ridurre il grado di responsabilità in vigilando che il titolare deve costantemente esercitare nel corso delle attività di trattamento. E ciò è ancor più necessario quando l’attività comporti il coinvolgimento di soggetti terzi, in ragione della potenziale elusione delle norme di garanzia attraverso la ripartizione negoziale delle responsabilità”.
Il GDPR, all’art. 28, prevede all’uopo una serie di previsioni contrattuali, fra cui quella, al punto 3.h, che prevede specifici poteri di controllo da riconoscere al titolare.
Tale disposizione, infatti, prevede che il responsabile “metta a disposizione del titolare del trattamento tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui al presente articolo e consenta e contribuisca alle attività di revisione, comprese le ispezioni, realizzati dal titolare del trattamento o da un altro soggetto da questi incaricato”.
Disposizioni analoghe sono previste dalle clausole contrattuali standard elaborate dalla Commissione europea nel 2021.
Insomma: With great power comes great responsibility recitava un antico adagio, poi ripreso nella vulgata moderna in un film dell’Uomo Ragno.
In concreto: se il titolare, il committente non controlla anche come le attività vengono svolte non può che essere ritenuto anche lui responsabile della eventuale mancata compliance delle sue controparti che fungono da suoi agenti.
Le linee guida EDPB su selezione e supervisione del responsabile
Sull’esigenza di attenta selezione e supervisione del responsabile del trattamento sono molto nette le Linee guida 7/2020 dell’EDPB incentrate su questi due ruoli.
Basti citare i seguenti punti:
- 94, dove si afferma che “Il titolare del trattamento ha il dovere di impiegare ‘unicamente responsabili del trattamento che presentino garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate’»;
- 110, dove si afferma che “l’accordo relativo al trattamento dovrebbe non già meramente ribadire le disposizioni del GDPR, bensì prevedere informazioni più specifiche e concrete sul modo in cui saranno soddisfatti i requisiti e sul livello di sicurezza previsto per il trattamento dei dati personali oggetto dell’accordo”;
- 143 e 144, dove si afferma che “Il contratto deve prevedere disposizioni dettagliate sulla frequenza e sulle modalità del flusso di informazioni tra il responsabile e il titolare del trattamento, in modo tale che il titolare del trattamento sia pienamente informato in merito a quegli elementi del trattamento atti a dimostrare il rispetto degli obblighi di cui all’articolo 28 del GDP” e che “Il contratto deve prevedere ulteriori disposizioni per quanto concerne la facoltà del titolare o di un altro revisore da questi incaricato di svolgere ispezioni e attività di revisione e gli obblighi di contribuire a tali attività”.
Rapporti fra titolare e responsabile del trattamento: gli impatti del DORA
Il discorso in esame consente di formulare considerazioni “mirror” rivolgendo l’attenzione ai rilevanti impatti rivenienti dal DORA.
All’Unione Europea (UE) va riconosciuto un primato: è all’avanguardia nella produzione di norme/standard in diversi settori di cui gli altri player mondiali non possono tener conto, come ad esempio è nel campo privacy con il GDPR, norma che è un benchmark per gli altri Paesi.
Con il DORA (che non riguarda solo dati personali), che troverà applicazione dal 17 gennaio 2025, l’UE ha prefigurato complessi e robusti criteri e strumenti a difesa della resilienza del settore finanziario coinvolgendo:
- le entità finanziarie,
- i fornitori di servizi ICT (alcuni dei quali verranno individuati come critici per la loro rilevanza) alle stesse entità;
- definendo un oversight centralizzato con le Autorità di vigilanza europee e che prevede la partecipazione anche delle competenti autorità nazionali.
Il DORA, quantomeno, rafforzerà (leggasi rivoluzionerà) la gestione della sicurezza dell’information and communication technologyes (ICT) con un upgrade per la cyber security e la resilienza dell’ecosistema finanziario, settore centrale per le nostre economie, ma anche con grande rilevanza per la privacy essendo i servizi finanziari in gran parte destinate a persone fisiche.
In via indiretta potrà beneficiarne l’intero sistema sia per la maggiore expertise che si svilupperà nell’ecosistema economico europeo sia perché i fornitori di servizi ICT possono essere fornitori anche di entità di altri settori.
E, a meno che tali fornitori non abbiano una strategia bipolare, i servizi da loro forniti alla generalità delle organizzazioni, pubbliche e private, potrebbero, per un presumibile effetto di isomorfismo dei processi produttivi, essere confezionati al livello dei requisiti analoghi richiesti per i servizi all’ecosistema finanziario.
Relazioni fra entità finanziarie e fornitori di servici ICT
Per definire il quadro delle corrette relazioni fra entità finanziarie e fornitori di servici ICT, l’art. 30 del DORA indica le principali disposizioni contrattuali che dovranno essere previste, al fine di poter effettuare un monitoraggio della loro attività.
Esula da questo intervento effettuare una disamina del complesso Regolamento DORA e dei succitati Regolamenti delegati ma quello che si vuole evidenziare è la stretta contiguità con il GDPR, come rimarcato da diverse disposizioni.
In primis, il DORA in più punti si sofferma sull’esigenza per le entità finanziarie di presidiare disponibilità, autenticità, integrità e riservatezza dei dati (personali o meno che siano), dei patrimoni informativi e delle risorse TIC.
Passando in rapida rassegna i tre Regolamenti delegati, il 2024/1772 sugli incidenti si sofferma anche sui data breach per i dati personali, il 2024/1773 sugli accordi contrattuali prevede che nella analisi dei rischi, prima della stipula degli accordi, vadano considerati anche quelli “legati alla protezione dei dati riservati o personali” e che laddove il contraente fornitore di servizi ICT sia configurabile anche come responsabile del trattamento l’accordo contrattuale non dovrebbe pregiudicare quanto integrare le previsioni del GDPR.
Infine, il 2024/1774 afferente la gestione dei rischi ICT prevede che, laddove siano coinvolti trattamenti di dati personali, dovrebbe trovare piena applicazione il GDPR, “Ad esempio, si dovrebbe rispettare il principio della minimizzazione dei dati quando si raccolgono dati personali per garantire un’adeguata individuazione degli incidenti”.
DORA: il ruolo del DPO per una compliance formale
Sulla base di quanto sopra esposto, nel rimandare a più analitiche disamine delle incombenti norme del DORA & disposizioni collegate, emerge come il trattamento delle informazioni e dei dati personali richieda una piena attenzione da parte di tutti gli attori coinvolti e che il regista, il titolare del trattamento, segua con attenzione le riprese, ripetendo se necessario i vari step con diversi “ciak si gira”.
In questo quadro, il Data Protection Officer se non co-regista – non foss’altro perché formalmente non ha responsabilità decisionali e responsabilità specifiche (ma, sostanzialmente, può incidere sulle decisioni organizzative in funzione della grado di competenza e autorevolezza che possiede) – rappresenta uno dei principali protagonisti per una compliance formale ma anche e soprattutto sostanziale per coadiuvare la ricerca di un corretto baricentro fra esigenze di business e diritti degli interessati.
E ciò vale per i DPO sia dei titolari che dei responsabili del trattamento. E, anzi, sarebbe proficuo che tali DPO individuino modalità per cooperare – nel rispetto dell’autonomia giuridica e organizzativa delle organizzazioni di riferimento – sui trattamenti che sono distribuiti sulle diverse entità per individuare e risolvere aspetti problematici nell’interesse delle diverse parti in causa.
Perché ciò diventi realtà richiede anche che ai DPO siano messe a disposizione risorse in primis umane competenti per poter seguire i diversi trattamenti (e processi organizzativi e procedure IT).
In un futuribile contesto si potrebbe poi anche ipotizzare che l’interazione fra i DPO includa non solo il rapporto fra quelli del titolare e del responsabile del trattamento ma, anche, delle Autorità di supervisione.
Le opinioni espresse sono a titolo esclusivamente personale e non coinvolgono ad alcun titolo l’Istituto pubblico ove l’Autore presta servizio.
