La gestione della continuità operativa quando il Data Protection Officer è assente
Nel sistema di governance privacy delineato dal GDPR, il Responsabile della Protezione dei Dati (Data Protection Officer) riveste un ruolo centrale che deve garantire, tra le altre misure, anche la continuità.
Tuttavia, anche questa funzione può essere oggetto di situazioni di assenza o emergenza: indisponibilità temporanea, impedimenti prolungati o eventi irreversibili che rendono impossibile, per un tempo più o meno lungo, lo svolgimento dell’incarico.
Una corretta gestione di tali situazioni è fondamentale per garantire continuità operativa, tutela dei diritti degli interessati e rispetto degli obblighi normativi, nonché dell’impegno assunto dal Data Protection Officer verso l’organizzazione rispetto alla quale esercita tale incarico.
In questo articolo vengono analizzati i principali accorgimenti organizzativi distinguendo tra la prospettiva dell’organizzazione e quella del Data Protection Officer (DPO) sostitutivo.
In altri termini la business continuity non riguarda solo i sistemi informativi ma deve essere estesa anche a questa figura critica della gestione dei dati aziendali.
La preparazione dell’organizzazione - L’organizzazione, anche attraverso il DPO in carica deve prevenire l’emergenza, garantendo la continuità, tramite l’applicazione di alcune buone prassi, come quelle di seguito indicate.
- Prevedere la sospensione del DPO nel regolamento. È buona prassi che il regolamento o atto di designazione del DPO contenga uno specifico paragrafo dedicato alle cause di sospensione dell’incarico, temporanee o definitive. Ciò consente di ridurre l’incertezza decisionale in fase emergenziale e di dimostrare un approccio proattivo e conforme al principio di accountability.
- Individuare preventivamente un DPO sostituto. L’organizzazione dovrebbe valutare di individuare in anticipo un soggetto di fiducia idoneo a svolgere il ruolo di DPO sostitutivo, valutandone: le competenze tecniche e giuridiche, l’indipendenza e assenza di conflitti di interesse e l’affidabilità operativa. Il DPO sostitutivo potrebbe essere segnalato dal DPO in carica e deve garantire una immediata disponibilità in caso di necessità.
- Definire e scambiare i dati di contatto. Devono essere chiaramente definiti e condivisi i dati di contatto reciproci (DPO titolare, DPO sostituto, organizzazione) ed i canali ufficiali di comunicazione (email dedicate, PEC, numeri di emergenza).
- Stabilire, al fine di evitare vuoti di responsabilità e interventi tardivi, i criteri di attivazione del DPO sostitutivo. È essenziale definire quando e come l’organizzazione può contattare tale risorsa.
Garantire l’accesso alla documentazione - Il DPO sostituto deve poter accedere tempestivamente alla documentazione privacy ed in particolare ai documenti predisposti dal DPO titolare (verbali, pareri, audit, ecc.). Per questo è fondamentale che la documentazione sia costantemente aggiornata, facilitando la presa in carico in caso di emergenza.
(Nella foto: l'Ing. Monica Perego, docente del Master per Esperto Privacy e del Corso di alta formazione per Data Manager)
Valutazione post-emergenza - Al rientro del DPO titolare (quando previsto), l’organizzazione, dovrebbe: analizzare le attività svolte dal DPO sostituto, verificare criticità, decisioni assunte e eventuali azioni pendenti e documentare formalmente il rientro e la restituzione delle funzioni.
L’assunzione del ruolo del DPO sostitutivo - Il DPO sostitutivo deve assumere formalmente il carico delle attività del DPO assente, operando nel rispetto dei principi ben noti che si applicano alla funzione come: indipendenza, riservatezza e correttezza professionale. Le modalità con cui operare si differenziano tra una emergenza limitata nel tempo ed una protratta o irreversibile.
Nel caso di emergenza è temporanea, il DPO sostitutivo dovrebbe:
- occuparsi dell’ordinaria amministrazione privacy;
- fornire supporto su richieste degli interessati, data breach, pareri correnti;
- documentare puntualmente tutte le attività svolte;
- effettuare il passaggio di consegne al DPO al suo rientro.
L’obiettivo è garantire continuità senza introdurre cambiamenti strutturali non necessari o alterare modalità di controllo consolidate. Non è necessario, nella maggiore parte dei casi, comunicare la sostituzione a tutti i collaboratori interni ed ai principali clienti e fornitori, trattandosi di una condizione temporanea. La comunicazione al Garante va valutata di caso in caso con una adeguata dose di buon senso.
Nel caso di emergenza prolungata o definitiva, il DPO sostitutivo deve:
- continuare a gestire l’ordinaria amministrazione chiudendo i temi eventualmente aperti e pianificare le attività per i mesi a venire;
- documentare in modo ancora più rigoroso le attività svolte;
- sollecitare formalmente l’organizzazione affinché proceda alla nomina di un nuovo DPO titolare, nel rispetto del GDPR; se tale attività implicasse lunghi tempi da valutare una comunicazione sia interna che esterna del nominativo del sostituto anche al Garante, laddove tale comunicazione non fosse già stata effettuata;
- effettuare il passaggio di consegne al nuovo DPO.
Passaggio di consegne - Una volta nominato il nuovo DPO, quello sostitutivo deve favorire una transizione fluida e tracciabile tramite un passaggio di consegne strutturato che preveda di trasferire documentazione, storico delle attività, criticità aperte.
Il ruolo del referente privacy - In questo contesto il referente privacy gioca un ruolo fondamentale in quanto favorisce il passaggio di consegne mantenendo la storicità delle attività come elemento di continuità. Le problematiche nascono quando tale funzione non è presente all’interno dell’organizzazione in quanto il ruolo è “erroneamente” ricoperto dal DPO, situazione questa purtroppo non infrequente.
Conclusioni - La gestione di un’emergenza che coinvolge il DPO non può essere improvvisata. Solo attraverso pianificazione preventiva, chiarezza dei ruoli e documentazione adeguata è possibile:
- evitare interruzioni nella governance privacy;
- ridurre i rischi di non conformità;
- dimostrare responsabilità e maturità organizzativa.
In un contesto regolatorio la gestione dell’emergenza del DPO rappresenta non un’eccezione, ma una componente essenziale di un sistema di protezione dei dati realmente efficace che deve essere pianificata in anticipo.
