Organizzazione d'impresa e gestione dei dati personali. Il rischio di non compliance nelle catene di fornitura

Le fonti che normano la protezione dei dati personali possono essere rappresentate visivamente richiamando la forma di una struttura ramificata, che a partire dal fusto si diparte in due assi primari, l’uno dal quale si sviluppa la disciplina delle basi giuridiche per effettuare il trattamento, l’altro relativo ai presidi organizzativi funzionali a eseguirlo correttamente. Il primo ramo a sua volta si articola in ulteriori propaggini, su ciascuna delle quali possono collocarsi le riflessioni della dottrina, per lo più giusprivatistica, sui diversi fondamenti di liceità del trattamento. Si pensi ai dibattiti sulle condizioni di validità del consenso del titolare dei dati, e sull’interesse legittimo a procedere al trattamento anche senza l’acquisizione della relativa volontà autorizzatoria; ovvero alle discussioni sulle fattispecie nelle quali i dati siano trattati in adempimento di obblighi contrattuali o legali, o per la tutela di interessi vitali della persona interessata o di terzi o pubblici, o ancora nell’esercizio di pubblici poteri. Le considerazioni che si svolgono in questo scritto si concentrano piuttosto sull’altro dei due rami primari, sul quale poggiano elementi di disciplina che, seppure riferiti alla protezione tecnica e organizzativa dai rischi specifici cui sono esposti i dati, in un approccio teorico-sistematico coinvolgono temi generali di corretta gestione imprenditoriale e di adeguatezza degli assetti organizzativi.