Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime e Analisi Vulnerabilità
Accountability, bestia strana. Viene citata dal 2016, quando il GDPR era un po’ come l’Inverno di Game of Thrones. Che poi in realtà è arrivato ma non è stato tutta questa confusione, il grosso dei danni l’hanno fatto per lo più operatori e, soprattutto, autorità di controllo che non si sono dimostrate granché pronte. Ma acqua passata non macina più, ma ha comportato dei gap cognitivi niente male. Primo fra tutti intendere – o concordare – che cosa si intende con quel principio cardine di accountability o responsabilizzazione. Che già a colpo d’occhio dovrebbe richiamare un’assunzione di responsabilità, l’interiorizzazione di una tendenza a tryhardare e così via.
Invece, purtroppo, è stata spesso impiegata in qualche catchphrase per:
con quelle tinte di esoterismo legal tech che tanto piacciono alla legislazione dell’Unione Europea, condite dal guizzo artistico all’italiana.
Il tutto ovviamente non ha granché giovato alla comprensione diffusa del principio e alla sua declinazione sul piano operativo. Un comune denominatore di gran parte delle criticità nell’approccio al GDPR rilevate all’interno delle istruttorie del Garante Privacy.
Il peccato originale? Sta nell’interpretazione dell’art. 5 par. 2 GDPR:
“Il titolare del trattamento è competente per il rispetto del paragrafo 1 e in grado di comprovarlo («responsabilizzazione»).”
erroneamente confuso con l’esigenza di un’ipertrofia documentale. Cosa che non solo è profondamente sbagliata ma è anche controproducente dal momento che allontana da ciò che prevede la norma: l’onere per il titolare del trattamento di essere costantemente in grado di dimostrare l’ottemperanza alla normativa vigente in materia di protezione dei dati personali.
Cosa che, per logica, presuppone il rispetto della normativa dal momento che è un’attività di rendicontazione.
Facciamo un doveroso passo indietro e interroghiamoci sul perchè sia stato previsto questo meccanismo che comporta un obbligo apparentemente gravoso per l’assenza di indici formali se non eventuali linee guida e di indirizzo fornite dalle autorità di controllo.
Quello che si è voluto assicurare è stata la libertà di iniziativa economica e d’impresa, contemperata dall’esigenza di garantire un elevato livello di protezione a diritti e libertà fondamentali nelle attività di trattamento nei dati personali. Il binomio richiamato dall’art. 1 GDPR: protezione delle persone fisiche con riguardo al trattamento dei dati personali e libera circolazione di tali dati.
Motivo per cui è necessario che le organizzazioni possano liberamente agire e selezionare le modalità attraverso cui possono garantire gli adempimenti previsti dalla norma, con un approccio case by case.
Nessuna formula universale, insomma. Né tantomeno cataloghi che in alcuni casi potrebbero essere eccessivamente onerosi, mentre in altri totalmente insufficienti.
La capacità di dimostrare costantemente il rispetto della norma deve pertanto essere considerata nelle strategie ma anche comportare dei riscontri operativi. Altrimenti rimarrebbe solo un wishful thinking. E se le opere incompiute di Schubert sono largamente apprezzate, la stessa sorte non può riguardare l’accountability.
Questo significa però adottare un approccio sistemico, guardando più alla gestione che ai singoli adempimenti.
Altrimenti, il rischio è una dispersione di risorse e attenzione. E quando si perde il focus su questo principio portante, confondendo la capacità di comprovare adempimenti con un’attività di produzione documentale, non solo si deraglia da una filosofia di less is more ma semplicemente si abbandona ogni proposito di avere un controllo di gestione su ciò che si sta facendo con i dati personali.
Cosa che, neanche a dirlo, nuoce gravemente agli obiettivi e alla reputazione dell’organizzazione.
Anche perché, prima o poi, quel castello di carte è inevitabile che cada.
Portando con sé tutte le illusioni di “essere a posto con il GDPR”.
