Audit al responsabile del trattamento

Perchè

L’Art. 28 del REG. EU 2016/679 regolamenta l’attività di audit a carico del Titolare del trattamento verso il Responsabile. Sono i così detti “Audit di 2^ parte” che si distinguono in

audit di pre-qualifica, condotti prima della sottoscrizione del Contratto
audit di mantenimento, a seguito della sottoscrizione del Contratto, in corso di fornitura di prodotti o servizi.

Tra gli elementi positivi da considerare nel corso degli audit di seconda parte non vanno tralasciati i seguenti che possono essere valorizzati nel corso di:

un audit di qualifica il Titolare, ha la possibilità di effettuare una presentazione della propria Organizzazione e comunicare al Responsabile quali sono le proprie esigenze e come quest’ultimo le può soddisfare
un audit di mantenimento, invece il Titolare può cogliere l’occasione di condividere con il Responsabile i risultati delle prestazioni di quest’ultimo oltre ad evidenziare le sue future esigenze.

Nell’ambito degli audit di seconda parte si possono pianificare anche quelli congiunti; si tratta di audit previsti nei casi in cui il Titolare ma richiedere di effettuare, congiuntamente al Responsabile, anche un audit presso un soggetto terzo (Sub-Responsabile) che tratta dati del Titolare, su mandato dello stesso Responsabile.

L’audit di seconda parte al Responsabile del trattamento, ovviamente indaga l’ambito contrattuale e si limita agli aspetti di interesse per il Titolare, quindi non approfondisce, di norma, il modello dinamico del Responsabile; se vogliamo, possiamo indicare questo come un possibile limite di questo modello.

contesto

I Titolari dovrebbero valutare, con regolarità, se pianificare audit presso i Responsabili che hanno individuato per comprendere la capacità di questi ultimi di soddisfare quanto richiesto dal contratto e dalle istruzioni in esso contenute. Tali audit (sia di pre-qualifica che di mantenimento) sono indispensabili per comprendere le capacità del Responsabile di gestire la complessità dei trattamenti affidati dal Titolare. Il Titolare dovrebbe anche valutare la possibilità di formare un team di auditor per poter pianificare ed eseguire con regolarità tale monitoraggio (non va mai dimenticato quanto cita il REG. EU 2016/679 all’Art. 32 1d) quando indica “…una procedura per testare, verificare e valutare regolarmente le l’efficacia delle misure tecniche ed organizzative al fine di garantire la sicurezza del trattamento.”

La possibilità di effettuare audit di seconda parte (sia di prequalifica che di mantenimento), è subordinato al rapporto di forza tra il Titolare (Cliente o Committente) ed il Responsabile (Fornitore).

Qualora ci fosse una palese asimmetria tra il potere contrattuale del Fornitore rispetto al Cliente quest’ultimo potrebbe trovarsi nell’impossibilità di svolgerlo o il Responsabile potrebbe fornire molti pretesti per impedire tale attività. Ciò anche se il Committente ha inserito nella nomina a Responsabile del trattamento o nel contratto la possibilità di effettuare audit. In questa eventualità, il Titolare deve affidarsi ad altre forme di garanzia fornite dal Responsabile (es. referenze, documentazione fornita).

dettagli

Per quanto si cerchi di eliminare ogni ostacolo, i rapporti di forza tra Titolare e Responsabile e le conseguenze di eventuali criticità che potrebbero emergere in fase di audit, fanno si che questo tipo di audit possa essere condotto da un team di auditor molto qualificati ed in grado di reggere la complessità. Le difficoltà crescono ulteriormente nel caso di audit congiunti nel corso del quale sono in gioco sia il Titolare, che il Responsabile che il Sub-responsabile.

Per prepararsi agli audit di seconda parte è necessario analizzare la documentazione contrattuale e pianificare la giornata/le giornate considerando tutte le sedi dove vengono trattati i dati del Titolare in modo di completare la verifica. Nel corso dell’audit il Titolare deve limitarsi ovviamente ad indagare solo la documentazione che si riferisce alle sue commesse in corso con il Responsabile. Il DPO deve essere informato e coinvolto sia in fase di pianificazione che sull’esito dell’audit nel caso in cui non abbia partecipato direttamente.

esempi

Spesso come Consultia S.r.L.ci viene richiesto di partecipare ad organizzare questo tipo di audit sia in fase di prequalifica che in mantenimento. Qualche esempio:

Cooperativa nel settore socio-sanitario che stava valutando di terzializzare alcuni servizi specialistici ad un’altra cooperativa, ci ha chiesto di collaborare nell’effettuare una prequalifica in vista della sottoscrizione del contratto. I risultati non sono stati per nulla positivi. Per quanto competente dal punto di vista tecnico, il potenziale fornitore presentava delle lacune in termini di sicurezza e consapevolezza sulla protezione dei dati personali. Le misure tecniche ed organizzative messe in atto erano deboli, poco conosciute dal personale e raramente applicate. Alla fine, hanno deciso di non sottoscrivere il contratto.
Dopo questa prima esperienza, paradossalmente con esito negativo, la stessa cooperativa ci chiese di effettuare degli audit presso alcuni altri suoi fornitori, nel ruolo di Responsabili a cui aveva affidato dei servizi in subappalto ritenuti critici. L’esito in questo caso fu molto più soddisfacente; emersero degli ambiti di miglioramento, ma sanabili in poco tempo. A questo punto, per renderli autonomi gli abbiamo insegnato a fare gli audit – vai a vedere la nostra proposta di formazione – ed oggi loro sono completamente autonomi nella gestione di questo processo.
Società leader in Italia per lo sviluppo di SW in uno specifico settore merceologico, ci ha richiesto assistenza in quanto doveva ricevere un audit da parte del suo principale cliente. Li abbiamo aiutati dapprima simulando l’audit che avrebbe condotto il cliente alcune settimane dopo, e poi facendo un briefing con il personale per individuare ed analizzare tutti i comportamenti corretti da tenere in fase di audit. Il nostro cliente ha passato l’audit ricevendo diversi apprezzamenti da parte del Titolare.

organizzazione

L’organizzazione di questo tipo di audit va considerata sia dalla parte del Titolare del trattamento che del Responsabile e Consultia è in grado di supportare entrambi i soggetti.

Dalla parte del Titolare – Non è facile pianificare ed organizzare questo tipo di audit perché sono in gioco diversi attori; molta attenzione deve essere posta nel mettere a punto il piano di audit; il capitolato e la nomina a Responsabile fungono da criterio. La riunione iniziale e quella finale sono momenti molto importanti che è necessario siano attentamente preparati. Anche la preparazione delle risultanze deve essere curata con molta attenzione, infatti, in caso di Non Conformità critiche il Titolare potrebbe mettere in discussione l’intero rapporto con il Responsabile fino ad arrivare alla sospensione/interruzione del Contratto.

Dalla parte del Responsabile del trattamento – Per prepararsi a questo audit è necessario:

eseguire un briefing con le funzioni che saranno coinvolte nell’audit per ripassare l’organizzazione della giornata: individuare le guide, nominare le persone che hanno il compito di reperire i documenti in modo da ridurre i tempi di attesa, definire modalità di comportamento nel caso di situazioni critiche e nel caso di richieste del Cliente estranee al campo di applicazione dell’audit
fornire indicazioni sul comportamento in fase di audit: rispondere alle domande poste in modo sintetico e preciso, supportare le risposte alle domande con evidenze, rispondere solo quando si è sicuri di aver ben compreso la domanda, nel dubbio chiedere chiarimenti
ricercare una relazione professionale: costruire una relazione di scambio proficuo evitando atteggiamenti di chiusura o di difesa, di fronte ad osservazioni con cui non si concorda comprendere l’esigenza del Cliente e ricercare il supporto del DPO o di una funzione esperta per avere un confronto con un terzo soggetto qualificato.

Un caso dal libro

Estratto di contratto tra Titolare e Responsabile del trattamento –dettaglio del paragrafo “Audit del Titolare”.

Il Responsabile si impegna a mettere a disposizione del Titolare, nei tempi e nei modi da questo definiti, le informazioni necessarie a fine di dimostrare il rispetto degli obblighi di cui all’Art. 28 del GDPR.

Il Titolare può richiedere di svolgere direttamente ispezioni o affidarle ad un revisore terzo (“Audit in loco”). L’Audit in loco è soggetto alle seguenti condizioni:

può riguardare, con i limiti di cui al punto seguente, sia le attività svolte dal Responsabile che da un Sub-Responsabile

deve riguardare solamente il personale, le strutture di trattamento, le misure tecniche ed organizzative del Responsabile o di un Sub-Responsabile coinvolte nelle attività di trattamento disciplinate nel contratto
deve essere svolto non più di una volta l’anno o secondo quanto previsto dalla legge applicabile in materia di protezione dei dati o dall’autorità di controllo competente, nella misura in cui tale audit desse esito soddisfacente, in caso contrario il Titolare può effettuare ulteriori attività di audit
la data dell’effettuazione dell’Audit in loco deve essere concordata, ed in ogni caso deve essere previsto un congruo preavviso di almeno 30 giorni lavorativi prima della data concordata; l’Audit inoltre può essere svolto durante il normale orario di lavoro, senza interrompere la continuità delle attività del Responsabile e in ottemperanza alle politiche sulla sicurezza del Responsabile
il Titolare si fa carico di tutte le spese derivanti o in relazione agli Audit in loco.

Privacy & Audit – F. Emegian, M. Perego – Wolters Kluwer, Milano 2019