Sicurezza delle informazioni e Compliance nella Supply Chain: il cuore della resilienza, della fiducia e della data protection nel tessuto produttivo italiano
Quando si affronta il tema della sicurezza delle informazioni e della protezione dei dati personali, si tende spesso a focalizzarsi esclusivamente sulle misure adottate entro i confini della singola impresa. Una simile prospettiva risulta però riduttiva, soprattutto nel contesto italiano ed europeo.
(Nella foto: Davide De Luca, autore del libro "Sicurezza e Compliance nella Supply Chain" edito da Edizioni Giuridiche Simone)
In Italia, oltre il 99% del tessuto imprenditoriale è costituito da PMI, con le microimprese che rappresentano circa il 94,6% del totale secondo i rapporti ISTAT. Queste realtà non dispongono delle risorse per gestire internamente tutte le componenti della filiera. Similmente, in Europa circa 33 milioni di imprese, di cui il 99% microimprese, affrontano la medesima situazione.
Questo scenario determina una necessità fisiologica di affidarsi all'outsourcing: infrastrutture IT, cybersecurity, gestione documentale, payroll, logistica e marketing digitale. Se da un lato l'esternalizzazione permette di contenere costi e accedere a competenze avanzate, dall'altro determina un innalzamento esponenziale dei rischi, sia in termini di violazione dei dati sia di vulnerabilità cyber.
Il DPO e il Responsabile della Sicurezza sono dunque chiamati a valutare costantemente i rischi connessi alla supply chain, adottando politiche contrattuali, tecniche e organizzative che coinvolgano attivamente i fornitori.
La scelta dei partner deve basarsi non sul mero prezzo, ma su qualifica, certificazioni e trasparenza contrattuale. Il contesto regolamentare europeo (GDPR, NIS2, DORA) enfatizza responsabilità condivise e un approccio integrato alla filiera.
L'esternalizzazione di attività che comportano il trattamento di dati personali - Il ricorso all'esternalizzazione presuppone un'attenta valutazione degli obblighi normativi, consentendo al titolare di stabilirne la fattibilità previa corretta individuazione del responsabile del trattamento. Le Linee guida EDPB 07/2020 chiariscono questi concetti fondamentali.
Il titolare del trattamento decide finalità e mezzi del trattamento; non è necessario che abbia accesso effettivo ai dati. Il responsabile del trattamento è invece il soggetto che tratta dati personali per conto del titolare, dovendo rispettare due condizioni: essere distinto dal titolare e trattare dati per suo conto. Al responsabile non è consentito trattare i dati diversamente dalle istruzioni ricevute; qualora definisse mezzi e finalità propri, violerebbe il GDPR e sarebbe considerato titolare per quel trattamento.
Rapporto tra titolare e responsabile - Il titolare deve avvalersi unicamente di responsabili che presentino garanzie sufficienti, valutando: conoscenze specialistiche, grado di affidabilità, risorse disponibili e adesione a codici di condotta o certificazioni riconosciute. Ogni trattamento deve essere disciplinato da un contratto vincolante che non si limiti a ribadire il GDPR, ma specifichi concretamente requisiti e livelli di sicurezza.
La filiera dei sub-responsabili - Qualora il responsabile ricorra a sub-responsabili, deve stipulare contratti che impongano sostanzialmente gli stessi obblighi in materia di protezione dei dati. Il responsabile rimane pienamente responsabile nei confronti del titolare per l'adempimento degli obblighi dei sub-responsabili e deve notificare qualunque inadempimento. È inoltre prevista la clausola del terzo beneficiario ex art. 1411 c.c., che tutela il titolare in caso di cessazione o insolvenza del responsabile.
Gli obblighi del titolare - I principali obblighi includono: l'accordo ex art. 28 GDPR con preventiva comunicazione dei sub-responsabili; la clausola risolutiva espressa per violazioni normative; la definizione di misure organizzative contestualizzate; la formazione; la richiesta della DPIA; gli audit presso il fornitore. Le carenze integrano culpa in eligendo e/o in vigilando. La mancata adesione può determinare violazioni degli artt. 5 par. 2, 24, 25, 28 e 32 del GDPR. Per le violazioni degli artt. 25, 28 e 32 è prevista sanzione fino a 10 milioni di euro; per l'art. 5, fino a 20 milioni di euro.
Questo ed altri argomenti come:
- Gli ESRS (European Sustainability Reporting Standards)
- La Supply Chain in riferimento al Perimetro di Sicurezza Nazionale Cibernetica
- La Supply Chain in relazione al Cyber Resilience Act
- La Supply Chain nella NIS2
- I punti di tangenza tra il Regolamento DORA e la Supply Chain
- La ISO 28001:2020, Sistemi di gestione per la sicurezza della catena logistica
- La ISO 28000:2022 Security Management System per la Supply Chain
- La NIST 800-161 - Cybersecurity Supply Chain Risk Management Practices for Systems and Organizations
possono essere approfonditi leggendo il mio volume “Sicurezza e compliance nella supply chain”, pubblicato da Edizioni Giuridiche Simone (2025), che sarà presentato giovedì 8 gennaio 2026 presso il Polo Didattico Gabriele D'Annunzio del Dipartimento di Scienze Politiche dell'Università di Teramo.
