Valutare l'adeguatezza delle politiche del titolare del trattamento

Il paradigma della “prognosi postuma”

I sistemi “231” e “privacy” presentano analogie tra i rispettivi schemi operativi di sorveglianza/vigilanza e nella governance dei processi di verifica e valutazione che possono essere oggetto di osmosi operativa. Tanto è vero che il paradigma della “prognosi postuma” per la valutazione dell’efficacia e dell’idoneità di un modello organizzativo 231 può essere mutuato dal sistema privacy per valutare l’adeguatezza delle misure tecniche ed organizzative adottate dal titolare del trattamento. Vediamo come

L’incremento esponenziale della complessità normativa ha posto le imprese di ogni settore di fronte a sfide senza precedenti. In particolare, l’obbligo per le stesse imprese di garantire la conformità dei processi aziendali ai sistemi normativi “231” e “privacy” postula la necessità di trovare soluzioni integrate.

In tale quadro, il sistema “privacy” può mutuare dal sistema “231” il paradigma della “prognosi postuma”. Questo suggestivo ossimoro, coniato dalla Giurisprudenza della Corte di Cassazione, qualifica un importante meccanismo di valutazione dell’efficacia delle misure di prevenzione dei “reati presupposto”.

Riteniamo che lo stesso meccanismo possa funzionare anche per ponderare l’adeguatezza delle misure tecniche ed organizzative adottate dal titolare del trattamento per garantire la compliance privacy.

Vediamo allora di cosa si tratta.

Il Modello di organizzazione e gestione per prevenire i “reati presupposto”

È noto che il sistema disegnato dal D.lgs. 231/2001 stabilisce che a fronte della commissione di taluni reati, commessi a vantaggio e nell’interesse di un ente da soggetti a questo riferibili (apicali o loro subordinati), lo stesso ente è esonerato dalla connessa responsabilità amministrativa se ha adottato ed efficacemente attuato, prima della commissione del fatto, modelli di organizzazione e di gestione (i cc.dd. MOG) idonei a prevenire i reati presupposto.

Il paradigma della “prognosi postuma”

Secondo la Cassazione, nel sistema 231 non vi sono automatismi.

Per cui, la commissione di un reato presupposto non equivale a dimostrare che il MOG non sia idoneo ed efficace. Per questo motivo il giudice è chiamato ad una valutazione del modello in concreto, non solo in astratto e deve farlo seguendo il meccanismo valutativo della c.d. “prognosi postuma”.

Con questo ossimoro, la Suprema Corte ha sancito la necessità che il giudice, per valutare l’efficacia e l’idoneità del modello a prevenire i reati presupposto, si collochi idealmente nel momento in cui il reato è stato commesso e ne verifichi la prevedibilità ed evitabilità qualora fosse stato adottato il modello organizzativo “virtuoso”.

Per tale verifica può prendere in considerazione il c.d. “comportamento alternativo lecito”, i.e. il comportamento funzionale a valutare se l’osservanza della regola cautelare, contenuta nel modello organizzativo “virtuoso”, avrebbe eliminato o ridotto il rischio di verificazione di illeciti della stessa specie di quello posto concretamente in essere.

Analogie e osmosi tra i sistemi “231” e “privacy”

Quanto evidenziato vale a dimostrare che nel sistema “231” la commissione di un reato presupposto da parte di un soggetto apicale o un altro soggetto a lui subordinato, nell’interesse o a vantaggio dell’ente, non comporta automaticamente responsabilità dell’ente stesso.

Questo, come si è detto, è esonerato dalla responsabilità qualora abbia adottato ed efficacemente attuato, prima della commissione del fatto, modelli di organizzazione e di gestione (i cc.dd. MOG) idonei a prevenire reati presupposto.

Questo stesso schema è sovrapponibile al sistema privacy laddove il GDPR[2] sancisce che il titolare del trattamento, al fine di poter garantire e dimostrare la conformità alla normativa privacy, ha l’obbligo di:

• adottare politiche interne (auspicabilmente sistematizzate in un Modello Organizzativo Privacy[3]);
• attuare misure che soddisfino in particolare i principi della protezione dei dati fin dalla progettazione e della protezione dei dati per impostazione predefinita.

Anche nel sistema privacy non dovrebbe configurarsi un automatismo secondo il quale ad ogni violazione della normativa privacy deve corrispondere una sanzione da parte dell’Autorità Garante o una condanna al risarcimento del danno da parte del Giudice Civile.

Infatti, il rischio, di fatto, non potrà mai essere azzerato ma può essere soltanto mitigato il più possibile.

La curva del rischio è un asintoto, cioè tende allo zero, si avvicina indefinitamente alla linea della probabilità e a quella della gravità – rappresentate sul piano cartesiano dall’asse delle ascisse e dall’asse delle ordinate – incontrandole in un punto all’infinito.

Quindi, anche applicando le più adeguate misure di mitigazione possibili, la curva non potrà mai, di fatto, congiungersi con la linea della gravità o della probabilità, rimanendo sempre ad esse parallela.

L’unico modo per azzerare un rischio è infatti quello di eliminare la fonte del rischio.

In questo scenario, in caso di violazione privacy commessa da un autorizzato o da un responsabile del trattamento, l’adozione di misure tecniche ed organizzative (auspicabilmente confluenti in un Modello Organizzativo Privacy) davvero efficaci e adeguate, dovrebbero funzionare da scudo verso possibili sanzioni da parte dell’Autorità di controllo e/o di condanne da parte del Giudice Civile.

Così, il DPO potrebbe mutuare il paradigma della “prognosi postuma” del sistema “231” per assistere il proprio titolare nella gestione dei contenziosi.

In particolare, potrà evidenziare l’efficacia e l’adeguatezza del Modello Organizzativo Privacy, ove presente o, comunque, delle misure tecniche e organizzative di protezione messe in atto dal titolare e che erano state applicate ai dati personali oggetto della violazione, prima della violazione stessa.

Peraltro, a ben vedere un meccanismo analogo a quello della “prognosi postuma” è già presente nelle maglie del GDPR, in particolare nel meccanismo posto dall’art. 34 paragrafo 3 lettera a) per verificare la sussistenza dell’obbligo a carico del titolare di comunicare un data breach agli interessati.

Il paradigma della “prognosi postuma”: casi concreti

Vediamo ora, di seguito, 3 casi concreti in cui il meccanismo della “prognosi postuma” aiuta a valutare l’adeguatezza del Modello Organizzativo Privacy o delle misure tecniche ed organizzative.

Contesto

L’acciaieria XXX occupa più di un migliaio di persone ed il personale di produzione lavora 7/7- h 24. Gli addetti alla manutenzione – che sono poco meno di un centinaio di persone – devono garantire, secondo un piano definito mensilmente, la reperibilità durante il turno notturno. Valeria, assunta da più di 10 anni, è impiegata del reparto commerciale; sua sorella Antonia è titolare di un’agenzia assicurativa. Alberto è stato assunto da un paio di anni e ricopre il ruolo di capo reparto.

Scenario 1

Valeria ha frequentato la formazione sulla protezione dei dati personali organizzata dall’acciaieria, all’introduzione del GDPR ma non ha ricevuto una nomina formale di “autorizzato al trattamento” in quanto si è considerato che tratta solo dati di persone giuridiche (le aziende clienti dell’acciaieria).

L’elenco del personale addetto alla manutenzione, completo di: nome e cognome, numero del cellulare aziendale e numero telefono del proprio domicilio, indirizzo del domicilio è disponibile nel sito intranet aziendale a tutti i collaboratori. Valeria scarica l’elenco dei colleghi addetti alla manutenzione e li consegna a sua sorella assicuratrice affinchè li contatti per proporre loro vantaggiose polizze assicurative.

In questo caso si è verificato un data breach ad opera di Valeria e l’acciaieria, quale titolare del trattamento, sarà verosimilmente destinataria di una sanzione da parte dell’Autorità Garante poiché appare configurabile la circostanza che nel sistema 231 è qualificata “colpa di organizzazione”, i.e. un deficit organizzativo di misure che avrebbero consentito di eliminare o ridurre il rischio derivante da una determinata attività.

In questo caso non risulta applicabile il meccanismo valutativo delle “prognosi postuma” non potendosi applicare il modello del c.d. “comportamento alternativo lecito” poiché manca un ciclo di formazione continua e la nomina formale di autorizzato al trattamento in favore di Valeria. Si tratta di misure che avrebbero costituito validi supporti delle deduzioni difensive nel contenzioso con il Garante.

Inoltre, altre misure che l’organizzazione avrebbe dovuto applicare sono:

• limitare le funzioni aziendali che hanno accesso ai dati del personale reperibile e quindi escludere Valeria che, operando al commerciale, non necessita di tale dato;
• limitare i dati presenti nell’elenco a quelli realmente necessari: e.g. nome, cognome e cellulare.

Scenario 2

Valeria ha frequentato la formazione sulla protezione dei dati personali organizzata dall’acciaieria, all’introduzione del GDPR ma non ha ricevuto una nomina formale di “autorizzato al trattamento” in quanto si è considerato che tratta solo dati di persone giuridiche. Alberto (capo reparto) al momento dell’assunzione non ha frequentato tale corso e non ha ricevuto, analogamente a Valeria alcuna nomina di autorizzato al trattamento.

L’elenco del personale addetto alla manutenzione, completo di: nome e cognome, numero del cellulare aziendale e numero telefono del proprio domicilio, indirizzo del domicilio è disponibile nel sito intranet aziendale solo ai capi reparto, ovvero i soggetti autorizzati a contattare il personale addetto alla manutenzione reperibile in caso di necessità.

Valeria chiede ad Alberto di fornirgli l’elenco dei colleghi addetti alla manutenzione, motivando tale richiesta con un’esigenza espressa da un cliente. Alberto senza effettuare alcun approfondimento in merito alla richiesta della collega, le consegna tale documento.

In questo caso valgono le stesse considerazioni fatte per lo scenario precedente, alle quali si aggiunge la previsione di irrogazione di una sanzione più severa a causa di un deficit organizzativo più esteso considerando che Alberto non è mai stato avviato a formazione. Pertanto, ancor più chiaramente non risulta applicabile il meccanismo valutativo della “prognosi postuma”.

Scenario 3

Valeria ha frequentato la formazione sulla protezione dei dati personali organizzata dall’acciaieria, all’introduzione del GDPR. Anche Alberto è stato formato all’atto dell’assunzione. Successivamente seguono la formazione ogni anno in occasione dei richiami annuali ed hanno ricevuto entrambi la nomina formale di autorizzati al trattamento.

L’elenco del personale addetto alla manutenzione riporta il: nome e cognome ed il numero del cellulare aziendale ed è disponibile nel sito intranet aziendale solo ai capi reparto.

Valeria con uno stratagemma riesce a carpire la password di Alberto e recuperare l’elenco dei colleghi addetti alla manutenzione.

In questo caso si è verificato un data breach ad opera di Valeria ma l’acciaieria, quale titolare del trattamento potrebbe ragionevolmente non essere sanzionata dall’Autorità Garante per aver adottato misure organizzative che secondo il meccanismo valutativo della “prognosi postuma” appaiono adeguate.

Seguendo il modello del c.d. “comportamento alternativo lecito” è agevole valutare che l’osservanza delle misure di gestione dei rischi (formazione sistematica e nomina di autorizzato al trattamento) avrebbe eliminato o ridotto il rischio di verificazione del data breach.

Conclusioni

In un panorama normativo sempre più intricato, le aziende sono chiamate ad affrontare sfide significative legate alla gestione della compliance “231” e “privacy”.

L’osmosi operativa tra questi due mondi distinti rappresenta una prospettiva promettente per le organizzazioni impegnate a costruire un futuro basato sul rispetto dei diritti fondamentali e dei principi etici.

Con questo articolo si è cercato di evidenziare come l’integrazione di best practice e di moduli operativi quali la prognosi postuma – coniata dalla Giurisprudenza per il Modello 231 – ben si presta ad essere calata in quello privacy, e rappresenta una risposta chiave per gestire efficacemente i rischi inerenti ai processi aziendali.

Detta integrazione potrà così comportare benefici a lungo termine, in termini di produttività, competitività e sostenibilità.

 

Fonte articolo: CyberSecurity360