Certificazioni Di Competenza In Materia Di Protezione Dei Dati Personali
L’art. 42 del GDPR prevede ed incoraggia l’istituzione di meccanismi di certificazione della protezione dei dati nonché di sigilli e marchi di protezione dei dati allo scopo di dimostrare la conformità al presente regolamento dei trattamenti effettuati dai titolari e dai responsabili del trattamento. Ciò consente agli interessati di valutare rapidamente il livello di tutela delle informazioni personali garantito dai relativi prodotti e servizi secondo il principio di responsabilizzazione e rendicontazione che anima l’intero GDPR.
La certificazione però, non dimostra di per sé la conformità dell’ente al Regolamento, ma costituisce un elemento a favore della predetta responsabilizzazione e rendicontazione.
Il Regolamento o le altre disposizioni in materia difatti, non impongono il possesso di certificazioni. Come precisato dal recente “Documento di indirizzo su designazione, posizione e compiti del Responsabile della protezione dei dati (RPD) in ambito pubblico” pubblicato dal Garante privacy, avere una certificazione non equivale, di per sé, a un’abilitazione allo svolgimento del ruolo, né può sostituire la corretta valutazione dei requisiti necessari.
Di conseguenza il titolare deve in primo luogo dotarsi di soggetti competenti in materia tenendo conto anche (ma non solo) delle certificazioni possedute da questi, ed in secondo luogo dimostrare, più in generale, la propria conformità alle prescrizioni normative comunitarie in caso di verifiche ispettive.
I modelli attualmente esistenti, in materia di data protection, sono:
- L’UNI/PdR 43:2018 e L’ISDP 10003:2020: consentono di certificare un processo, un servizio o un prodotto;
- L’ISO/IEC 27701:2019: agisce sui controlli;
- Il BS 10012/2017: ha come obiettivo quello di fornire gli elementi per l’implementazione di un sistema di gestione della privacy.
Ad oggi non sono stati accreditati schemi ai sensi degli artt. 42 e 43, ma aderire ad uno schema di certificazione ha comunque una sua forte validità in chiave di accountability. Ancora, ricorrere a uno schema di certificazione è auspicabile anche poiché rappresenta uno di quei parametri che, in fase di verifica ispettiva, possono indurre l’autorità di controllo a mitigare eventuali sanzioni.
I cosiddetti “soggetti privacy” della struttura, gli autorizzati ex art. 29 e i responsabili esterni ex art. 28 GDPR, vanno adeguatamente istruiti e la direzione aziendale deve dunque promuovere la consapevolezza dello schema.
L’organizzazione inoltre deve anche effettuare audit periodici di verifica dello schema qualora, mutando un processo all’interno dell’ente, sia necessario ridefinire i ruoli e le mansioni degli autorizzati al trattamento.