Gli autorizzati al trattamento dei dati sono l’anello che nelle verifiche si rompe per primo. Il registro dei trattamenti c’è, l’informativa è pubblicata, il DPO è designato: poi si chiede chi, materialmente, apre quel gestionale, chi può esportare l’elenco clienti, chi accede alle cartelle condivise, e la risposta è un elenco di nomi che nessuno ha mai messo per iscritto. Da lì in avanti ogni altra misura diventa difficile da dimostrare.
Che cosa dice la norma, in sintesi
Il GDPR stabilisce che chiunque agisca sotto l’autorità del titolare o del responsabile e abbia accesso a dati personali non possa trattarli se non è istruito in tal senso dal titolare, salvo che lo richieda il diritto dell’Unione o degli Stati membri. La stessa regola è richiamata fra le misure di sicurezza che il titolare e il responsabile devono adottare.
Il Codice in materia di protezione dei dati personali completa il quadro, prevedendo che il titolare o il responsabile possano prevedere, sotto la propria responsabilità e nell’ambito del proprio assetto organizzativo, che specifici compiti e funzioni connessi al trattamento siano attribuiti a persone fisiche espressamente designate, che operano sotto la loro autorità.
Due conseguenze pratiche. La prima: l’autorizzato non è un titolare né un responsabile, e non assume una posizione autonoma; opera dentro il perimetro che qualcun altro ha disegnato. La seconda: quel perimetro deve esistere, essere documentato e corrispondere a ciò che accade davvero.
Autorizzati al trattamento dei dati: dove nascono le contestazioni
Gli scenari si ripetono con una costanza quasi monotona.
- Designazioni assenti o generiche. Una lettera uguale per tutti, che ripete il testo della norma e non dice nulla su quali dati la persona può trattare e per fare che cosa.
- Istruzioni scollegate dalla realtà. Il documento prevede che l’accesso sia limitato ai dati necessari; nei fatti ogni utente vede tutto, perché i profili del gestionale non sono mai stati configurati.
- Credenziali condivise. Un unico utente per l’ufficio, usato da quattro persone. Quando si deve ricostruire chi ha fatto cosa, non lo si può fare, e l’assenza di tracciabilità pesa.
- Nessuna revoca all’uscita. Il dipendente se ne va, l’account resta attivo. È una delle situazioni che emergono più spesso dopo un incidente.
- Nessuna vigilanza. La designazione è stata firmata nel 2018 e non è stata più toccata, benché nel frattempo siano cambiati sistemi, mansioni e persone.
Perché pesa in un procedimento
Quando il Garante contesta un trattamento illecito o una misura di sicurezza inadeguata, l’assetto delle autorizzazioni è l’elemento su cui si misura l’effettività di tutto il resto. Le violazioni dei principi e delle condizioni di liceità, come quelle in materia di sicurezza, rientrano nelle fasce sanzionatorie dell’articolo 83 del GDPR, e la gradazione tiene conto del grado di responsabilità del titolare avuto riguardo alle misure tecniche e organizzative messe in atto.
Un elenco di autorizzati aggiornato, con profili coerenti e tracciabilità degli accessi, non elimina il rischio: cambia però radicalmente la posizione dell’ente nel procedimento. È la differenza fra un incidente accaduto nonostante le misure e un incidente accaduto perché non c’erano misure. Il punto lo abbiamo visto bene parlando di accessi forzati al dossier sanitario e, sul fronte della sicurezza, di password in chiaro e credenziali deboli.
Il confine con il responsabile esterno
Una confusione frequente riguarda la qualificazione dei soggetti esterni. Il consulente, la società di assistenza informatica, lo studio che elabora le buste paga non sono autorizzati: sono responsabili del trattamento, e il rapporto va regolato con il contratto previsto dall’articolo 28, con tutto ciò che ne consegue. Trattare un fornitore come un autorizzato, o viceversa, produce un assetto documentale che non regge al primo esame: ne abbiamo scritto nell’articolo sulla nomina del responsabile del trattamento, e il collegamento con il registro dei trattamenti è diretto, perché è lì che la struttura dei ruoli dovrebbe emergere.
Un assetto che regga a una verifica
Ricostruire chi tratta quali dati, con quale profilo e sotto quali istruzioni è un lavoro che si fa una volta e poi si mantiene. Richiede di guardare insieme l’organigramma, i permessi configurati nei sistemi e le prassi effettive dell’ufficio, che quasi mai coincidono. Sul sito trova la pagina dedicata alla consulenza e compliance privacy e quella sui diritti degli interessati, che da quell’assetto dipendono direttamente; i profili giudiziari collegati sono sul sito dello studio legale avvocatoelioerrichiello.it.
Lo studio assiste aziende, studi professionali ed enti in tutta Italia e ha sede a Napoli. Se vuole sapere se le designazioni in uso nella sua organizzazione reggerebbero una verifica, può inviarci il modello che utilizza e l’elenco dei sistemi dalla pagina contatti: ne faremo un esame preliminare, indicando i punti che verrebbero contestati per primi.
Avv. Elio Errichiello
