Nel panorama normativo contemporaneo, la protezione dei dati personali rappresenta una delle sfide più complesse per le aziende.
In tale contesto, l’adozione di un modello organizzativo e gestionale ex d.lgs. 8-6-2001, n. 231 (MOG 231) orientato alla prevenzione degli illeciti privacy si configura quale strumento strategico fondamentale. Ciò, anche in considerazione del fatto che l’art. 24-bis del d.lgs. 8-6-2001, n. 231 ha introdotto nel catalogo dei cc.dd. reati presupposto i delitti informatici e trattamento illecito di dati.
L’implementazione di un MOG 231 efficace per la prevenzione degli illeciti privacy richiede un approccio sistemico.
Il MOG 231, come noto, deve rispondere alle esigenze previste dall’art. 6 del d.lgs. 8-6-2001, n. 231 individuando le attività nel cui ambito possono essere commessi, per quel che qui importa, reati informatici e di trattamento illecito dei dati.
Il MOG 231, pertanto, deve prevedere l’identificazione dei trattamenti ad alto rischio (raccolta, conservazione, comunicazione e cancellazione dei dati personali) e l’esecuzione delle relative DPIA (Data Protection Impact Assessment – Valutazione d’Impatto sulla Protezione dei Dati).
Il MOG 231 deve conseguentemente implementare misure tecniche e organizzative adeguate a garantire un livello di sicurezza appropriato al rischio “mappato”.
Non solo.
Il MOG 231 deve prevedere:
- una chiara definizione dei ruoli (titolare, responsabile del trattamento, autorizzati e DPO), con particolare attenzione alla delimitazione delle responsabilità;
- programmi formativi e di sensibilizzazione differenziati.
Il principio di minimizzazione.
Aspetto di particolare importanza è l’implementazione del principio di minimizzazione sancito dall’art. 5 del GDPR (Regolamento UE 2016/679). Principio, quest’ultimo, che impone che i dati personali raccolti e trattati siano adeguati, pertinenti e limitati a quanto strettamente necessario per le finalità dichiarate. L’anzidetto principio mira, in questo modo, a ridurre i rischi di violazione, limitando la quantità di informazioni a quelle indispensabili.
Sulla scorta del principio di minimizzazione, il MOG 231 deve prevedere:
- sistemi di verifica automatica della congruità dei dati trattati rispetto alle finalità dichiarate;
- protocolli strutturati per la cancellazione automatica dei dati al termine del periodo di conservazione necessario.
La gestione del data breach.
Il MOG 231 deve prevedere procedure strutturate per la gestione dei data breach (violazione dei dati personali), in conformità all’art. 33 del GDPR che richiede la notifica all’autorità di controllo (Garante per la protezione dei dati personali) entro 72 ore.
Il modello deve quindi implementare:
- procedure di incident response al fine di garantire un intervento immediato volto a contenere le violazioni e minimizzare i danni;
- sistemi di logging e tracciabilità capaci di registrare tutte le operazioni sui dati personali per consentire analisi forensi in caso di violazioni;
- procedure per valutare se la violazione ha comportato “un rischio elevato per i diritti e le libertà delle persone fisiche” e richieda, pertanto, una comunicazione diretta agli interessati.
L’Organismo di vigilanza?
L’art. 6, comma 1, lett. b) del d.lgs. 8-6-2001, n. 231 richiede che “il compito di vigilare sul funzionamento e l’osservanza dei modelli di curare il loro aggiornamento [sia] stato affidato a un organismo dell’ente dotato di autonomi poteri di iniziativa e di controllo”.
Per quanto riguarda la materia della privacy, l’Organismo di vigilanza deve coordinarsi con il DPO (Data Protection Officer – Responsabile della Protezione dei Dati), evitando sovrapposizioni e, al contrario, garantendo sinergie operative.
In conclusione.
Il MOG 231 o, come è stato definito, il c.d. MOP (Modello organizzativo privacy) deve integrarsi armonicamente e con le policy di cybersecurity e con i sistemi di gestione ISO 27001.
Ciò, al fine di evitare inutili sovrapposizioni e garantire la protezione dei dati personali e dei sistemi informatici.
L’efficacia del MOG 231 in ambito privacy richiede un approccio dinamico che tenga conto dell’evoluzione tecnologica e normativa secondo i principi della privacy by design e by default, generando benefici che vanno oltre la mera conformità normativa.
Basti pensare alle pesanti sanzioni previste dal GDPR (Regolamento UE 2016/679), che possono raggiungere il 4% del fatturato annuo mondiale, rispetto alle quali il MOG 231 rappresenta uno strumento di contenimento.
Nel contesto attuale dell’economia digitale, dove i dati rappresentano un asset strategico fondamentale, l’adozione di un MOG 231 orientato alla privacy non è più un’opzione ma una vera e propria necessità.
Dott. Luca Bertazzoni