Responsabilità nelle imprese che trattano dati

Nelle imprese che vivono di dati, ciascuno recita bene la propria parte: il DPO, il responsabile della sicurezza, l’IT, il direttore finanziario. Ma qualcuno deve dirigere la scena.

Nelle imprese che trattano dati esistono due figure giuridiche ricorrenti. La prima è il DPO, che in molte organizzazioni è diventato una sorta di notaio della privacy. Verifica che i registri siano aggiornati, che le informative siano corrette, che le nomine siano firmate. Un lavoro prezioso, che però rischia di fermarsi alla certificazione delle carte.

La seconda è l’avvocato, se lo si coinvolge nei processi prima. Invece, troppo spesso, arriva dopo. Lo si chiama quando il danno è fatto: la violazione è stata notificata, il cliente ha fatto causa, il Garante ha avviato un’istruttoria. È l’avvocato pompiere, chiamato a spegnere un incendio che altri avrebbero dovuto prevenire.

Il notaio arriva prima e certifica. Il pompiere arriva dopo e spegne. In mezzo, dove si formano davvero i rischi, spesso non c’è nessuno.

Il ruolo del giurista nel panorama aziendale

Osserviamo un’impresa di medie dimensioni che vive di dati. Il DPO sorveglia la conformità al GDPR. Il responsabile della sicurezza si occupa di vulnerabilità e incidenti. L’IT gestisce i sistemi. L’ufficio legale rivede i contratti. Il direttore finanziario guarda i costi. Le risorse umane gestiscono il personale e i suoi strumenti. La comunicazione si preoccupa della reputazione.

Ognuno svolge bene il proprio ruolo. Ma il rischio non rispetta gli organigrammi. Un fornitore cloud che interrompe il servizio è un problema contrattuale, tecnologico, organizzativo, finanziario e reputazionale nello stesso momento. Un assistente di intelligenza artificiale che risponde male ai clienti tocca la protezione dei dati, la responsabilità verso i consumatori, l’immagine dell’azienda e, se l’errore si ripete, la sua strategia commerciale.

Ciascun attore vede la propria scena. Nessuno vede lo spettacolo intero. Il paradosso è che l’ordinamento ha già unito ciò che le aziende continuano a tenere separato. L’articolo 2086 del Codice civile impone all’imprenditore che opera in forma societaria o collettiva di istituire assetti organizzativi, amministrativi e contabili adeguati. L’articolo 2381 affida al consiglio di amministrazione il compito di valutarne l’adeguatezza.

Il decreto legislativo 231 del 2001, all’articolo 24-bis, include tra i reati presupposto i delitti informatici e il trattamento illecito di dati. Il GDPR, all’articolo 82, prevede il risarcimento del danno, materiale o immateriale, causato da una violazione. Aggiungiamo oggi la NIS2 che, attraverso il decreto legislativo 138 del 2024, chiama gli organi di amministrazione ad approvare le misure di sicurezza e a rispondere delle violazioni.

Il Regolamento europeo sull’intelligenza artificiale introduce infine obblighi di trasparenza, sorveglianza e monitoraggio per chi utilizza questi sistemi. Sono norme diverse, ma convergono tutte nello stesso punto: la responsabilità di chi governa l’impresa. Chi può leggerle insieme, se non un giurista?

Qui serve una precisazione, perché la tesi non venga fraintesa. L’avvocato regista non sostituisce il DPO. Anzi, non deve farlo. Il DPO, per legge, deve restare indipendente e non può determinare finalità e mezzi del trattamento né trovarsi in conflitto di interessi. Proprio per questo non può essere lui a coordinare le scelte dell’impresa. Il suo valore sta nella terzietà, e va protetto.

Allo stesso modo, il regista non scrive il codice, non configura i firewall e non redige il bilancio. Fa un’altra cosa: tiene insieme le prospettive, traduce i rischi tecnici in conseguenze giuridiche ed economiche e le porta al consiglio di amministrazione in una forma su cui si possa decidere. È un lavoro di sintesi, non di sostituzione.

C’è poi un secondo cambiamento, forse più profondo. L’avvocato tradizionale produce pareri: e esprime valutazioni qualitative, spesso preziose, ma difficili da confrontare e da tradurre in decisioni.

Il regista del rischio deve imparare a misurare. Quanto è esposta l’impresa su un determinato processo? Questa esposizione sta crescendo o diminuendo? Dove si concentra il rischio quando si sommano gli aspetti legali, tecnologici, organizzativi, finanziari e reputazionali?

Un consiglio di amministrazione che riceve un parere può rinviare la decisione. Uno che riceve una misura, e vede la direzione in cui si muove, è costretto a scegliere. E chi sceglie, risponde.

La professione forense ha sempre saputo adattarsi. Si è specializzata nel diritto societario, poi nella proprietà intellettuale, poi nella protezione dei dati. Oggi la sfida è diversa. Non si tratta di aggiungere un’altra specializzazione, ma di cambiare posizione: dall’esterno all’interno dei processi, dal dopo al prima, dalla risposta alla previsione.

L’impresa digitale non ha bisogno di un altro notaio che certifichi le carte, né di un pompiere che arrivi a incendio avvenuto. Ha bisogno di qualcuno che veda l’intera scena, conosca le regole di tutti gli attori e sappia dire, prima che si alzi il sipario, dove lo spettacolo rischia di andare storto.

Il DPO resta il garante. Il tecnico resta il tecnico. Ma la regia è una funzione giuridica. Ed è tempo che qualcuno la eserciti.