Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime e Analisi Vulnerabilità
L’Autorità garante per la protezione dei dati personali ha annunciato un’indagine nei confronti degli enti locali “per verificare il rispetto dell’obbligo di comunicazione dei dati di contatto del Responsabile della protezione dei dati”. Noi ci eravamo già chiesti quale fosse lo stato dei Comuni, fra designazioni mancate ed inefficaci. Stando all’attività di controllo annunciata dal Garante, il focus dei controlli sarà proprio la comunicazione dei dati di contatto ovverosia l’adempimento di cui all’art. 37.7 GDPR:
“Il titolare del trattamento o il responsabile del trattamento pubblica i dati di contatto del responsabile della protezione dei dati e li comunica all’autorità di controllo.”
Pubblicare i dati di contatto consente agli interessati che si trovano all’interno (es. i dipendenti) o all’esterno (es. i cittadini) del Comune di conoscere la modalità attraverso cui possono raggiungere facilmente il DPO. La funzione della comunicazione dei dati di contatto è invece quella di garantire che l’autorità di controllo possa essere in grado di contattare il DPO in modo diretto ed efficace. È bene ricordare infatti che fra i compiti del DPO c’è quello di fungere da punto di contatto per l’autorità di controllo, come previsto dall’art. 39.1 lett. e) GDPR.
Dopo un quinquennio dall’applicazione del GDPR, è infatti piuttosto singolare che enti così rilevanti per volume, qualità e sensibilità di dati trattati non abbiano ancora provveduto alla designazione di un DPO. Beninteso: non un DPO inadeguato o in una posizione di conflitto d’interesse, ma proprio una mancata designazione. Il che equivale a dire: cari cittadini, non ci interessa avere cura dei vostri dati personali; abbiamo cose più importanti da fare, qui.
Ebbene: posta in un modo che va semplicemente a rendere esplicito ciò che in sostanza viene fatto, è accettabile? Quanti elettori non si indignerebbero di ciò e non riterrebbero valida alcuna giustificazione?
E no, la scusa del budget insufficiente non regge.
Può essere possibile ricorrere alle Unioni o alle Convenzioni. Si può optare per un servizio di formazione e supporto di un proprio DPO interno. Insomma: le soluzioni esistono, ma semplicemente si è scelto di non percorrerle. Probabilmente ad oggi la data protection ancora non è percepita nella sua dimensione di tutela del cittadino e delle sue libertà fondamentali. Di ciò non potremo mai smettere di ringraziare i negazionisti di questo diritto fondamentale, emersi con pervicacia durante la fase emergenziale del Covid. Un periodo in cui ogni attenzione verso la proporzionalità è venuta meno.
Ora però occorre un approccio di tipo lesson learned a questa ferita culturale, ripartendo proprio dagli enti locali. In caso contrario, con il disinteresse a riguardo ci si preparerà semplicemente alla prossima esfiltrazione dei dati di un’anagrafe comunale o al blocco dei servizi. Con la rassicurazione “che saranno ripristinati al più presto possibile”, e che “non sono stati violati dati sensibili”. O forse al fatto che con un credito sociale insufficiente ci sarà impedito l’ingresso a qualche zona, chissà.
Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.
Innovazione
Cybercrime
Vulnerabilità
Innovazione
Cyber Italia