Stefano Gazzella : 25 Settembre 2025 07:12
Accountability, bestia strana. Viene citata dal 2016, quando il GDPR era un po’ come l’Inverno di Game of Thrones. Che poi in realtà è arrivato ma non è stato tutta questa confusione, il grosso dei danni l’hanno fatto per lo più operatori e, soprattutto, autorità di controllo che non si sono dimostrate granché pronte. Ma acqua passata non macina più, ma ha comportato dei gap cognitivi niente male. Primo fra tutti intendere – o concordare – che cosa si intende con quel principio cardine di accountability o responsabilizzazione. Che già a colpo d’occhio dovrebbe richiamare un’assunzione di responsabilità, l’interiorizzazione di una tendenza a tryhardare e così via.
Invece, purtroppo, è stata spesso impiegata in qualche catchphrase per:
con quelle tinte di esoterismo legal tech che tanto piacciono alla legislazione dell’Unione Europea, condite dal guizzo artistico all’italiana.
 Cybersecurity Awareness per la tua azienda? Scopri BETTI RHC!Sei un'azienda innovativa, che crede nella diffusione di concetti attraverso metodi "non convenzionali"? Red hot cyber ha sviluppato da diversi anni una Graphic Novel, l'unica nel suo genere nel mondo, che consente di formare i dipendenti sulla sicurezza informatica attraverso la lettura di un fumetto. Scopri di più sul corso a fumetti di Red Hot Cyber. Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected]
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Il tutto ovviamente non ha granché giovato alla comprensione diffusa del principio e alla sua declinazione sul piano operativo. Un comune denominatore di gran parte delle criticità nell’approccio al GDPR rilevate all’interno delle istruttorie del Garante Privacy.
Il peccato originale? Sta nell’interpretazione dell’art. 5 par. 2 GDPR:
“Il titolare del trattamento è competente per il rispetto del paragrafo 1 e in grado di comprovarlo («responsabilizzazione»).”
erroneamente confuso con l’esigenza di un’ipertrofia documentale. Cosa che non solo è profondamente sbagliata ma è anche controproducente dal momento che allontana da ciò che prevede la norma: l’onere per il titolare del trattamento di essere costantemente in grado di dimostrare l’ottemperanza alla normativa vigente in materia di protezione dei dati personali.
Cosa che, per logica, presuppone il rispetto della normativa dal momento che è un’attività di rendicontazione.
Facciamo un doveroso passo indietro e interroghiamoci sul perchè sia stato previsto questo meccanismo che comporta un obbligo apparentemente gravoso per l’assenza di indici formali se non eventuali linee guida e di indirizzo fornite dalle autorità di controllo.
Quello che si è voluto assicurare è stata la libertà di iniziativa economica e d’impresa, contemperata dall’esigenza di garantire un elevato livello di protezione a diritti e libertà fondamentali nelle attività di trattamento nei dati personali. Il binomio richiamato dall’art. 1 GDPR: protezione delle persone fisiche con riguardo al trattamento dei dati personali e libera circolazione di tali dati.
Motivo per cui è necessario che le organizzazioni possano liberamente agire e selezionare le modalità attraverso cui possono garantire gli adempimenti previsti dalla norma, con un approccio case by case.
Nessuna formula universale, insomma. Né tantomeno cataloghi che in alcuni casi potrebbero essere eccessivamente onerosi, mentre in altri totalmente insufficienti.
La capacità di dimostrare costantemente il rispetto della norma deve pertanto essere considerata nelle strategie ma anche comportare dei riscontri operativi. Altrimenti rimarrebbe solo un wishful thinking. E se le opere incompiute di Schubert sono largamente apprezzate, la stessa sorte non può riguardare l’accountability.
Questo significa però adottare un approccio sistemico, guardando più alla gestione che ai singoli adempimenti.
Altrimenti, il rischio è una dispersione di risorse e attenzione. E quando si perde il focus su questo principio portante, confondendo la capacità di comprovare adempimenti con un’attività di produzione documentale, non solo si deraglia da una filosofia di less is more ma semplicemente si abbandona ogni proposito di avere un controllo di gestione su ciò che si sta facendo con i dati personali.
Cosa che, neanche a dirlo, nuoce gravemente agli obiettivi e alla reputazione dell’organizzazione.
Anche perché, prima o poi, quel castello di carte è inevitabile che cada.
Portando con sé tutte le illusioni di “essere a posto con il GDPR”.
Stefano GazzellaIl 15 ottobre 2025 segna un anniversario di eccezionale rilievo nella storia della sicurezza nazionale italiana: cento anni dalla nascita del Servizio Informazioni Militare (SIM), primo servizio di in...
Un nuovo post sul dark web offre l’accesso completo a migliaia di server e database MySQL appartenenti a provider italiani di hosting condiviso. Nelle ultime ore è apparso su un forum underground u...
Un grave incidente di sicurezza è stato segnalato da F5, principale fornitore di soluzioni per la sicurezza e la distribuzione delle applicazioni. Era stato ottenuto l’accesso a lungo termine ai si...
Un nuovo e insolito metodo di jailbreaking, ovvero l’arte di aggirare i limiti imposti alle intelligenze artificiali, è arrivato in redazione. A idearlo è stato Alin Grigoras, ricercatore di sicur...
Nel suo ultimo aggiornamento, il colosso della tecnologia ha risolto 175 vulnerabilità che interessano i suoi prodotti principali e i sistemi sottostanti, tra cui due vulnerabilità zero-day attivame...
