La conformità GDPR che l'ente non riesce a dimostrare

Registro fermo alla prima stesura, nomine sparse, misure mai verificate: nella PA la conformità al GDPR esiste solo se l'ente sa dimostrarla.

Nel 2018, all'arrivo del GDPR, quasi ogni Comune ha vissuto la stessa stagione: consulenze, modelli compilati, un registro dei trattamenti redatto in fretta, nomine distribuite. Poi la stagione è finita, e in molti enti quei documenti sono rimasti dove erano stati riposti: in una cartella, fermi alla data della prima stesura, mentre l'ente cambiava software, fornitori, servizi e persone.

Il problema è che il GDPR non chiede di essere stati conformi un giorno: chiede di esserlo e di poterlo dimostrare in ogni momento. Si chiama accountability, ed è il principio che trasforma una cartella di documenti datati da adempimento chiuso a rischio aperto.

Nessun ente tratta dati più delicati

Vale la pena ricordare cosa passa dagli uffici di un Comune: condizioni di salute e disagio nei servizi sociali, situazioni economiche nei tributi e nelle agevolazioni, informazioni giudiziarie nella polizia locale, dati di minori nei servizi scolastici. Poche organizzazioni, pubbliche o private, concentrano una simile densità di dati che il GDPR protegge con le cautele massime.

A questa densità corrisponde una superficie di rischio in continua espansione: ogni nuovo applicativo è un trattamento che cambia, ogni fornitore che tocca dati è un responsabile da nominare e vigilare, ogni convenzione è un flusso da regolare. Un impianto documentale fermo al 2018 non descrive più l'ente che dovrebbe proteggere.

Il paradosso è che gli enti locali sono, tra le amministrazioni, le più esposte al giudizio diretto: il cittadino che vede il proprio dato trattato con leggerezza dal Comune non scrive a un'autorità lontana — lo racconta, lo segnala, a volte lo porta in un reclamo al Garante. La stessa vicinanza che rende prezioso un Comune rende immediata la perdita di fiducia.

I segnali della conformità di facciata

Riconoscere la distanza tra le carte e la realtà è il primo passo, e i segnali sono ricorrenti.

• Il registro dei trattamenti non è mai stato aggiornato dopo la prima redazione
• Nessuno sa dire quali fornitori trattano dati per conto dell'ente, né con quali atti di nomina
• Le richieste degli interessati si gestiscono a improvvisazione, senza flusso né termini presidiati
• Non esiste un registro delle violazioni, e un incidente verrebbe gestito — e documentato — a memoria

Da adempimento a processo

La via d'uscita non è una nuova stagione di consulenze una tantum, che riprodurrebbe il ciclo: fotografia perfetta, invecchiamento immediato. È trattare la protezione dei dati come un processo ordinario dell'ente: il registro che si aggiorna quando cambia un servizio, le nomine con scadenze presidiate, le richieste degli interessati gestite come pratiche con termini, le verifiche del DPO annotate dove si ritrovano.

Non serve fare tutto in una volta: serve deciderlo una volta. Un ordine di priorità ragionevole parte dal registro, prosegue con le nomine dei fornitori e approda alle procedure per richieste e violazioni — tre cantieri piccoli e finibili, non un progetto enorme che non parte mai.

La differenza si misura in un momento preciso: quando arriva una richiesta del Garante, un'istanza di accesso ai propri dati o un incidente. L'ente-processo risponde consultando i propri strumenti; l'ente-cartella inizia a ricostruire. Ed è esattamente in quel momento che l'accountability smette di essere una parola astratta.