Modello Organizzativo Privacy

Il Modello Organizzativo Privacy (MOP) è un’importante misura di accountability; si tratta di un documento che condensa quanto predisposto per l’adeguamento alla normativa in materia di protezione dei dati personali (politiche, procedure, moduli e o richiami a tale doc); le motivazioni alla base delle scelte relative al trattamento dei dati (data retention policy) e lo scadenziario degli adempimenti. Il MOP, inoltre, può essere anche considerato il documento cardine del Sistema di gestione della protezione dei dati personali. LINK DA FARE A PAGINA CHE ORA NON c’è

Il Titolare del trattamento, anche nel ruolo di Responsabile, attraverso il MOP dispone di un documento di sintesi che facilita l’attività di controllo da parte di soggetti terzi come le ispezioni e gli audit di varia natura.

Attraverso questo documento viene anche facilitato, agli Autorizzati l’accesso alla documentazione in materia di protezione dei dati personali che hanno la possibilità di disporre di un documento organico, per quanto poi saranno interessati a specifiche policy, procedure o parti di esso. Il documento facilita anche l’individuazione e la tenuta sotto controllo degli adempimenti connessi alla gestione dello scadenziario, sia per i controlli cogenti che quelli che l’Organizzazione, sulla base del principio della accountability, reputa utile tenere sotto controllo.

Il documento permette poi di individuare facilmente gli ambiti di integrazione tra gli adempimenti privacy o il Sistema di gestione della protezione dei dati personali e gli altri sistemi di gestione cogenti e volontari presenti all’interno dell’Organizzazione quali ad esempio: Responsabilità amministrativa di impresa (D.lgs 231/2001), Testo unico sulla salute e sicurezza sul lavoro D.lgs 81/2008, Sistema di gestione della sicurezza delle informazioni (ISO/IEC 27001:2013 e normative collegate della famiglia ISO/IEC 27000 come la ISO/IEC 27701:2019), Sistema di gestione della qualità (UNI EN ISO 9011:2015), Sistema di gestione della salute e sicurezza sui luoghi di lavori (UNI ISO 45001:2018), ecc.. Inoltre per le imprese operanti nella pubblica amministrazione è fornito un supporto anche per l’integrazione della normativa relativa alla Trasparenza, al Diritto di accesso, al whistleblowing, ecc.

Un’altra finalità del MOP è quella di facilitare l’attività di audit, a carico degli enti preposti affinché abbiano a disposizione, in un unico documento ed in modo organico, tutte le misure messe in atto dall’Organizzazione per l’adeguamento alla normativa e gli auditor incaricati della verifica delle conformità normativa o altri tipo di audit.

Il modello risulta efficace nella misura in cui si attaglia alla realtà presa in considerazione. Non si tratta di un documento fine a se stesso, statico e granitico, ma si tratta di uno strumento dinamico e di ausilio, fondamentale in caso di ispezioni effettuate dall’Autorità Garante per il tramite degli Organi in seno preposti, e cioè dal “Nucleo Speciale Tutela Privacy e frodi tecnologiche”.

Il MOP presenta quindi una componente statica ed una dinamica; la prima, come già indicato ha la finalità di documentare le scelte effettuate, in materia di protezione dei dati personali e di permettere di ricostruire storicamente le motivazioni all’origine di tali scelte, la seconda ha la finalità di facilitare i cambiamenti disponendo di strumenti idonei per il monitoraggio e la comprensione delle variabili in gioco, anche nel caso di introduzione di nuovi trattamenti o di modifica di quelli esistenti, attraverso una valutazione preventiva ed una applicazione concreta, intrinseca nella documentazione stessa del MOP, degli aspetti relativi alla: accountability, privacy by design e privacy by default.

Ciò impone un approccio integrato che interessi tutte le aree dell’Organizzazione, concreto e basato sul rischio dando luogo a comportamenti proattivi.

La necessità di integrare o modificare la documentazione esistente può essere affrontata mediante aggiornamenti ad hoc per ogni evento; il che, seppur impeccabile dal punto di vista dell’aderenza al dettato normativo, appare oggettivamente difficile da realizzare, soprattutto nelle Organizzazioni complesse.

La frequenza di aggiornamento del MOP dipende dalle variazioni di contesto interno (nuovi trattamenti o modifiche a trattamenti esistenti), esterno (nuovi provvedimenti, nuove tecnologie, nuove misure imposte da soggetti esterni quali i Titolari del trattamento).

Ne consegue che il dotarsi di un Modello Organizzativo dinamico – per quanto esso non sia prescritto dal REG. EU 2016/679 in modo formale – diviene una necessità insita nell’applicazione della normativa di settore. vale a dire protezione dei dati fin dalla progettazione.