I rischi dell’attività di audit nel percorso di adeguamento al GDPR

Chiariamo da subito che non stiamo parlando dei tradizionali rischi che contraddistinguono tutte le attività di audit. Gli audit in ambito privacy sono:

• uno strumento di accountability per dimostrare la propria conformità^[1] per i titolari;
• un obbligo per i DPO (art. 37 1.b “sorvegliare l’osservanza”), anche se in realtà la capacità di svolgere tale compito da parte di un DPO è veramente una qualità rara.

A riguardo di quest’ultimo aspetto, vi è anche da sottolineare la scarsa attenzione che i vari corsi e master per DPO dedicano a questa attività; un controsenso se si pensa l’importanza che a tale attività riserva la normativa.

Tutti i rischi dell’attività di audit in ambito privacy

Quello che si sta riscontrando nella realtà sul fronte degli audit in ambito privacy è che, analogamente a quanto accade per la figura del DPO, molti titolari si avvalgono per lo svolgimento delle verifiche in ambito privacy degli stessi soggetti, siano questi professionisti o aziende, che li hanno seguiti nella attività di implementazione del loro modello privacy.

Tale scelta, oltre ad evidenziare un palese conflitto di interessi da parte dei consulenti in questione, determina diversi rischi per il titolare.

Il primo è che l’utilizzo dello stesso soggetto che ha implementato il modello privacy, per controllarne la conformità, ha evidentemente una valenza pressoché nulla.

È come se lo stesso soggetto che ha guidato un’azienda ad una certificazione di qualità o di sicurezza, indossasse anche i panni del certificatore, cioè di colui che verifica se effettivamente l’azienda è conforme agli standard ISO 9001 o ISO 27001 ed è quindi degna di una certificazione.

Al massimo tali soggetti potrebbero, senza entrare in conflitto di interessi, verificare se le procedure da loro definite siano effettivamente rispettate; un tale controllo nulla può tuttavia rilevare in merito alla reale conformità di tali procedure alla normativa.

Il secondo rischio è che tale comportamento, se teso unicamente a realizzare dei report di audit (per dimostrare la propria accountability) da produrre in sede di visita ispettiva di un’autorità esterna, possa essere considerato da quest’ultima come elusivo di una reale volontà di controllo.

Per essere tranquillo, il titolare dovrebbe rivolgersi ad un soggetto terzo per verificare se il proprio modello privacy sia effettivamente conforme, ed è questa evidentemente l’unica via corretta che può percorrere.

Il terzo rischio è legato al comportamento del soggetto che, avendo svolto l’attività di consulenza, si propone di svolgere anche quella di verifica (o di ricoprire anche il ruolo di DPO).

Tale comportamento non appare in linea con le caratteristiche tipiche di un auditor (o di un DPO), che deve avere, fra i propri requisiti, una elevata etica professionale.

Vecchie regole per una nuova attività di verifica

Oltre a questa problematica, che un titolare può facilmente gestire, ancor più insidioso è il fatto di dover svolgere un’attività di verifica sulla conformità ad una normativa che non è nuova, ma che costituisce un semplice aggiornamento di norme che sono in vigore da oltre 20 anni.

Moltissimi degli adempimenti previsti dal GDPR erano già in vigore, in alcuni casi esattamente con la stessa formulazione, nella precedente normativa (sia D.lgs. 196/03, sia la legge 675/96).

Si pensi al caso dei principi, attuale articolo 5 del GDPR ed in precedenza articolo 11 del D.lgs. 196/03 ed articolo 9 della 676/96.

Tali principi comprendono, fra gli altri, l’obbligo di garantire la qualità dei dati, la loro esattezza, il loro aggiornamento e regola il tempo di conservazione dei medesimi.

Fra l’articolo 5 del GDPR, l’articolo 11 del D.lgs. 196/03 l’articolo 9 della 675/96 non vi è alcuna sostanziale differenza, come evidenzia la tabella qui sotto che riporta uno stralcio tratto dal GDPR e dalla 675/96.

Quindi tali principi erano in vigore da oltre venti anni. Com’è quindi possibile giustificare un’attività di “adeguamento al GDPR” dei propri sistemi e delle proprie procedure per garantire la qualità dei dati o individuare correttamente i tempi di conservazione ed eventualmente cancellare o anonimizzare i dati al termine di tale periodo?

È evidente che rilevare oggi una sostanziale conformità al GDPR e contestualmente una consistente attività di adeguamento, che magari è stata anche oggetto di orgogliosa presentazione in qualche convegno, dimostra una sola cosa: l’azienda in precedenza non rispettava la normativa privacy e ne sta dando una evidenza oggettiva.

Appare evidente in tale contesto che l’azienda ha messo in atto un piano di adeguamento al GDPR per il solo timore delle sanzioni e non per una reale cultura nell’ambito della protezione dei dati.

Questo può indurre a ritenere che difficilmente, dopo questa iniziale attività di adeguamento, l’azienda darà il giusto peso al mantenimento della conformità.

Ancor peggio è il rilevare una consistente attività di adeguamento delle misure di sicurezza, conseguente ovviamente ad un’analisi dei rischi, là dove fra tali misure di sicurezza nella precedente normativa erano considerate misure minime di sicurezza.

È evidente che formalizzare tali attività di “adeguamento” in un audit report, la dove tale adeguamento non avrebbe avuto ragione di esserci, comporterebbe di fatto un’autodenuncia da parte dell’azienda o quantomeno fornire evidenze oggettive di una precedente non conformità, tutt’ora sanzionabile.

Al di là degli audit report, le stesse risultanze di un’analisi dei rischi o di una gap analysis, là dove evidenzino carenze in merito agli adempimenti previsti dalla precedente normativa, costituiscono evidenze oggettive che un auditor terzo, o peggio un organismo istituzionale preposto alle verifiche, potrebbe utilizzare.

È interessante notare come le aziende siano poco attente a rendere pubbliche una serie di informazioni che possono costituire degli elementi che un soggetto esterno può utilizzare per valutare la loro conformità. Fra i tanti esempi, il più eclatante è probabilmente costituito dai bandi delle aziende pubbliche o dalle manifestazioni di interesse delle aziende private, che offrono compensi ridicoli per la figura dei DPO o che assegnano a tale figura compiti incompatibili con tale ruolo.

Al riguardo sarebbe facile individuare, con una semplice consultazione on line, una nutrita serie di soggetti da sanzionare a tavolino, per palese violazione al riguardo degli artt. 37-39 del GDPR.

Conclusioni

Ai titolari non resta altra scelta che, da un lato, di prestate una maggiore attenzione nell’affidare gli incarichi nell’ambito delle verifiche privacy (ed anche nel designare la figura del DPO), dall’altro a essere più oculati nel diffondere informazioni sulle proprie attività di adeguamento.

In definitiva, i titolari devono rispettare effettivamente la normativa e non limitarsi a fingere di farlo.

NOTE

1. WP 173 Parere 3/2010 sul principio di responsabilità, 53: “Esistono vari metodi a disposizione dei responsabili del trattamento per valutare l’efficacia (o l’inefficacia) delle misure. Per il trattamento di dati di maggiori dimensioni, più complesso e ad alto rischio, gli audit interni ed esterni sono metodi comuni di verifica.”. ↑