Nel Regolamento UE 2016/679 non c'è un articolo intitolato "formazione obbligatoria". Eppure formare chi tratta i dati personali è un obbligo a tutti gli effetti: discende dal principio di responsabilizzazione e dalle misure di sicurezza adeguate che il titolare deve poter dimostrare.
Dove sta scritto l'obbligo
L'articolo 29 stabilisce che chi agisce sotto l'autorità del titolare tratti i dati soltanto su sua istruzione. L'articolo 32 impone misure tecniche e organizzative adeguate al rischio. Insieme, significano che le persone autorizzate devono sapere cosa possono e cosa non possono fare.
Il principio di accountability aggiunge il passaggio decisivo: non basta essere in regola, bisogna essere in grado di dimostrarlo. Un registro delle formazioni erogate, con gli attestati dei singoli, è esattamente la prova che viene chiesta.
Chi va formato in azienda
Va formato chiunque tratti dati personali nello svolgimento del proprio lavoro: l'ufficio del personale, l'amministrazione, il commerciale che gestisce l'anagrafica clienti, chi risponde alle email, chi ha accesso ai gestionali.
Il livello di approfondimento cambia con il ruolo: chi definisce le finalità del trattamento ha bisogno di un percorso diverso da chi si limita a inserire dati in un applicativo.
Il costo di non farlo
Le sanzioni previste dal Regolamento sono note. Meno noto è che, in caso di violazione dei dati, l'assenza di formazione documentata pesa nella valutazione della condotta del titolare.
Formare il personale è una delle misure organizzative meno costose e più facilmente dimostrabili fra quelle che il GDPR richiede.