GDPR nella PA, la lezione del MEF per adeguarsi

Il 25 maggio 2018 sancirà l’entrata in vigore del nuovo regolamento europeo sulla protezione dei dati personali (GDPR – General Data Protection Regulation) [1].

Tale norma è stata pensata per offrire un riferimento unico a livello comunitario in merito al corretto trattamento dei dati personali, ponendo l’attenzione su una figura chiave, l’interessato.

GDPR e gestione della Privacy, un cambio di prospettiva

La norma indirizza la tutela dei dati personali da parte di organizzazioni pubbliche e private, cambiando il punto di vista tradizionale: la gestione della privacy non è più un adempimento di tutela dell’organizzazione in relazione a una norma, ma è funzionale alla tutela di diritti individuali di ciascun interessato.

Gli utenti interessati dal trattamento dati della PA

In particolare, una Pubblica Amministrazione, offrendo servizi a cittadini e imprese, pone in essere numerosi trattamenti riconducibili principalmente a due categorie di interessati:

• Utenti interni (personale interno, collaboratori) che operano al fine dell’erogazione dei servizi;
• Utenti esterni, che fruiscono dei servizi.

PA e GDPR, necessaria pianificazione a lungo termine

Per rispettare il GDPR le Pubbliche Amministrazioni dovranno adottare un nuovo modo di pensare e organizzare la data protection al proprio interno, che differisce rispetto all’approccio classico basato sull’adozione di un set di misure minime di sicurezza [2], privilegiando invece il concetto di valutazione del rischio (art. 35 – GDPR) associato ai trattamenti e il concetto di responsabilità (art. 5 – GDPR) in capo a varie figure strategiche dell’organizzazione (Responsabile della protezione dei dati, Titolare del trattamento, Responsabili del trattamento, Incaricati, ecc).

Le Pubbliche Amministrazioni, in accordo a quanto detto, subiscono un notevole impatto dal regolamento, e pertanto necessitano di strutturare un piano di adeguamento che abbia come leva strategica la pianificazione a lungo termine, tenendo in considerazione le azioni per il corretto mantenimento di un sistema di gestione della privacy (SGP).

In pratica, le Pubbliche Amministrazioni non dovrebbero limitare l’adeguamento alla sola creazione della documentazione utile a dimostrare di essere in linea con la normativa, ma essere in grado di dimostrare l’adozione di un approccio organizzativo e implementativo concreto, anche attraverso l’introduzione di strutture dedicate alla gestione e al monitoraggio dei flussi di dati personali trattati.

GDPR, la roadmap del Ministero delle Finanze

La Direzione dei Sistemi Informativi e dell’Innovazione (DSII) del Dipartimento dell’Amministrazione Generale del Personale e dei Servizi (DAG) del Ministero dell’Economia e delle Finanze (MEF) ha delineato una roadmap per l’adeguamento al GDPR. Tale roadmap può essere considerata come riferimento anche per altre Pubbliche Amministrazione, a prescindere dalle dimensioni, e prevede la creazione e il mantenimento di un SGP sul quale sia attivo un processo ciclico che, a partire dalla comprensione dei requisiti del GDPR, copra le fasi seguenti:

• Identificazione e comprensione di eventuali nuove disposizioni e linee guida delle competenti autorità nazionali ed europee;
• Individuazione o aggiornamento degli attori, sia interni che esterni, e dei relativi ruoli associati alle fasi di pianificazione, esecuzione e monitoraggio dell’SGP;
• Analisi delle attuali modalità di compliance alla normativa di riferimento (es. politiche e linee guida emanate, nomina dei responsabili, ecc.);
• Creazione e aggiornamento dei registri delle attività di trattamento (art. 30 – GDPR) con la relativa classificazione dei dati trattati;
• Valutazione dei rischi associati ai trattamenti ed eventuale valutazione dell’impatto (“Privacy Impact Assessment” cosddetto PIA, artt. 35, 36 – GDPR) comprendente la valutazione dei rischi di non conformità che possono portare a sanzioni, perdite finanziarie o danni di immagine;
• Valutazione del gap da colmare per essere conforme alla normativa di riferimento;
• Definizione e implementazione del piano di adeguamento inteso come elenco di azioni tecniche e organizzative da adottare (art. 32 – GDPR), prendendo come riferimento standard e best practices (ad es. ISO/IEC 27001 [3]);
• Definizione o aggiornamento degli indicatori per il monitoraggio continuo dell’SGP.

L’importanza del monitoraggio

In tale processo, assume particolare rilevo il concetto di monitoraggio, il quale implica la definizione di indicatori adeguati che permettano di misurare in modo concreto l’efficacia delle misure messe in campo per la protezione dei dati. Le strutture organizzative preposte al mantenimento dell’SGP devono essere in grado di valutare in tempo reale lo stato di tali indicatori, anche attraverso cruscotti di monitoraggio predisposti allo scopo.

Le azioni tecniche ed organizzative da implementare

Tra le varie azioni tecniche ed organizzative da implementare si riporta un elenco esemplificativo e non esaustivo:

• introduzione del responsabile della protezione dei dati (DPO – Data Protection Officer);
• definizione o revisione della metodologia di analisi del rischio e del relativo processo da attuare;
• revisione e implementazione delle misure di sicurezza per la protezione dei dati personali, in linea con gli obiettivi strategici dell’organizzazione;
• stesura o aggiornamento delle informative privacy;
• pianificazione e attuazione di iniziative per la sensibilizzazione e la formazione di dipendenti e collaboratori che trattano o potrebbero trattare dati personali;
• predisposizione (o l’aggiornamento) ed attuazione di politiche, linee guida, processi e procedure per l’intera organizzazione (ad esempio le procedure per la gestione dei diritti degli interessati oppure le linee guida per garantire l’applicazione dei principi di privacy by design e privacy by default).

La valutazione dei rischi associati ai singoli trattamenti

Allo stato attuale, la DSII è impegnata nella valutazione dei rischi associati ai singoli trattamenti censiti tramite un registro dei trattamenti elettronico. Il completamento di questa fase permetterà di definire un piano di adeguamento da implementare in vista dell’entrata in vigore del regolamento (25 maggio 2018).

Necessario adeguamento sull’analisi dei rischi

In conclusione, è importante sottolineare come la norma enfatizzi l’onere, da parte delle organizzazioni, di dimostrare che ogni trattamento di dati personali presenti un adeguato livello di sicurezza con controlli attivi sia in ottica preventiva, sia adottati in seguito ad un eventuale data breach. Anche su tale aspetto, sarà compito delle Pubbliche Amministrazioni rendere disponibile, anche attraverso piattaforme tecnologiche create per lo scopo, le evidenze che dimostrino l’adeguata “attenzione” rivolta ciascun trattamento effettuato.

Quest’ultimo tema è di grossa complessità in quanto la decisione sulle misure e sui controlli da associare ai trattamenti deriva dall’analisi dei rischi, le cui evidenze portano con sé informazioni “strategiche” sulla capacità dei sistemi e dei processi di raggiungere determinati livelli di sicurezza. Questo sarà uno degli aspetti al contempo più rilevanti e più “spinosi” e per il quale è auspicabile un allineamento dei comportamenti delle varie organizzazioni del nostro Paese.

1. Regolamento europeo UE 2016/679
2. Decreto legislativo 30 giugno 2003, n. 196 e succ. modifiche – Garante Privacy
3. Standard ISO/IEC 27001 (Tecnologia delle informazioni – Tecniche di sicurezza – Sistemi di gestione della sicurezza delle informazioni – Requisiti)