Definire una domanda professionale precisa
Un incarico generico di «esaminare tutto» aumenta la diffusione dei dati e rende meno chiaro il risultato atteso. È preferibile formulare il quesito, il perimetro documentale e i limiti dell’attività. Per verificare una quadratura contabile potrebbe non servire conoscere l’identità di chi ha segnalato. Per un’analisi tecnica può essere sufficiente un estratto depurato da dettagli personali irrilevanti. La selezione deve però conservare gli elementi necessari a un esame attendibile.
Qualificare il ruolo privacy sulla sostanza
Non tutti i consulenti esterni sono automaticamente responsabili del trattamento, né basta chiamarli «autorizzati» per risolvere la questione. La qualificazione dipende dall’attività effettiva, dai poteri decisionali e dal rapporto con il titolare. L’art. 13 del decreto richiama la disciplina dei fornitori che trattano dati per conto dell’ente. Il contratto e le istruzioni devono corrispondere al ruolo individuato, con il supporto del DPO o del consulente privacy quando necessario.
Proteggere l’identità e i dettagli indiretti
L’art. 12 protegge anche le informazioni da cui si può risalire indirettamente al segnalante. Prima dell’invio, controllare intestazioni, commenti, nomi dei file e riferimenti al contesto. Un accordo di riservatezza è utile ma non rende automaticamente legittima ogni condivisione. Il gestore deve valutare competenza, autorizzazione, necessità dell’accesso e condizioni applicabili alla rivelazione. Se il consulente assiste anche una persona coinvolta, il conflitto va esaminato prima dell’incarico.
Gestire il lavoro fuori dalla piattaforma
Il documento esportato può finire in caselle email, cartelle locali o sistemi di collaborazione del professionista. Concordare modalità di trasmissione, accessi, conservazione e restituzione o cancellazione evita copie non governate. Il consulente dovrebbe sapere se e come coinvolgere altri collaboratori e come segnalare un incidente. L’eventuale accesso al portale va limitato all’incarico e revocato quando non è più necessario, senza utilizzare account condivisi.
Acquisire un risultato separato dalle conclusioni del gestore
Il parere tecnico deve indicare i documenti esaminati, il metodo e i limiti, distinguendo accertamenti e assunzioni. Il gestore valuta il contributo insieme agli altri elementi, cura il seguito e organizza il riscontro. La consegna dell’elaborato non conclude automaticamente la procedura. Una breve verifica finale sulle copie rimaste e sugli accessi concessi chiude anche il rapporto operativo, evitando che un supporto temporaneo diventi una disponibilità permanente del fascicolo.
Domande frequenti
Basta far firmare un NDA al consulente?
No. Vanno definite anche legittimità, ruolo, necessità e modalità del trattamento dei dati.
Il consulente deve vedere il nome del segnalante?
Solo se l’accesso è giustificato e consentito nel caso concreto; molte attività possono essere svolte con informazioni ridotte.
