Stefano Gazzella : 25 Settembre 2025 07:12
Accountability, bestia strana. Viene citata dal 2016, quando il GDPR era un po’ come l’Inverno di Game of Thrones. Che poi in realtà è arrivato ma non è stato tutta questa confusione, il grosso dei danni l’hanno fatto per lo più operatori e, soprattutto, autorità di controllo che non si sono dimostrate granché pronte. Ma acqua passata non macina più, ma ha comportato dei gap cognitivi niente male. Primo fra tutti intendere – o concordare – che cosa si intende con quel principio cardine di accountability o responsabilizzazione. Che già a colpo d’occhio dovrebbe richiamare un’assunzione di responsabilità, l’interiorizzazione di una tendenza a tryhardare e così via.
Invece, purtroppo, è stata spesso impiegata in qualche catchphrase per:
con quelle tinte di esoterismo legal tech che tanto piacciono alla legislazione dell’Unione Europea, condite dal guizzo artistico all’italiana.
 Prova la Demo di Business Log! Adaptive SOC italiano Log management non solo per la grande Azienda, ma una suite di Audit file, controllo USB, asset, sicurezza e un Security Operation Center PERSONALE, che ti riporta tutte le operazioni necessarie al tuo PC per tutelare i tuoi dati e informati in caso di problemi nel tuo ambiente privato o di lavoro.
Scarica ora la Demo di Business Log per 30gg
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Il tutto ovviamente non ha granché giovato alla comprensione diffusa del principio e alla sua declinazione sul piano operativo. Un comune denominatore di gran parte delle criticità nell’approccio al GDPR rilevate all’interno delle istruttorie del Garante Privacy.
Il peccato originale? Sta nell’interpretazione dell’art. 5 par. 2 GDPR:
“Il titolare del trattamento è competente per il rispetto del paragrafo 1 e in grado di comprovarlo («responsabilizzazione»).”
erroneamente confuso con l’esigenza di un’ipertrofia documentale. Cosa che non solo è profondamente sbagliata ma è anche controproducente dal momento che allontana da ciò che prevede la norma: l’onere per il titolare del trattamento di essere costantemente in grado di dimostrare l’ottemperanza alla normativa vigente in materia di protezione dei dati personali.
Cosa che, per logica, presuppone il rispetto della normativa dal momento che è un’attività di rendicontazione.
Facciamo un doveroso passo indietro e interroghiamoci sul perchè sia stato previsto questo meccanismo che comporta un obbligo apparentemente gravoso per l’assenza di indici formali se non eventuali linee guida e di indirizzo fornite dalle autorità di controllo.
Quello che si è voluto assicurare è stata la libertà di iniziativa economica e d’impresa, contemperata dall’esigenza di garantire un elevato livello di protezione a diritti e libertà fondamentali nelle attività di trattamento nei dati personali. Il binomio richiamato dall’art. 1 GDPR: protezione delle persone fisiche con riguardo al trattamento dei dati personali e libera circolazione di tali dati.
Motivo per cui è necessario che le organizzazioni possano liberamente agire e selezionare le modalità attraverso cui possono garantire gli adempimenti previsti dalla norma, con un approccio case by case.
Nessuna formula universale, insomma. Né tantomeno cataloghi che in alcuni casi potrebbero essere eccessivamente onerosi, mentre in altri totalmente insufficienti.
La capacità di dimostrare costantemente il rispetto della norma deve pertanto essere considerata nelle strategie ma anche comportare dei riscontri operativi. Altrimenti rimarrebbe solo un wishful thinking. E se le opere incompiute di Schubert sono largamente apprezzate, la stessa sorte non può riguardare l’accountability.
Questo significa però adottare un approccio sistemico, guardando più alla gestione che ai singoli adempimenti.
Altrimenti, il rischio è una dispersione di risorse e attenzione. E quando si perde il focus su questo principio portante, confondendo la capacità di comprovare adempimenti con un’attività di produzione documentale, non solo si deraglia da una filosofia di less is more ma semplicemente si abbandona ogni proposito di avere un controllo di gestione su ciò che si sta facendo con i dati personali.
Cosa che, neanche a dirlo, nuoce gravemente agli obiettivi e alla reputazione dell’organizzazione.
Anche perché, prima o poi, quel castello di carte è inevitabile che cada.
Portando con sé tutte le illusioni di “essere a posto con il GDPR”.
Stefano GazzellaNel 2025, gli utenti fanno ancora molto affidamento sulle password di base per proteggere i propri account. Uno studio di Comparitech, basato sull’analisi di oltre 2 miliardi di password reali trape...
Numerosi apprezzamenti stanno arrivando per Elon Musk, che continua a guidare con destrezza le molteplici attività del suo impero, tra cui Tesla, SpaceX, xAI e Starlink, mantenendo salda la sua posiz...
Tre ex dipendenti di DigitalMint, che hanno indagato sugli incidenti ransomware e negoziato con i gruppi di ransomware, sono accusati di aver hackerato le reti di cinque aziende americane. Secondo il ...
Cisco ha reso noto recentemente di aver scoperto una nuova tipologia di attacco informatico mirato a compromettere i dispositivi che operano con i software Cisco Secure Firewall Adaptive Security Appl...
Nel mese di Settembre è uscita una nuova vulnerabilità che riguarda Notepad++. La vulnerabilità è stata identificata con la CVE-2025-56383 i dettagli possono essere consultati nel sito del NIST. L...
