Nei quasi-incidenti che arrivano al DPO, la persona quasi sempre sapeva. Il presidio mancante non era il corso: era il percorso alternativo che nessuno le aveva costruito.
Sara Mingozzi | 𝗧𝗿𝗮𝗶𝗻𝗶𝗻𝗴 𝗖𝗼𝗼𝗿𝗱𝗶𝗻𝗮𝘁𝗼𝗿 & 𝗣𝗹𝗮𝗻𝗻𝗶𝗻𝗴 𝗠𝗮𝗻𝗮𝗴𝗲𝗿 | I&P Partners, Milano
Risposta diretta
Il Regolamento (UE) 2016/679 non fissa una periodicità, un monte ore né un attestato per la formazione del personale. L’art. 39 la colloca tra i compiti del responsabile della protezione dei dati, non tra le misure di sicurezza autosufficienti. Un corso riduce il rischio dove il fallimento nasce da mancato riconoscimento. Dove nasce da convenienza operativa, serve una procedura.
In sintesi
Due tipi di errore, un solo rimedio usato per entrambi. L’errore da riconoscimento si corregge con la formazione. L’errore da convenienza — la via conforme è più lenta, o non esiste — non si corregge spiegando la regola a chi la conosce già.
Il corso annuale è popolare perché è la prova più economica da produrre. Genera un attestato, riempie una casella dell’art. 32 e sposta la responsabilità verso il basso.
Il tasso di completamento non misura nulla. Misura chi ha cliccato fino in fondo.
Indicatore controintuitivo: una formazione che funziona aumenta le domande che arrivano al DPO prima dell’azione, non le riduce.
La cultura non la produce l’aula. La produce ciò che l’organizzazione fa la prima volta che qualcuno segnala un problema.
La formazione privacy dei dipendenti è obbligatoria?
Sì, ma non nella forma in cui viene praticata. L’art. 39, par. 1, lett. b) del Regolamento (UE) 2016/679 include tra i compiti del DPO la sensibilizzazione e la formazione del personale che partecipa ai trattamenti. Il testo si ferma lì: nessuna periodicità, nessuna durata, nessun attestato, nessun quiz.
C’è però un obbligo più esigente e meno citato. L’art. 29 e l’art. 32, par. 4 stabiliscono che chi opera sotto l’autorità del titolare e ha accesso a dati personali non li tratta se non su istruzione del titolare. Istruzione è una parola più forte di consapevolezza. Un’istruzione dice a una persona che cosa deve fare in una situazione determinata; un corso le dice quali sono i principi. La distanza tra le due cose è il punto in cui quasi tutti i programmi formativi si fermano.
E l’art. 24, par. 1 chiede misure adeguate a garantire — e a dimostrare — la conformità del trattamento. Adeguate, non erogate. La differenza conta il giorno in cui si deve spiegare perché la misura non ha funzionato.
Perché il corso annuale non sposta il rischio?
Perché il problema non è quasi mai la conoscenza. Prendete i casi che arrivano davvero al DPO nel corso di un anno, i piccoli, quelli che non diventano incidenti.
L’addetta al front office che consegna un documento a chi si presenta come familiare, perché la persona ha insistito e dietro c’erano altre otto in coda. Il selezionatore che gira un curriculum alla casella personale del responsabile di linea, perché quello la posta aziendale non la apre mai. L’infermiere che usa la messaggistica del telefono per un turno urgente, perché l’applicativo richiede tre minuti e lui ne ha venti secondi. Il commerciale che esporta l’anagrafica clienti in un foglio prima di una fiera, perché in fiera la rete non c’è.
Nessuna di queste persone ignorava la regola. Tutte hanno scelto, in pochi secondi, tra una via conforme costosa e una via non conforme che funzionava. Ripetere loro la regola l’anno successivo non cambia il calcolo: cambia solo che, la volta dopo, sapranno di avere torto.
Questo è l’errore da convenienza, e la formazione non lo tocca. Lo toccano tre cose: rendere disponibile una via conforme almeno altrettanto veloce, rendere quella via l’opzione predefinita, e — dove nessuna delle due è possibile — dire esplicitamente alle persone cosa fare in quel caso specifico invece di lasciarle decidere da sole sotto pressione.
Quando la formazione funziona davvero?
Quando l’errore nasce dal mancato riconoscimento. Sono situazioni in cui la persona non sta scegliendo: non vede che c’è una scelta da fare.
- non riconoscere un messaggio fraudolento costruito bene;
- non riconoscere che una richiesta arrivata su una casella personale, o a voce allo sportello, è comunque un’istanza dell’interessato che fa decorrere un termine;
- non riconoscere che un file perso, una mail al destinatario sbagliato o un armadio lasciato aperto sono eventi da segnalare, e a chi;
- non riconoscere che uno strumento adottato per comodità di reparto è un nuovo trattamento e non un accessorio.
Su questa famiglia la formazione produce effetti che si osservano. Le simulazioni di phishing, per esempio, spostano misurabilmente il comportamento — ed è coerente con la tesi di questo articolo, non in contraddizione: funzionano proprio perché intervengono su un fallimento di riconoscimento, non di convenienza.
Il criterio di progettazione discende da qui. Prima di costruire un modulo formativo, la domanda da porsi è una: se la persona sapesse, farebbe diversamente? Se la risposta è sì, è formazione. Se è no, è procedura, ed erogare un corso al suo posto significa spendere un budget per non toccare il problema.
Perché allora il corso annuale resta lo strumento preferito?
Per una ragione onesta e una meno.
Quella onesta: la formazione è l’unica misura organizzativa che si può erogare a tutta la popolazione aziendale in tempi certi e a costo prevedibile. Le procedure vanno scritte una per una, negoziate con chi le dovrà applicare e mantenute nel tempo. È lavoro lento e poco visibile.
Quella meno onesta non implica malafede, ma va nominata: la formazione produce l’artefatto probatorio più economico del sistema. Un registro presenze, un attestato, una percentuale di completamento. Documenti che in un fascicolo occupano lo spazio di una misura ex art. 32 e che si producono in due settimane. E c’è un effetto secondario che nessuno mette per iscritto ma che opera: una volta formata, la persona che sbaglia ha sbagliato lei. La responsabilità si sposta verso il basso senza che nessuno abbia deciso di spostarla.
Il fascicolo che contiene solo attestati dice una cosa sola: gliel’avevamo detto. In sede di verifica non è un argomento a favore dell’organizzazione. È la descrizione di una misura che si esaurisce nell’aver informato.
Come si misura una formazione che serve?
Non con il tasso di completamento, che misura chi ha cliccato fino in fondo, né con il punteggio del quiz, che misura la memoria a breve termine di chi ha appena letto la slide. Gli indicatori che dicono qualcosa sono di comportamento e si leggono nei mesi successivi:
- Tempo tra evento e segnalazione. Quante ore passano tra un errore operativo e il momento in cui il DPO ne viene a conoscenza. È l’indicatore che pesa di più, perché è lo stesso che qualifica ogni ritardo in caso di violazione dei dati.
- Domande ricevute prima dell’azione. Quante volte, in un trimestre, qualcuno ha chiesto «posso fare questa cosa?» prima di farla, invece di dopo. Un numero che sale è il segnale più affidabile che la formazione ha attecchito.
- Segnalazioni che si rivelano infondate. Vanno contate e non scoraggiate: significano che l’antenna funziona. Un’organizzazione con zero falsi positivi non ha personale attento, ha personale che non segnala.
- Ricorrenza per funzione. Se gli stessi eventi si ripetono sempre nello stesso reparto, il problema non è la consapevolezza di quel reparto: è il processo che lo obbliga a scegliere.
Una formazione efficace aumenta il carico di lavoro del DPO nei mesi successivi. Se dopo il corso non arriva niente, non è andata bene: è andata liscia.
Chi risponde dell’errore di un dipendente formato?
La domanda arriva quasi sempre dopo, e quasi sempre nella forma sbagliata. Il titolare del trattamento risponde dell’adeguatezza delle misure. Se la via conforme non esisteva, o esisteva ed era impraticabile nei tempi reali del lavoro, l’errore non è individuale: è il risultato prevedibile di un processo progettato così.
Questo non esclude la responsabilità della persona, e non è un invito a non attribuirla mai. Ma la sequenza corretta è l’opposto di quella praticata: prima si verifica se l’organizzazione aveva reso possibile il comportamento corretto, poi si valuta il comportamento. Fatta nell’ordine inverso, la valutazione produce un colpevole e lascia intatto il meccanismo che produrrà il prossimo.
L’obiezione: senza formazione non si costruisce cultura
È l’obiezione più solida, e va presa nella sua forma migliore. La formazione è un obbligo espressamente previsto e la sua assenza è un rilievo immediato in sede di verifica. Nessuna organizzazione può proceduralizzare ogni gesto: esiste una massa di situazioni impreviste in cui l’unica cosa che regge è ciò che le persone hanno interiorizzato. E la formazione trasmette il perché, che è l’unico contenuto che sopravvive quando la procedura non copre il caso.
Va accolta quasi per intero. Questo articolo non sostiene che la formazione sia inutile né che vada eliminata: sostiene che non è il presidio primario e che misurarla per presenze produce l’illusione di averlo. Un programma formativo costruito sui casi reali di quella organizzazione, tenuto da chi conosce i suoi processi, che discute i quasi-incidenti effettivamente avvenuti, è una misura seria. Un modulo generico acquistato a catalogo e assegnato a tutti nello stesso formato non lo è, e la distanza tra i due non si vede nel registro presenze.
Sulla cultura, un punto che chiude il ragionamento. La cultura di un’organizzazione in materia di dati non si forma in aula. Si forma la prima volta che qualcuno segnala un errore proprio: se quella persona è stata ringraziata, il messaggio circola in un giorno e nessun corso serve a rinforzarlo. Se è stata sanzionata, nessun corso lo compensa — e da quel momento le segnalazioni arriveranno tardi o non arriveranno.
Conclusione
Il test non richiede un progetto formativo né un budget. Prendere l’ultimo evento interno, anche piccolo, anche senza conseguenze, e porre una domanda: la persona sapeva?
Se sapeva, il corso non era il presidio mancante — e ripeterlo l’anno prossimo non cambierà l’esito. Se non sapeva, la domanda successiva è se lo sapesse qualcun altro nell’organizzazione e non glielo avesse detto: in quel caso il problema non è l’aula, è il flusso informativo. Delle due risposte, quella che porta a comprare un modulo formativo non c’è.
Dott.ssa Sara Mingozzi — 𝗧𝗿𝗮𝗶𝗻𝗶𝗻𝗴 𝗖𝗼𝗼𝗿𝗱𝗶𝗻𝗮𝘁𝗼𝗿 & 𝗣𝗹𝗮𝗻𝗻𝗶𝗻𝗴 𝗠𝗮𝗻𝗮𝗴𝗲𝗿,
I&P Partners S.r.l. — Milano | ivano.pecis@partnerprivacy.it
© I&P Partners — Riproduzione consentita con citazione della fonte
