Prima il trattamento, poi il prodotto
Il DPO deve poter conoscere chi userà il canale, quali soggetti potranno essere menzionati e come verranno gestite le segnalazioni. Un’organizzazione con più sedi, personale esterno e documenti delicati non ha necessariamente le stesse esigenze di una piccola società con un unico ricevente.
L’art. 13 del D.Lgs. 24/2023 collega le misure di sicurezza alla valutazione d’impatto. Per il DPO è quindi utile iniziare da una descrizione del flusso, anziché da un elenco astratto di funzioni: invio, ricezione, istruttoria, esportazione, chiusura e cancellazione.
Le domande che producono risposte verificabili
Chiedere «i dati sono protetti?» lascia troppo spazio a risposte generiche. Meglio domande circoscritte, accompagnate dall’indicazione del documento o del test che può dimostrare la risposta.
- Quali dati sono cifrati e chi può recuperare le chiavi?
- Quali poteri hanno amministratori tecnici, riceventi e sostituti?
- Quali registrazioni vengono prodotte da applicazione, rete e assistenza?
- Dove si trovano dati e backup, e quali sub-responsabili intervengono?
- Come sono gestite cancellazioni, cessazione del contratto e ripristino?
- Quali controlli sono inclusi e quali garanzie richiedono accordi specifici?
Leggere insieme contratto e allegato tecnico
Il contratto può rinviare a un allegato per le misure di sicurezza, ma i due documenti devono essere coerenti. Se il primo promette una cancellazione completa e il secondo descrive backup con versioni residue, occorre precisare tempi e modalità. Lo stesso vale per assistenza, segnalazioni orali e recupero degli account.
Una certificazione, quando presente, va letta nel suo campo di applicazione. Non sostituisce la verifica del servizio acquistato. La sua assenza non autorizza conclusioni automatiche, ma rende ancora più importante valutare misure, processi ed evidenze effettive.
Un parere utile contiene anche condizioni
Il risultato può essere un parere favorevole subordinato ad attività precise: abilitazione dell’autenticazione a due fattori, aggiornamento dell’informativa, definizione dei sostituti o completamento di un test. Per ogni condizione è utile indicare responsabile e momento di verifica.
Esempio operativo: durante la demo il ricevente riesce a scaricare allegati, ma l’azienda non ha regole per conservarli sul portatile. Il problema non si risolve cambiando il colore della dashboard: va integrata la procedura sui dispositivi e sulle copie. La valutazione del DPO deve seguire i dati anche fuori dall’applicazione.
Convenzioni sì, giudizio indipendente
L’art. 38 GDPR richiede di evitare conflitti di interessi. Se un professionista propone una soluzione con cui collabora commercialmente, questo rapporto deve essere valutato e gestito senza condizionare il ruolo di controllo. Il titolare deve poter comprendere criteri, alternative e ragioni della scelta.
Per un confronto con Segnalailleciti.it è possibile partire dalle domande tecniche dello studio e dalla configurazione richiesta. La documentazione del fornitore sostiene il lavoro del DPO, ma non sostituisce il parere né la decisione dell’azienda. Un acquisto ben motivato nasce da questo confronto, non da una formula universale di conformità.
Domande frequenti
Il DPO deve approvare ogni singola segnalazione?
No. Il suo ruolo privacy non comporta un accesso generalizzato ai fascicoli né la sostituzione del gestore.
La documentazione del fornitore è già una DPIA?
No. È un contributo alla valutazione del trattamento concreto che compete al titolare.
