Formazione privacy e GDPR

Quasi tutti arrivano qui con la stessa frase in testa: «dobbiamo fare il corso GDPR». L'ha detta un cliente con un questionario, un revisore, un'assicurazione, un fornitore di software durante una trattativa. La frase nasconde un equivoco che conviene sciogliere subito, perché da lì dipende tutto il resto.

Nel Regolamento (UE) 2016/679 il «corso GDPR» non esiste. Non ci sono ore minime, non c'è un programma, non c'è un attestato che qualcuno debba rilasciare, non c'è un albo dei formatori. Quello che c'è — ed è molto più impegnativo di un corso — è un obbligo di risultato in capo al titolare del trattamento: chi tratta dati personali deve farlo soltanto su istruzione del titolare, e il titolare deve essere in grado di dimostrarlo.

La differenza non è accademica. Chi compra due ore di videocorso uguali per tutti ha in mano un attestato e ha adempiuto poco; chi ha istruito le persone sulle mansioni che svolgono davvero, e sa dimostrarlo, ha adempiuto anche senza comprare nessun corso a catalogo.

Che cosa dice davvero il GDPR

Il dovere di formare non nasce da un articolo intitolato «formazione». Nasce dall'incrocio di quattro disposizioni.

L'articolo 29, intitolato «Trattamento sotto l'autorità del titolare del trattamento o del responsabile del trattamento», stabilisce che chiunque agisca sotto l'autorità del titolare o del responsabile e abbia accesso a dati personali non può trattare quei dati se non è istruito in tal senso dal titolare, salvo che lo richieda il diritto dell'Unione o degli Stati membri. L'articolo 32, paragrafo 4, ripete la stessa regola dal lato della sicurezza, mettendola in capo sia al titolare sia al responsabile: devono «fare sì» che chi opera sotto la loro autorità non tratti i dati senza istruzione.

Conviene notare che cosa dice e che cosa non dice. Non dice «deve frequentare un corso»: dice che senza istruzione quel trattamento non si può fare. L'istruzione è la condizione di liceità dell'operazione, non un adempimento successivo.

L'articolo 24, paragrafo 1 chiude il cerchio: il titolare mette in atto misure tecniche e organizzative adeguate per garantire, ed essere in grado di dimostrare, che il trattamento è conforme, e le riesamina e aggiorna quando serve. L'articolo 32, paragrafo 1 chiede lo stesso sul piano della sicurezza: la formazione è una misura organizzativa. Quando i temi da coprire sono più di uno, conviene un unico percorso di formazione aziendale su misura invece di corsi comprati a pezzi. L’obbligo di formare sta lì dentro.

Infine l'articolo 5, paragrafo 2, la responsabilizzazione: il titolare «è competente per il rispetto» dei principi e in grado di comprovarlo. Non basta aver formato: bisogna poterlo provare.

Dove il Regolamento scrive la parola «formazione»

Nel corpo degli obblighi generali, mai. Compare in due punti soltanto, ed entrambi vengono citati spesso a sproposito.

L'articolo 39, paragrafo 1, lettera b) elenca fra i compiti del responsabile della protezione dei dati quello di sorvegliare l'osservanza del Regolamento e delle politiche del titolare, «compresi l'attribuzione delle responsabilità, la sensibilizzazione e la formazione del personale che partecipa ai trattamenti e alle connesse attività di controllo». Attenzione al verbo: il compito del DPO è sorvegliare che la formazione ci sia e sia adeguata, non necessariamente erogarla. L'obbligo resta del titolare; il DPO ne risponde in termini di vigilanza e consulenza.

L'articolo 47, paragrafo 2, lettera n) è l'unico punto in cui la formazione è un contenuto obbligatorio di un atto: le norme vincolanti d'impresa — le binding corporate rules approvate dall'autorità di controllo per i trasferimenti infragruppo — devono specificare «l'appropriata formazione in materia di protezione dei dati al personale che ha accesso permanente o regolare ai dati personali». Vale per chi adotta le BCR, non per la generalità delle imprese.

Il Codice italiano dopo il D.Lgs. 101/2018

Il D.Lgs. 196/2003, riscritto dal D.Lgs. 101/2018, ha fatto sparire la vecchia figura dell'«incaricato del trattamento» e ha introdotto l'articolo 2-quaterdecies, in vigore dal 19 settembre 2018, intitolato «Attribuzione di funzioni e compiti a soggetti designati».

Dice due cose e nessuna di più. La prima: titolare e responsabile possono attribuire specifici compiti e funzioni a persone fisiche espressamente designate che operano sotto la loro autorità. La seconda: titolare e responsabile individuano le modalità più opportune per autorizzare al trattamento chi opera sotto la loro autorità diretta.

«Le modalità più opportune»: nessun modulo di legge, nessuna formula sacramentale, nessun corso prescritto. Il legislatore ha lasciato la scelta all'organizzazione e, coerentemente, ha lasciato al titolare l'onere di dimostrare che era adeguata. Non è una liberalizzazione: è più libertà e più responsabilità.

Chi va formato e su che cosa

Nessuno tratta dati allo stesso modo, e una formazione uguale per tutti è contemporaneamente sprecata e insufficiente.

La riga che quasi nessuno considera è la terza: gli amministratori di sistema possono vedere tutto, e per loro il Garante ha scritto regole specifiche molto prima del GDPR. Non un corso, ma un accertamento documentato della competenza e un tracciamento degli accessi.

Come si dimostra di aver formato

È la parte che serve in ispezione. Gli articoli 5 paragrafo 2 e 24 paragrafo 1 chiedono di comprovare: la documentazione non è burocrazia aggiunta alla formazione, dal punto di vista del Regolamento è la formazione stessa.

1. Il piano formativo. Chi va formato, su che cosa, con quale periodicità, in base a quale analisi dei trattamenti. Deve essere collegato al registro delle attività di trattamento, non scritto a parte.
2. Il programma e i materiali erogati. Slide, dispense, procedure consegnate. Datati e riconducibili alla sessione.
3. Il registro delle presenze o i tracciati della piattaforma. Per l'aula, il foglio firme; per l'e-learning, i registri di accesso e di completamento.
4. La verifica dell'apprendimento. Un test, anche breve, con l'esito conservato. Serve a dimostrare che l'istruzione è arrivata, non solo che è stata trasmessa.
5. La tracciabilità nel tempo. Data della formazione confrontata con la data di assegnazione della mansione, e storico degli aggiornamenti. È il confronto che l'autorità fa per primo.
6. Il collegamento con gli atti di designazione. L'atto che autorizza al trattamento e le istruzioni scritte devono coincidere con quello che è stato insegnato.

Chi conserva queste sei cose ha un fascicolo che regge. Chi conserva soltanto gli attestati ha la prova di aver comprato un servizio, non di aver istruito qualcuno.

Ogni quanto si ripete

Il Regolamento non fissa una periodicità: chi vi dice «ogni due anni» cita una prassi, non una norma. Un'indicazione precisa però esiste, e viene dall'autorità.

Nel provvedimento del 27 febbraio 2025 (doc. web n. 10114967) il Garante ha scritto che l'articolo 29 del Regolamento «impone non solo di provvedere alla formazione del personale prima o comunque nei periodi iniziali rispetto alla concreta adibizione allo svolgimento di trattamenti di dati personali, ma anche di provvedere a periodiche attività di aggiornamento, personalizzate sulla base delle mansioni svolte in concreto».

Tre criteri, nessun numero: prima di mettere la persona a trattare i dati, periodicamente dopo, e su misura della mansione reale. La periodicità la decide l'azienda — al cambio di mansione, all'introduzione di un nuovo sistema, dopo un incidente — e la decisione va scritta nel piano, perché è quella che si dovrà giustificare.

Il DPO deve essere certificato? No

È l'equivoco più venduto del settore, e ha fondamento normativo pari a zero.

L'articolo 37, paragrafo 5 del GDPR dice che il responsabile della protezione dei dati è designato «in funzione delle qualità professionali, in particolare della conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati, e della capacità di assolvere i compiti di cui all'articolo 39». Nessuna certificazione, nessun titolo di studio, nessun numero di ore.

Lo ha confermato il Garante rispondendo a un quesito il 28 luglio 2017 (doc. web n. 7057222): le disposizioni non prevedono un albo dei responsabili della protezione dei dati e non richiedono che i requisiti siano attestati attraverso specifiche certificazioni. Gli schemi di certificazione volontaria delle competenze, precisa l'autorità, non rientrano fra quelli disciplinati dall'articolo 42 del Regolamento e non equivalgono a un'abilitazione allo svolgimento del ruolo.

C'è però un obbligo vero che riguarda il DPO e viene dimenticato: l'articolo 38, paragrafo 2 impone al titolare di fornirgli le risorse necessarie ad assolvere i compiti e a mantenere la propria conoscenza specialistica. L'aggiornamento del DPO è una misura che l'organizzazione deve garantire.

Che cosa non è vero

• Non esiste un attestato GDPR obbligatorio. Nessuna norma lo prevede né ne fissa la validità. È una prova comoda del fatto che la formazione c'è stata, e per questo lo rilasciamo; ma da solo non basta.
• Non esiste un albo dei formatori privacy. Nessun elenco pubblico abilita a insegnare la protezione dei dati. Quello che conta è che chi insegna sappia di che cosa parla e che l'organizzazione possa dimostrarlo.
• La certificazione del DPO è volontaria. Lo dice il Garante nel documento citato sopra: niente albo, niente certificazioni richieste.
• Non esiste una durata minima di legge. Due ore possono bastare per un ruolo semplice ed essere del tutto insufficienti per chi gestisce sistemi o dati particolari. La durata la determina il rischio, non il listino.

NIS2: qui la formazione è scritta nella legge

Per una parte delle organizzazioni esiste una fonte in cui l'obbligo formativo è espresso. Va tenuta distinta dal GDPR: riguarda la sicurezza informatica, non la protezione dei dati personali.

Il D.Lgs. 4 settembre 2024, n. 138, che recepisce la direttiva NIS2, all'articolo 23, comma 2 stabilisce che gli organi di amministrazione e direttivi dei soggetti essenziali e importanti sono tenuti a seguire una formazione in materia di sicurezza informatica e promuovono l'offerta periodica di una formazione coerente ai dipendenti. L'articolo 24, comma 2, lettera g) include fra le misure minime le «pratiche di igiene di base e di formazione in materia di sicurezza informatica».

Due avvertenze, perché qui circola confusione. L'obbligo vale solo per i soggetti essenziali e importanti individuati dal decreto, non per tutte le aziende; e il decreto non fissa una periodicità numerica per i vertici, dice che la formazione è dovuta e che quella dei dipendenti dev'essere periodica. Dove i due mondi si toccano conviene costruire un piano solo: le persone da formare sono le stesse.

Che cosa si rischia

La violazione degli articoli da 25 a 39 del Regolamento — quindi anche degli articoli 29, 32 e 39 — rientra nell'articolo 83, paragrafo 4: fino a 10 milioni di euro o, per le imprese, fino al 2% del fatturato mondiale annuo dell'esercizio precedente se superiore. La violazione dei principi dell'articolo 5, responsabilizzazione compresa, ricade invece nel paragrafo 5, con il tetto più alto: 20 milioni o il 4%.

Che non sia teoria lo mostra il già citato provvedimento del 27 febbraio 2025 (doc. web n. 10114967): sanzione di 300.000 euro e accertamento della violazione degli articoli 5, 24, 25, 28, 29 e 32 «in ordine all'individuazione, formazione, direzione e monitoraggio sull'operato dei soggetti designati». Fra gli elementi valutati, il fatto che le attività formative fossero documentate soltanto dal 2024.

Vale anche il contrario. Nel provvedimento del 14 gennaio 2021 (doc. web n. 9582744), relativo a un grande gruppo bancario, il Garante ha considerato fra gli elementi attenuanti ai sensi dell'articolo 83, paragrafo 2, lettera k), «l'attenzione dimostrata» dal gruppo all'attività di formazione del personale. Una formazione documentata pesa sull'importo quando il rilievo arriva lo stesso.

Come lavoriamo

1. Ricerca di bandi e finanziamenti. Prima di ogni altra cosa verifichiamo, gratuitamente, quali bandi, contributi e finanziamenti a fondo perduto sono disponibili, a partire dal conto che avete già maturato presso il vostro fondo interprofessionale. Va fatto per primo perché può cambiare la convenienza dell'operazione, e molte scadenze non aspettano.
2. Partiamo dai trattamenti, non dall'aula. Leggiamo il registro delle attività di trattamento, gli atti di designazione e le istruzioni già in uso: la formazione serve a far fare alle persone quello che c'è scritto lì.
3. Mappiamo i ruoli secondo la tabella qui sopra e costruiamo un piano differenziato, con periodicità motivata.
4. Eroghiamo in aula, presso di voi o a distanza, con verifica dell'apprendimento.
5. Vi lasciamo il fascicolo probatorio: piano, materiali, registri, esiti dei test, tracciabilità.

Una cosa sulla docenza. Silvia Masielli, legale rappresentante e direttore tecnico di Emmess, è DPO certificato e ricopre incarichi di responsabile della protezione dei dati per più organizzazioni, anche pubbliche. La nostra formazione privacy nasce da quella pratica: dalle ispezioni, dalle richieste degli interessati, dalle violazioni da notificare in settantadue ore. Non da un manuale. La certificazione di persona la citiamo perché è verificabile, non perché sia richiesta: come abbiamo scritto sopra, non lo è.

I corsi li eroga Emmess Learning Hub

Qui vendiamo il servizio: analisi, piano, docenza, tracciabilità. Il catalogo dei corsi vive su Emmess Learning Hub, la divisione formazione del gruppo, iscritta con il n. 1353 all'albo di Regione Lombardia per i servizi di istruzione e formazione professionale. Se cercate il corso, con date e iscrizione, si parte da elh.emmess.it/corsi-per-aziende.

Quanto costa la formazione privacy

Non pubblichiamo listini: il costo dipende da quante persone, quanti ruoli diversi, quante sedi e quanto materiale esiste già. Come si forma un preventivo lo abbiamo scritto in quanto costa certificarsi; per un numero vero richiedete un preventivo. Spesso la spesa è a carico del fondo interprofessionale a cui aderite.

Domande frequenti

La formazione privacy è obbligatoria?
Sì, ma non nella forma in cui viene venduta. Gli articoli 29 e 32 paragrafo 4 vietano di far trattare dati a chi non è istruito dal titolare; gli articoli 24 e 5 paragrafo 2 impongono di dimostrarlo. Non esistono ore minime né programmi imposti.

Ogni quanto si ripete?
Il Regolamento non fissa una scadenza. Il Garante, nel provvedimento del 27 febbraio 2025 (doc. web n. 10114967), ha indicato tre criteri: prima dell'assegnazione della mansione, poi con aggiornamenti periodici, e personalizzati sulle mansioni svolte in concreto.

Il DPO deve essere certificato?
No. L'articolo 37 paragrafo 5 chiede qualità professionali e conoscenza specialistica, non certificazioni. Il Garante (doc. web n. 7057222 del 28 luglio 2017) ha chiarito che non esiste un albo dei DPO e che le certificazioni di persona sono volontarie e non equivalgono a un'abilitazione.

Esiste un attestato GDPR obbligatorio?
No. Nessuna norma prevede un attestato né ne fissa la validità. Noi lo rilasciamo perché è una prova comoda, ma quello che regge in ispezione è il fascicolo completo: piano, materiali, registri, esiti dei test.

Quanto costa la formazione privacy?
Dipende da numero di persone, ruoli e sedi: una cifra al telefono non ha senso. Il ragionamento sul prezzo è in quanto costa certificarsi; la prima analisi non ha costo.

Si può finanziare?
Spesso sì, con i fondi interprofessionali: lo 0,30% sulle retribuzioni lo versate comunque. Non promettiamo l'esito, che dipende dal regolamento del fondo e dalle risorse disponibili; la verifica la facciamo noi, gratis.

Basta la ISO 27001?
No: la ISO/IEC 27001 riguarda la sicurezza delle informazioni, il GDPR la protezione dei dati personali. La consapevolezza del personale serve a entrambe e conviene farne un piano solo; per il cloud si aggiungono la ISO/IEC 27017 e 27018.

Dove trovo il catalogo dei corsi?
Su Emmess Learning Hub. Qui trovate il servizio: analisi, piano, docenza e la documentazione che dimostra l'adempimento; per la consulenza sull'adeguamento c'è la pagina privacy e GDPR.