Fare in modo che il personale sia istruito per essere pienamente informato in materia di privacy è essenziale per garantire che, nell’operatività quotidiana, le regole imposte dal GDPR siano rispettate.
Se, infatti, gli obblighi (e le relative sanzioni) sono poste a carico del Titolare del trattamento, ovvero della figura apicale (legale rappresentante), è evidente che poi, nel concreto, le singole operazioni con cui l’azienda si interfaccia con il pubblico e con gli interessati sono svolte dai dipendenti e collaboratori. Non è quindi difficile pensare a quali possano essere le conseguenze se i membri del personale, nello svolgere operazioni sui dati personali, non siano stati adeguatamente istruiti.
L’art. 32 GDPR, del resto, prevede espressamente che il Titolare affidi la gestione del trattamento solamente a personale che sia stato “istruito” sul punto.
La “leggerezza”, per non dire la superficialità, con cui viene troppo spesso affrontato questo aspetto si pone in netto contrasto con il principio dell’accountability, su cui si basa l’intero impianto normativo eretto dal GDPR.
Sulla base di tale principio, il datore di lavoro deve dimostrare di aver adottato le misure di sicurezza necessarie per fare in modo che il trattamento dei dati sia conforme alle prescrizioni e che sia scongiurato il rischio di un data breach. È evidente quindi che tra queste misure rientra anche la formazione del personale: più il personale è formato, minore è il rischio di violazioni alla privacy o data breach.
La formazione del personale, quindi, non è un aspetto da sottovalutare, ma spesso nella pratica finisce per risolversi nella consegna di un “manuale privacy” ai dipendenti oppure nel farli seguire un rapido corso di aggiornamento. Queste attività possono sicuramente rappresentare un minimo “impegno” da parte del datore di lavoro, ma troppo spesso finiscono per essere finalizzate a sé stesse. Quante volte, ad esempio, ci si preoccupa di verificare cosa abbiano realmente imparato i dipendenti, all’esito di un corso di aggiornamento? O, ancora, quante volte il datore di lavoro si premura di controllare se, dopo aver fornito ai dipendenti le istruzioni operative in punto privacy, queste vengano effettivamente seguite?
Cosa dovrebbe fare, quindi, il datore di lavoro?
Anzitutto, verificare quali siano coloro che, tra i dipendenti e collaboratori, si trovino in concreto a svolgere una o più operazioni di trattamento dati personali. A tal fine, un aiuto prezioso può derivare dall’aver predisposto il registro dei trattamenti, perché, se questo documento è correttamente ed esaurientemente predisposto, sarà agevole scoprire “chi fa cosa”.
Allo stesso tempo, la predisposizione di una valutazione di impatto privacy (DPIA) renderà più semplice scoprire eventuali “punti deboli” nell’ambito della struttura organizzativa e, quindi, consentirà al datore di lavoro di focalizzare lì i suoi sforzi, andando a concentrarsi sulla formazione dei dipendenti che operano in quel settore.
L’importanza di svolgere un completo adeguamento privacy, quindi, risulta evidente, così come è ovvio che la formazione del personale, lungi dall’essere un costo mal sopportato, è invece un efficace investimento per migliorare la propria azienda e per metterla al riparo da eventuali contestazioni.
Se il personale non è adeguatamente istruito, il datore di lavoro rischia di essere sanzionato e non è superfluo rammentare che le sanzioni per le imprese, in questa ipotesi, possono arrivare fino al 2% del fatturato.
C’è poi un altro aspetto per cui la formazione viene in rilievo: essendo annoverabile tra le “misure tecniche ed organizzative” che il Titolare predispone per assicurare il rispetto della privacy, la formazione del personale rappresenta un elemento da prendere in considerazione per stabilire l’entità della sanzione. Questo significa che, nel caso in cui al datore di lavoro debba essere comminata una sanzione (per una qualche violazione), quest’ultima sarà meno pesante se egli riesce a dimostrare di essersi impegnato per fornire una adeguata formazione al proprio personale.
