DPO: chi, come e perché può controllare la sua attività

Introdotto dal Regolamento generale sulla protezione dei dati (GDPR), il responsabile della protezione dei dati (RPD/DPO) ricopre un ruolo cruciale nella governance della privacy.

Ecco quali sono i controlli esperibili sull’architettura della privacy nelle organizzazioni, e quali opzioni servono per rafforzare la compliance complessiva, rispettando al contempo l’indipendenza del Rpd.

In quest’ottica si prospetta una collaborazione sinergica tra la funzione di audit interno e il DPO, delineando – nel rispetto delle relative responsabilità – aree di intervento per garantire un efficace sistema di gestione della privacy.

La figura del DPO nell’ambito del GDPR

L’art. 38.3 del GDPR prevede che il DPO:

• non riceva alcuna istruzione per quanto riguarda l’esecuzione di tali compiti;
• non possa essere rimosso o penalizzato dal titolare del trattamento o dal responsabile del trattamento per l’adempimento dei propri compiti;
• e che riferisca direttamente al vertice gerarchico del titolare del trattamento.

Secondo il considerando Cons. 97 del GDPR, i DPO “dovrebbero poter adempiere alle funzioni e ai compiti loro incombenti in maniera indipendente”.

La questione dell’autonomia del DPO

In questa situazione di autonomia e indipendenza, occorre valutare se sia possibile ipotizzare che il DPO sia oggetto di interventi di audit o se ciò potrebbe costituire una lesione della sua autonomia.

Per una compiuta valutazione della questione va tenuto presente che nel quadro GDPR-Codice privacy, in capo al DPO non sono ricondotte dirette responsabilità. Le decisioni ultime sui trattamenti fanno capo al titolare e, pertanto, il DPO non è una fonte diretta di rischio operativo, tant’è che in un sistema di operational risk management sarebbe improprio vedere dei processi di cui il DPO sia owner.

Indirettamente, il DPO può essere fonte di rischio di non compliance per:

• inadeguatezza / incompetenza;
• correntezza / scarsa applicazione;
• copertura di più posizioni che connotino una situazione di conflitto di interessi).

In questi casi, la sua azione si riverbera comunque sull’operato del titolare che eventualmente potrebbe cercare di rivalersi sul DPO per i danni subiti (provvedimenti e sanzioni del garante; risarcimenti a persone i cui dati siano trattati in maniera illecita).

L’internal auditing

Nel purpose dell’attività di internal auditing, secondo i nuovi Global Internal Audit Standards (Gias, emanati nel 2024 e in vigore dal 9 gennaio di quest’anno) viene fra l’altro sostenuto che “l’Internal Auditing supporta l’organizzazione:

• nel raggiungimento dei propri obiettivi;
• nella governance, nel risk management e nei processi di controllo;
• nei processi decisionali e di supervisione;
• nella costruzione della reputazione e della credibilità nei confronti degli stakeholder;
• nella capacità di servire l’interesse pubblico”.

E in ciò non può non rientrare anche la gestione del rischio afferente al trattamento dei dati personali e alla loro libera circolazione.

L’azione di audit incentrata sul ruolo del DPO

Un’azione di audit, incardinata sul ruolo del DPO, non è necessariamente inquadrabile come una lesione dell’autonomia e indipendenza laddove l’attività di audit venga adeguatamente impostato e condotta.

Perché ciò si verifichi, l’audit dovrebbe:

• non essere assunto come “oggetto” di revisione l’espletamento dell’azione del DPO e della sua organizzazione delle attività, aspetto che lederebbe la sua indipendenza. Potrebbe però essere incentrato sulla struttura di supporto eventualmente a sua disposizione per vagliare la performance di quest’ultima rispetto alle esigenze del DPO. Ma una tale evenienza dovrebbe più propriamente trarre input dal DPO stesso o suffragata da elementi che andrebbero discussi preventivamente con il DPO;
• essere invece incentrato, per esempio, sui processi organizzativi, nel cui ambito rilevi il trattamento di dati personali oppure sul generale processo di gestione della privacy oppure sulla compiuta e aggiornata rispondenza del registro dei trattamenti a quelli effettivi nonché delle evidenze sui data breach.

Compiti del responsabile della protezione dei dati nell’ambito di un audit

In riferimento all’articolo 39 del GDPR “Compiti del responsabile della protezione dei dati”, nell’ambito di un audit su un processo o generale sull’assetto privacy, il team di audit procederebbe a vagliare se:

• agli owner dei processi siano state fornite (d’iniziativa) informazioni dal DPO ovvero se la consulenza a lui richiesta abbia avuto esito e procedere al relativo vaglio dal punto di vista tipico degli audit che, alla luce dei vagliare il merito di tale consulenza;
• si rilevino carenze nell’osservanza delle norme sulla privacy e delle policy del titolare in materia di protezione dei dati personali, compresi l’attribuzione delle responsabilità, la sensibilizzazione e la formazione del personale che partecipa ai trattamenti e alle connesse attività di controllo;
• le richieste di parere in merito alla valutazione d’impatto sulla protezione dei dati abbiano avuto esito e se questo si ritenga adeguato nonché se si sia effettuata la sorveglianza sul relativo svolgimento;
• il ruolo di punto di contatto e di cooperazione con il Garante sia affetto da carenze, rilevabili da comunicazioni che il Garante formula al titolare.

Perché condurre audit sul DPO

Fatta salva una situazione di patologia che il titolare dovesse ritenere sussistente nelle relazioni con il DPO, eventualità che andrebbe piuttosto risolta procedendo ad un confronto finalizzato a dirimere le questioni e all’eventuale avvicendamento nella carica (a tal fine sarebbe utile che, anche in ambito pubblico, la nomina sia conferita per un periodo predefinito), anche a prescindere da eventuali indicatori di anomalia, un audit rivela il suo valore aggiunto nell’assurance che può dare sulla situazione a norma di un processo o di un comparto.

Inoltre, può rivelarsi utile anche per il DPO, per la rilevazione in sede di audit di eventuali situazioni di criticità che lo stesso non abbia potuto rilevare, in relazione a quanto possibile con le risorse (chieste e non) messe a sua disposizione, o anche far emergere l’esigenza di un rafforzamento di tali risorse in relazione alla complessità dell’organizzazione e dei trattamenti di dati personali condotti, specie ove questi abbiamo grande volume e/o riservatezza.

Inoltre è necessario tenere presente che a prescindere da qualsiasi intenzione di condurre un audit sull’attività del DPO, comunque in esito a un incarico revisionale possono emergere situazioni da cui dedurre il grado di robustezza, di maturità dell’architettura privacy dell’organizzazione.

In un’ottica sinergica, a beneficio dell’organizzazione, fra la funzione di terzo livello costituita dall’internal audit e quelle di secondo livello, fra cui è possibile inquadrare il DPO, se da quest’ultimo provengono indicazioni motivate per la redazione del piano periodico di audit su oggetti che sarebbe complesso supervisionare da parte sua, ove i dubbi prospettati si rivelassero fondati, ciò costituirà un fattore sufficiente a testimoniare la qualità dell’azione del DPO.

La possibilità di condurre audit

Per altro verso, occorre considerare che anche il DPO, nella sua azione di sorveglianza sull’osservanza da parte dell’organizzazione delle disposizioni sulla privacy, può condurre audit, definendone un’eventuale pianificazione in autonomia rispetto al titolare.

In via generale, il DPO può condurre audit interni volti a:

• monitorare la conformità delle procedure aziendali;
• verificare l’adeguatezza e l’applicazione delle misure tecniche e organizzative;
• valutare l’efficacia delle politiche di protezione dei dati.

Tale attività deve dovrebbe tener conto delle seguenti considerazioni:

• gli audit dovrebbero essere progettati in modo da evitare conflitti di interesse, in quanto il DPO non deve essere responsabile della gestione diretta dei processi che verifica;
• per salvaguardare la sua indipendenza, il DPO dovrebbe limitarsi a un ruolo di supervisione e consulenza negli audit, piuttosto che occuparsi di aspetti operativi o decisionali che potrebbero essere rimessi alla propria struttura di supporto;
• quando necessario, il DPO può collaborare con auditor esterni o delegare alcuni aspetti degli audit o interamente gli stessi alla funzione di interna auditing, mantenendo il dovuto raccordo per salvaguardare la supervisione a lui assegnata dal GDPR;
• se il DPO rilevasse che un audit lo pone in una situazione potenzialmente conflittuale, è essenziale coinvolgere figure esterne per garantire l’imparzialità.

Peraltro si osserva che:

• in teoria, un audit del DPO potrebbe riguardare anche i trattamenti di dati personali di cui fosse eventualmente owner la funzione di internal auditing (in generale per le proprie esigenze si trova a trattare dati che ricadono in trattamenti di cui sono owner altre strutture, salvo che, per esempio, sia prevista una valutazione di audit del personale);
• il DPO potrebbe chiedere il proprio coinvolgimento – come osservatore o per competenza – negli audit disposti dalla funzione di internal auditing.

L’importanta della sinergia

La complessiva gestione dei rischi organizzativi non può che trarre beneficio dalle sinergie fra le funzioni di controllo di diverso livello.

Accertata la loro autonomia, sarebbe utile definire un accordo di servizio fra le stesse, al fine di operare per quanto possibile in maniera proattiva e collaborativa, evitando sovrapposizioni e perseguendo con maggiore efficacia gli obiettivi dell’organizzazione.

Le opinioni espresse sono a titolo esclusivamente personale e non coinvolgono ad alcun titolo l’Istituto pubblico ove l’autore presta servizio.