.

.

Ciao

Benvenuta e benvenuto nel Blog di Christian Bernieri. Sei in un posto dove riflettere e rimuginare in libertà su privacy, sicurezza, protezione dei dati personali e sui fatti che accadono nel mondo, sempre in salsa privacy. Con una tempistica assolutamente randomica, con format per nulla omogenei, con un linguaggio decisamente inappropriato, senza alcuna padronanza della grammatica e della sintassi, ti propongo articoli che nessun editore accetterebbe mai di pubblicare... Divertiti.
Visualizzazione post con etichetta responsabilità. Mostra tutti i post
Visualizzazione post con etichetta responsabilità. Mostra tutti i post

08 agosto 2024

Pensieri d’estate: il tasto dolente.

Pensieri d’estate:  il tasto dolente.

Agosto è arrivato con il tipico sollievo che accompagna il termine di una grande fatica, dopo un inatteso pit stop causato dal Covid e la conseguente brusca interruzione della tournée estiva che, come di consueto, mi ha portato in giro per l’Italia e mi ha fatto incontrare migliaia di persone.


Questo è ciò che vedo se alzo gli occhi dal computer:




Ora respiro, attorno a me c’è silenzio, posso riprendere il filo dei miei pensieri e provare a metabolizzare i ricordi, le esperienze e le emozioni vissute e accumulate in modo alluvionale durante questo fantastico ”tourbillon de la vie”.


Mi immagino una montagna di sfere colorate, in stile Inside Out, e mi sorprendo del fatto che tra le tante ce ne sia una che ruzzola fuori dalla catasta in modo ricorrente, come se desiderasse essere presa in considerazione prima delle altre pur senza avere la pretesa di essere più importante.


Una mattina mi reco dal cliente per il consueto audit e per la formazione programmata. Inizio curiosando, giro, mi intrufolo, smanetto, sposto, apro, ispeziono, verifico e dialogo con tutti prendendo appunti. Noto un UPS che emette un breve fischio che si ripete, sempre uguale, ogni 4 secondi. Dopo pochi minuti già non ne potevo più di quel segnale.

Guardo meglio e vedo il display che riporta un guasto alla batteria. Poverino, sta facendo il suo mestiere, è fastidioso ma non è colpa sua, lo hanno progettato così.


Parlando con il personale scopro che quel fischio martirizza lavoratori e clienti da diversi mesi e che nessuno ha fatto nulla. Raccolgo preghiere di intercessione affinché venga mandato qualcuno a risolvere il problema del fischio che sta portando molte persone sull’orlo della disperazione.


Dopo mezz'ora di fischio metto da parte la mia terzietà e mi faccio coinvolgere, rimbocco le maniche e mi acquatto per vedere meglio… e premo un ammiccante pulsantino accanto al display



Silenzio.







Un silenzio assordante che si è fatto immediatamente notare e che ha portato tutti i presenti a curiosare increduli e verificare con mano l’atto di magia che ha sconfitto il mostro.


Dopo questa premessa verrebbe subito alla mente la storiella dell’ingegnere che fattura 2 € per aver girato una vite e altri 9.998 € per aver saputo quale vite girare, ma non è stato il mio primo pensiero. Tuttora non lo ritengo il centro della questione.


La situazione è ben più complessa e svela un piccolo mondo che possiamo trovare, identico, quasi ovunque, un problema comune alle aziende Zen.

 

It is not my job - Abbiamo lavoratori bravissimi nel loro mestiere, ma incapaci di gestire ciò che non li compete, timorati di ogni tecnologia al punto da evitare di leggere un display e premere un pulsante di tacitazione.

Zero security - Abbiamo un UPS non funzionante che, in caso di blackout, non farà il proprio lavoro, compromettendo i sistemi, i dati, la continuità operativa del lavoro.

Fire and forget - Abbiamo un’azienda, avvertita del guasto, che ha inviato un tecnico per risolvere la questione ma che non verifica né dà alcun seguito a questa iniziativa, forse fidandosi troppo dei propri collaboratori.

I'd like to help you with this but… - Abbiamo un tecnico incapace di vedere oltre il proprio compito, incurante delle implicazioni del fischio, del guasto dell’UPS e distaccato al punto tale da ritenersi soddisfatto dalla mera compilazione del rapporto di intervento.

System Failure - Abbiamo un sistema che non funziona, bloccato a causa della propria stessa rigidità e complessità e, come conseguenza, abbiamo malfunzionamenti, disagio, senso di approssimazione e trascuratezza.


Tutto ciò non sarebbe dovuto esistere, l’azienda ha speso soldi e risorse per evitare questo scenario ma il risultato è estremamente deludente.

Il mio estemporaneo passaggio ha risolto la parte più fastidiosa della vicenda, il fischio, ma non penso di aver apportato alcun effettivo miglioramento, anzi, forse ho peggiorato le cose. In assenza di quel logorante buzzer, si allontanerà ancora di più il momento della sostituzione dell’UPS e tutto ciò che può aver bisogno del suo fulmineo intervento rimarrà a lungo senza protezione.


Sono certo che nessun lavoratore si lamenterà dell’UPS guasto, anche perché non dà più alcun fastidio.

Il tecnico continuerà ad attendere con pazienza l’approvazione del preventivo di spesa che giace sotto una catasta di altre incombenze di più alto rango.

L’azienda proseguirà la propria attività confidando nel fatto che tutto funzioni alla perfezione, che i sistemi siano protetti, che la continuità operativa sia garantita, che i soldi stanziati per le manutenzioni siano stati un ottimo investimento.

L’azienda Zen, in salute, serena e focalizzata sul business. Secondo l’antica medicina cinese, un buon medico è tale se cura in modo da mantenere uno stato di benessere. La comparsa di una malattia attesta l’incapacità del medico.

Se l’azienda Zen applicherà questo principio, potremmo avere un problema di attribuzione delle responsabilità perché nessuno metterà in discussione il sistema nel suo complesso. Più probabilmente si cercherà il “medico” che non ha curato il sistema mentre era in salute, permettendo così che si verificasse la tragedia… 

In pratica, ci sarà un tecnico IT sul banco degli imputati, ma non è lui la persona da biasimare.



Il mio passaggio darà luogo ad una piccola relazione dai contenuti inattesi, ben diversa da ciò che si potrebbe attendere il lavoratore stressato dal fischio e certamente sarà un sollievo per il reparto IT. 

Non segnalerò né l'UPS rotto né il fastidioso buzzer, bensì un intero sistema che necessita un miglioramento radicale, un meccanismo inceppato che vanifica ogni sforzo e mortifica il risultato.


Da “It is not my job” si dovrà passare ad un senso di responsabilità collettiva: non è rilevante “chi avrebbe dovuto farlo” ma ciascuno si dovrà riconoscere tra le persone che avrebbero potuto fare la differenza.


Da “Zero security” si dovrà passare alla consapevolezza che l’intero sistema è resistente tanto quanto lo è il suo anello più debole. 


Da “Fire and forget” si dovrà passare ad un sistema che attribuisca e tracci i compiti, documenti ogni passaggio e permetta di ricostruire a posteriori con precisione ogni evento.


Da “I'd like to help you with this but…” si dovrà passare ad un sistema proattivo all’interno del quale ciascuno si senta un ingranaggio necessario ad un grande e complesso meccanismo.


Da “System Failure” si dovrà passare ad un sistema degno di questo nome.




Il tutto con una inconfessabile speranza: non vedere mai più un problema "risolto" con un cartello come questo.





Prosit.






SEI UN PROFESSIONISTA?



SI


FANTASTICO! Fammi sapere come la pensi, il confronto è essenziale per migliorarsi.


Se non hai tempo per farlo, rifletti su questo: il mio contributo ti ha aiutato? Ha evitato che facessi una sconfinata figura di merda con un cliente? Ti ha permesso di fare bella figura in una riunione? Ti ha agevolato nella stesura di un parere?


bene... allora mi devi una birra.

NO


Se sei arrivato fino a qui meriti un plauso. Complimenti!

Se ti è piaciuto l'articolo, se ti ha dato spunti utili per la tua vita privata o professionale, prendi in considerazione l'idea di ringraziarmi e puoi farlo in due modi:


- Condividendo il mio lavoro sui tuoi social. Questo aiuterà altre persone

- Con una donazione. Questo aiuterà me.




👇 👇 Clicca qui 👇 👇






 

 



10 febbraio 2019

Come ti inquadro il fornitore. Grazie al Garante ora non si litiga più.

Si registrano episodi in cui alcuni ordini professionali  abbiano dato prova di scarsa competenza pubblicando pareri non condivisibili e fornendo indicazioni errate ai propri iscritti. 

L'etica e la deontologia degli ordini non consentono di esplorare alternative che porterebbero a  concludere che i medesimi pareri siano improntati a criteri di comodo o convenienza. Non è lecito nemmeno pensarlo.

Purtroppo, molto spesso, questi pareri vengono utilizzati come risposta standard, acriticamente applicata, da consulenti molto competenti, ma in altre materie,  e probabilmente troppo occupati per curarsi di questi dettagli.

Personalmente ho spesso dovuto confrontarmi con posizioni atecniche, ma sostenute con veemenza e ardore sia da consulenti del lavoro che fiscalisti, commercialisti, avvocati, notai, revisori contabili, sindaci e consulenti dalle più disparate competenze. Le associazioni di categoria non sono immuni da questa tendenza interpretativa e sono moltissime ad aver guidato le imprese di riferimento sulla strada sbagliata, qualificando il ruolo dei propri fornitori in modo fantasioso e creativo.

Mi stupisce quanta fatica venga sprecata in difesa di temerarie posizioni in tutti  questi casi ove basterebbe un sereno ed intelligente confronto per individuare, caso per caso, lo scenario giuridico che meglio descrive la realtà.

Ultimamente, nel tentativo di semplificare la vita ai miei interlocutori e ai clienti, ho cercato di raccogliere alcuni materiali ufficiali per aiutare a comprendere la distinzione e i differenti ruoli di titolare, responsabile, incaricato, cotitolare, terzo. Tuttavia il parere del WP29 (Gruppo di lavoro ex art. 29 - Parere 1/2010 sui concetti di «titolare del trattamento» e «responsabile del trattamento» WP 169) viene recepito come troppo complesso, lungo, dettagliato e difficile da maneggiare.
Semplificando ulteriormente, ho cercato altri materiali pubblicati dai Garanti e, con rammarico, solo presso il garante Inglese (ICO) ho trovato una guida breve, chiara, orientata alla concreta applicazione della norma, purtroppo in lingua inglese. Anche questo pare essere un elemento che scoraggia la lettura di molti professionisti.

Courtesy Translation della
checklist e guida  ICO
su data processor (responsabile)
Nelle more di qualsiasi indicazione da parte della nostra Autorità, ho provveduto ad una personalissima traduzione di cortesia, ottenendo un documento abbastanza chiaro e leggibile: una paginetta che aiuta in concreto le aziende e i professionisti a comprendere i termini della questione e smorzare i toni di quello che, in moti casi, sembra uno scontro ideologico e un rimpallo di responsabilità.
Purtroppo, in un recente scambio, il precedente Presidente dell'Autorità Garante mi ha messo in guardia segnalando un concreto rischio nell'applicare linee guida di emanazione straniera. Effettivamente il mio ingenuo tentativo partiva dal presupposto che i garanti fossero coordinati e dalla mia intima convinzione che si fossero suddivisi il lavoro:

  • il garante inglese ha prodotto molte guide applicative
  • il garante francese ha pubblicato il software per elaborare la PIA (Privacy Impact Assessment)
  • il garante tedesco ha pubblicato pareri su temi scottanti di difficile soluzione interpretativa
  • il garante irlandese ha il compito di affrontare la compliance dei Big del web che in Irlanda hanno la base operativa, 
  • diversi garanti hanno pubblicato bozze di registro dei trattamenti, 
  • ecc.


Il garante Italiano, inizialmente,  è stato molto attivo su diversi fronti, ma non sulle guide applicative per i temi di più quotidiano interesse. 
Più di recente, si è registrata una accelerazione senza precedenti e l'Autorità ha gestito rilevanti ed urgenti temi, di portata generale, come il reddito di cittadinanza, la fatturazione elettronica, i temi di illecito trattamento dei dati da parte di Facebook–Cambridge Analytica.

La settimana scorsa il nostro Garante ha inoltre pubblicato, nella newsletter periodica, il proprio parere ufficiale, emesso in occasione di una specifica domanda posta da molti professionisti e ripresa dall'ordine dei CdL.

https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9080970

Evviva!
Ora, finalmente, non è più necessario guardare alle altre autorità e possiamo fare riferimento ad un importante documento del nostro Garante.

Ad una prima e frettolosa lettura, si potrebbe pensare che la risposta riguardi strettamente la domanda che è stata posta all'autorità. Al contrario, l'articolata spiegazione rappresenta un'indispensabile guida per riuscire a regolare, in modo trasversale, i rapporti tra un titolare (un'azienda) e i propri fornitori e consulenti chiamati a trattare, per suo conto, dati personali. 
Con buona pace delle lettere standard, delle risposte approssimative, delle strampalate posizioni supportate dagli ordini e dalle associazioni, finalmente, esiste un criterio per regolare in modo omogeneo una enorme serie di situazioni.

Il criterio fondamentale è declinato e chiarito in modo molto esplicito dal Garante:


"Le attività di trattamento svolte da soggetti esterni per conto del titolare, il quale può decidere di affidare all’esterno lo svolgimento di compiti strettamente connessi all’esecuzione di obblighi previsti dalla normativa lavoristica e/o dal contratto di lavoro, devono, di regola, essere inquadrate nello schema titolare/responsabile del trattamento."

Sembra molto ragionevole provare, con cautela, ad estendere questo principio anche ad altre attività, parimenti affidate all'esterno, che comportino lo svolgimento di compiti strettamente connessi all’esecuzione di obblighi di legge o all'esecuzione di contratti di cui sia titolare il soggetto originario. 


Tutti siamo chiamati a leggere, analizzare, studiare ed imparare dal testo integrale del garante.
Senza alcuna pretesa, come mero esercizio di astrazione, provo ad usare alcuni testi estratti dal provvedimento in modo da poterli applicare anche oltre la rigida ed inconsistente barriera del singolo ordine professionale:



In via prioritaria occorre distinguere il segmento di attività in cui il consulente tratta i dati dei propri clienti nella sua qualità di professionista (per gli adempimenti propri, fiscalità, fatturazione, ecc), dalla diversa attività per la quale il medesimo soggetto tratta i dati personali di cui è titolare il cliente (erogazione del servizio professionale commissionato).  


Nel secondo caso occorre fare riferimento alla figura del responsabile, che rimane connotata dallo svolgimento di attività delegate dal titolare il quale, all’esito di proprie scelte organizzative, può individuare un soggetto particolarmente qualificato allo svolgimento delle stesse delimitando l’ambito delle rispettive attribuzioni e fornendo specifiche istruzioni sui trattamenti da effettuare  

Il titolare pertanto è il soggetto che, alla luce del concreto contesto nel quale avviene il trattamento, assume le decisioni di fondo relative a finalità e modalità di un trattamento lecitamente effettuato in base ad uno dei criteri di legittimazione individuati dall’ordinamento (v. artt. 6 e 9 del Regolamento). 

...


Su un piano del tutto diverso rispetto alla figura del responsabile si pone colui che effettua (senza apprezzabili margini di autonomia) operazioni di trattamento sotto l’autorità del titolare o del responsabile.
La possibilità di attribuire specifiche funzioni e compiti a soggetti designati dal titolare o dal responsabile, assimilabili al ruolo di incaricati del trattamento, è ora previsto dall’art. 2-quaterdecies del Codice in materia di protezione dei dati personali.


In continuità con la normativa previgente, il garante si è già espresso e conferma che, di regola, siano responsabili del trattamento questi soggetti:


  • società capogruppo delegata da società controllate e collegate a svolgere adempimenti in materia di lavoro, previdenza ed assistenza sociale per i lavoratori
  • soggetto che fornisce servizi di localizzazione geografica 
  • servizi di posta elettronica
  • servizi di televigilanza 

A margine di tutto questo, ma anche grazie alle illuminanti parole del Garante, di recente, intrattenendo divertenti conversazioni tra amanti della materia, ho esplorato il ruolo degli ordini professionali che attribuiscono ai propri iscritti indirizzi pec formattati con nome.cognome@ordinedeprofessionale.it 
Nessuno pare essersi reso conto che questa email possa portare all'individuazione dell'ordine come un Responsabile del trattamento del singolo professionista, a questo asservito e dal quale ricevere indicazioni su come comportarsi in tutti quei casi che possano ricorrere con riferimento alla mailbox: uscita di un professionista dall'ordine, portabilità di tale indirizzo e su un differente fornitore, ecc.
Sarà interessare leggere i pareri degli ordini in proposito. Fino ad ora è stato possibile sostenere posizioni fantasiose grazie all'assenza di indicazioni ufficiali. Oggi diventa molto pericoloso discostarsi dalle indicazioni del Garante Privacy.

CB