FORMAZIONE: UN OBBLIGO PER IL GDPR?
Sì, è una delle misure principali che il titolare può mettere in atto per dimostrare di aderire al principio di “accountability” (“responsabilizzazione”) di cui all’art. 5(2) del Reg. UE 2016/679.
Gli art. 29 e 32 del GDPR richiedono esplicitamente che gli autorizzati ad accedere a dati personali per conto del titolare o del responsabile del trattamento debbano essere “istruiti” in tale senso. il Gruppo di Lavoro WP29 nelle “Opinion” 3/2010 sull’appicazione del “principio di responsabilità” (un documento pre-GDPR ma, per molti aspetti, ancora utile) indicano la “formazione del personale impegnato nelle operazioni di trattamento” come modo efficace per attuare le misure adeguate ad attuare i principi di protezione dei dati.
La verifica dell’obbligo di formazione è spesso un punto importante delle attività ispettive del Garante. D’altro lato, se si leggono le motivazioni delle sanzioni per violazione del GDPR, si può ipotizzare come molte di queste sarebbero attenuate o non esisterebbero se a monte ci fosse stata una efficace attività di formazione a tutti i livelli.
E’ fondamentale che formazione e sensibilizzazione sui principi del Regolamento e sull’attuazione delle modalità tecniche ed organizzative del titolare o del responsabile siano differenziate a seconda del personale cui sono destinate. A titolo di esempio, gli autorizzati al trattamento potrebbero necessitare di formazione differenziata a seconda che possano trattare categorie particolari di dati personali o meno, un amministratore di sistema avrà bisogno di una formazione specifica per quel ruolo, chi sceglie fornitori che verranno designati responsabili del trattamento avrà bisogno di competenze ancora diverse ecc…
Secondo i dati recenti, una componente cruciale per il successo degli attacchi informatici è la vulnerabilità del “fattore umano”. Le prime fasi di un attacco vengono portate quasi sempre con tecniche di social engineering (il phishing è forse l’esempio più noto) che possono avere tanto più successo quanto maggiori sono i dati disponibili pubblicamente sulla vittima. La formazione mirata alla sensibilizzazione dei dipendenti, dei collaboratori, dei dirigenti può contribuire ad innalzare il livello di sicurezza delle organizzazioni.