Con chi deve collaborare il Data Protection Officer in azienda?
La protezione dei dati personali è diventata una risorsa strategica tanto da essere considerata the new oil.
Le organizzazioni si muovono tra normative, infrastrutture digitali, rischi informatici, audit, fornitori e responsabilità diffuse.
In mezzo a tutto questo c’è il DPO, la figura che ha l’onere di trasformare il GDPR in prassi quotidiana.
Il DPO non è un burocrate solitario ma un perno della governance.
Con chi deve interfacciarsi il DPO per assicurare il coordinamento della sicurezza informatica con le politiche sulla protezione dei dati personali?
Con il Responsabile ICT/IT, soprattutto nelle realtà in cui non esista un CISO.
Ma per comprenderlo pienamente, occorre guardare il quadro più ampio.
Il DPO non è un controllore isolato
Uno dei malintesi è l’idea che il DPO “controlli tutto” o che sia responsabile diretto di ogni violazione.
Il DPO non è responsabile di un data breach né di una mancata conformità,
perché non decide mezzi e finalità: quelle competono al Titolare del trattamento.
Il suo ruolo è monitorare, consigliare, segnalare i rischi, supportare le valutazioni, favorire la conformità.
Non può ricevere istruzioni su come svolgere i propri compiti, perché deve essere indipendente, ma le decisioni finali restano al Titolare o al Responsabile del trattamento.
DPO e sicurezza informatica hanno ruoli diversi ma le stesse battaglie
Quali sono le differenze tra il DPO e il CISO?
La confusione nasce perché entrambi operano sulla protezione di asset digitali, ma da prospettive distinte:
-
il CISO protegge i sistemi
-
il DPO protegge i dati personali
Il primo è tecnico-strategico, il secondo è giuridico–organizzativo.
Uno guarda minacce, firewall, crittografia; l’altro tratta basi giuridiche, accountability, valutazioni d’impatto e diritti degli interessati.
Quando il CISO non esiste, circostanza comune nelle PMI, l’interlocutore naturale diventa l’ICT.
Con chi deve interfacciarsi il DPO in assenza di un CISO?
Con il Responsabile ICT/IT, perché è la figura che presidia quotidianamente le misure tecniche.
Il dialogo deve essere costante su aspetti quali:
-
sistemi informativi
-
cybersecurity tecnica
-
reti e accessi
-
incidenti di sicurezza
-
fornitori IT
Senza questa collaborazione, la privacy resta un documento e non diventa sicurezza reale.
Il DPO può avere altri incarichi? Sì, ma senza conflitti
Il DPO può svolgere altre funzioni solo se non comportano un conflitto di interessi:
non può decidere i mezzi e le finalità del trattamento, non può essere responsabile HR, CTO, responsabile marketing o di reparto.
Può invece: essere interno o esterno, far parte dell’organigramma, operare con un team.
Tutto questo a patto che conservi autonomia.
DPO, fornitori e responsabili del trattamento
Gli esami insistono anche sul rapporto con i terzi.
Inoltre il ruolo del DPO prevede che debba verificare che:
-
esistano contratti ex art. 28
-
i responsabili garantiscano misure adeguate
-
ci siano audit e controlli periodici
Il cloud è un rischio e il DPO deve saperlo valutare, chiedendo supporto tecnico all’IT.
Il DPO deve supportare la formazione aziendale
Poiché la protezione dei dati è una responsabilità distribuita, la formazione è uno strumento essenziale.
Il DPO non è un docente permanente, ma deve fare in modo di suportare il Titolare e promuovere la consapevolezza, supportare i programmi formativi e segnalare i reparti a rischio
Spesso, nei test, la risposta corretta è che la formazione è obbligatoria per il Titolare, ma il DPO la supporta.
Audit, ispezioni e accountability
Il DPO deve anche verificare documentazione e processi, favorire audit interni, preparare evidenze e segnalare lacune
Perché l’accountability è una prova concreta.
La forza del DPO non è individuale, ma relazionale
Il DPO guida l’azienda dove legge, tecnologia e rischio convivono.
Non impone soluzioni ma costruisce un equilibrio.
Non protegge i server ma le persone.
Non governa da solo ma attraverso la relazione con ICT, direzione, fornitori e personale.
Quando questa rete funziona, la privacy diventa reale.
Digimetrica
Dal 2001 cybersecurity al servizio delle aziende
Visita il Profilo Linkedin
