Source: https://marcellocolaianniblog.wordpress.com/category/spp-2/
Timestamp: 2019-12-10 02:46:32+00:00

Document:
SPP – Marcello Colaianni Blog
Categoria: SPP
I Conflitti d’interesse del Responsabile della protezione dei dati (RPD/DPO)
Pubblicato 2 giugno 2019 3 giugno 2019 da marcellocolaianni62
Il presente articolo propone una chiave di lettura un po’ diversa e meno perentoria rispetto a quello dal titolo: <<DPO e Responsabile del trattamento: 2 facce della stessa medaglia?>> pubblicato il 28 dicembre 2018.
L’esigenza di soffermarsi su altre considerazioni è emersa dirompente alla luce delle esigenze manifestate a gran voce da diversi Titolari e Responsabili miei clienti e da situazioni che mi trovo, professionalmente, a constatare quasi quotidianamente.
Resta valido il ragionamento per il quale il Titolare (ed il Responsabile) si assicura che eventuali altri compiti e funzioni svolte dal DPO non diano adito a un conflitto di interessi.
Le linee guida dell’Articolo 29 Data Protection Working Party si sono già bene espresse sull’opportunità di evitare possibili situazioni di conflitto d’interesse, dentro l’organizzazione – riguardo a ruoli manageriali di vertice (amministratore delegato, responsabile operativo, responsabile finanziario, responsabile sanitario, direzione marketing, direzione risorse umane, responsabile IT), ma anche rispetto a posizioni gerarchicamente inferiori se queste ultime comportano la determinazione di finalità o mezzi del trattamento – e anche in ipotesi di nomina di un DPO esterno al quale si chieda di rappresentare il titolare o il responsabile in un giudizio che tocchi problematiche di protezione dei dati.
Qui, il DPO avvocato non può, evidentemente, rappresentare in giudizio il proprio Titolare.
Se con riferimento alla designazione interna l’orientamento è piuttosto chiaro, l’eventuale nomina esterna del DPO suggerisce di valutare ogni singolo caso per l’oggettivo, e soggettivo, rischio di porre in essere un conflitto d’interessi il che porta all’inevitabile conseguenza di soprassedere all’assunzione del ruolo in discorso.
Assunto che il conflitto di interessi è quella condizione giuridica che si verifica quando viene affidata un’alta responsabilità decisionale a un soggetto che ha interessi personali o professionali in contrasto con l’imparzialità richiesta da tale responsabilità, che può venire meno a causa degli interessi in causa, l’analisi del singolo caso può, nel rispetto dei requisiti di legge, portare ad alcune considerazioni piuttosto interessanti.
Per esempio: il consulente in materia di sicurezza sul lavoro, indubbiamente, effettua trattamenti di dati personali. Per questi motivi viene nominato Responsabile esterno per i dati del Titolare trattati specificatamente in ottemperanza all’oggetto del relativo contratto di consulenza.
È anche vero che nel contratto di nomina del consulente a RTDP, è il Titolare che impartisce istruzioni scritte sulle condizioni e modalità di trattamento dei propri dati nell’espletamento della consulenza; ciò conformemente al dettato ex art. 28/679/2016.
Non è il Consulente ad avere un ruolo che comporti la definizione delle finalità o modalità del trattamento di dati personali.
La domanda da porsi, a questo punto è: <<qual è il conflitto d’interessi che si pone, per la protezione dei dati personali, laddove il consulente in materia di sicurezza sul lavoro venga designato DPO?>> Naturalmente in presenza delle qualità professionali, in particolare della conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati, e della capacità di assolvere i compiti di cui all’articolo 39.
Ricordiamo ancora che il responsabile della protezione dei dati può svolgere altri compiti e funzioni … e, per le riflessioni che seguono, non si può affermare, tout court, che il controllore controlli il controllato.
Allo stesso modo non vi è alcun divieto, nel regolamento, a che un Responsabile possa ricoprire il ruolo di DPO.
Ogni situazione va analizzata caso per caso.
La raccomandazione delle linee guida dell’Articolo 29 DPWP di adottare procedure per:
individuare le qualifiche e funzioni che sarebbero incompatibili con quella di RPD;
redigere regole interne a tale scopo onde evitare conflitti di interessi;
prevedere un’illustrazione più articolata dei casi di conflitto di interessi;
dichiarare che il RPD non versa in alcuna situazione di conflitto di interessi con riguardo alle funzioni di RPD, al fine di sensibilizzare rispetto al requisito in questione;
prevedere specifiche garanzie nelle regole interne e fare in modo che nel segnalare la disponibilità di una posizione lavorativa quale RPD ovvero nel redigere il contratto di servizi si utilizzino formulazioni sufficientemente precise e dettagliate così da prevenire conflitti di interessi
è sicuramente utile nel dare enfasi ed evidenza dell’assenza di (rischi di) conflitti d’interesse come nell’esemplificazione considerata.
Il DPO, come sopra nominato, è vero, ha interessi professionali presso il Titolare; è infatti consulente per la sicurezza sul lavoro. Ma l’imparzialità richiesta al DPO può in qualche modo essere compromessa dal fatto che questi sia un Responsabile? Dal fatto che sia un consulente, non in materia di protezione dei dati personali ma di sicurezza sul lavoro?
Alla lettera “h)”, § 3 dell’art. 28/679/2016 è scritto che il Responsabile deve (…) consentire e contribuire alle attività di revisione, comprese le ispezioni, realizzate dal titolare del trattamento o da un altro soggetto da questi incaricato.
Bene. Sarà direttamente il Titolare, o altro soggetto da questi incaricato, che si assicurerà circa il rispetto degli obblighi previsti da parte del consulente.
Non sarà certo coinvolto il DPO/Consulente a controllare se stesso quanto, piuttosto, un organismo indipendente di terza parte che potrà esprimersi circa l’appropriatezza dei comportamenti assunti dal consulente sia in qualità di Responsabile sia in quella di DPO.
La suddetta esemplificazione lascia quindi ben intendere che non si può generalizzare e lasciare insoddisfatte aprioristicamente esigenze organizzative che, in realtà, si rivelano non solo appropriate ma persino opportune.
Con ben in mente la suddetta definizione di conflitto d’interessi, questo si pone, ragionevolmente, se:
il nostro Responsabile fosse consulente in materia di protezione di dati personali e non di sicurezza sul lavoro. Come potrebbe il DPO controllare l’operato del Titolare quando questi agisce assecondando le sue stesse indicazioni?
il Titolare è assistito dallo studio legale (o dalla società di consulenza), in sede di applicazione ed osservanza dei requisiti della normativa privacy e ad assumere il ruolo di DPO è uno degli avvocati o altri soggetti (ovvero un dipendente della società) che ivi lavorano. Con quale autorevolezza ed imparzialità il DPO si relaziona con il Titolare per dirgli cosa va o non va nel modello di adeguamento al GDPR predisposto dallo stesso studio legale (società di consulenza) con cui e/o per cui lavora?
il consulente informatico che assiste il Titolare per gli aspetti ICT, latu sensu, fosse designato DPO. Questi può oggettivamente ritenersi del tutto “estraneo” al trattamento dei dati personali ed in condizioni, quindi, di garantire l’imparzialità e l’indipendenza che è richiesta al Responsabile per la protezione dei dati? Secondo me, no.
Nei tre casi considerati, a titolo esemplificativo, sia il consulente privacy che quello informatico così come lo studio legale vanno nominati Responsabili esterni del trattamento ex art. 28/679/2016 in quanto ad essi il Titolare ricorre per trattamenti effettuati per suo conto, ma a determinare il conflitto d’interessi non è la nomina a Responsabili bensì il tipo di attività che sottende la relazione con il Titolare.
Il ragionamento da fare è un po’ quello per la composizione dell’Organismo di Vigilanza (OdV).
Il Responsabile del servizio di prevenzione e protezione (RSPP) piuttosto che il consulente del sistema di gestione ambientale e persino i sindaci nelle società di capitale, a dispetto del disposto ex art. 6/231/2001 c. 4-bis, non possono – de facto – far parte dell’OdV in presenza di conflitto d’interessi in quanto:
l’RSPP, membro dell’OdV, si ritroverebbe a controllare il proprio operato con riferimento all’osservanza della normativa sulla sicurezza sul lavoro la cui materia è contemplata fra i rischi reato 231;
il consulente ambientale, allo stesso modo, si ritroverebbe a verificare l’appropriatezza dei consigli formulati all’Organizzazione, in conformità al D. Lgs. 152/2006 e smi ed alla UNI EN ISO 14001;
il sindaco, infine, quale membro dell’organismo si ritroverebbe a controllare aspetti strettamente connessi alla propria attività oggetto, a loro volta, delle verifiche dell’OdV.
Né può essere membro dell’Organismo il DPO, o il consulente privacy. Come potrebbe, questi, controllare la correttezza delle azioni intraprese dovendo verificare eventuali rischi reato riguardanti i Delitti informatici ed il trattamento illecito di dati?
Ecco, queste situazioni sono del tutto assimilabili a quelle più sopra riportate; situazioni nelle quali la figura di controllore e controllato pongono sì, in essere, un evidente conflitto d’interessi.
Categorie 14001, 18001, 27001, 81/08 e smi, anticorruzione, attività pericolosa, Auditor, Colaianni, colaianni consulting, Collegio sindacale, Consulente, Consulenza, corporate privacy, D. Lgs. 152/2006, Data Protection Officer, DP Auditor, DPO, GDPR, Gestione del rischio, Manager privacy, Marcello Colaianni, MOG, normativa cogente, normativa volontaria, OdV, onere della prova, Organizzazione, Privacy, reati 231, Reg. UE 679/2016, Regolamento UE, Responsabile della Protezione dei Dati, Risk manager, Risk Mgmt, RPD, rspp, RTDP, servizio di prevenzione e protezione, sicurezza delle informazioni, Sicurezza sul lavoro, SPP, UNI EN ISO 45001
Culpa in eligendo, culpa in vigilando e principio di effettività nelle relazioni fra TTDP e RTDP
Pubblicato 30 luglio 2018 15 ottobre 2018 da marcellocolaianni62
Nelle relazioni fra Titolare del trattamento e Responsabile del trattamento, al di là del dettato normativo, sono state espresse tante, a volte troppe, interpretazioni del tipo:
il Titolare del trattamento deve o può (?) nominare il Responsabile del trattamento ….;
il Responsabile del trattamento comunica al Titolare l’assunzione di incarico in forza di …;
il Titolare ed il Responsabile sottoscrivono un contratto negoziando sui suoi contenuti … .
Sono tutte considerazioni legittime che, però, determinano comportamenti differenziati e, non sempre, allineati ai requisiti del GDPR.
Ragioniamo, insieme, con il Regolamento alla mano riportando innanzitutto le definizioni che seguono:
«titolare del trattamento»: la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali (…);
«responsabile del trattamento»: la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che tratta dati personali per conto del titolare del trattamento.
Si evince, fin da subito, come sia il Titolare del trattamento a fare il primo passo nei confronti del Responsabile, e non viceversa perché è quest’ultimo che, in virtù di un mandato o contratto di servizi sottoscritto con il Titolare, tratta dati personali a questi riconducibili. E proprio in funzione del contratto di servizi, o del mandato, che i dati personali riconducibili al Titolare saranno più o meno ampi con riferimento alla categoria di dati trattati (dati personali, particolari, giudiziari penali) piuttosto che ai mezzi di trattamento o altro ancora.
Questa è ancora la fase in cui è “semplicemente” stabilito il rapporto professionale fra le parti. Quindi lo studio dell’Avvocato, del Consulente del lavoro o della Società di consulenza in materia di privacy, per fare solo pochi esempi, in virtù del suddetto mandato o contratto, si pongono come Responsabili del trattamento nei confronti del loro assistito ovvero del loro cliente.
Il Reg. UE 679/2016, al primo paragrafo dell’art. 28, recita: “Qualora un trattamento debba essere effettuato per conto del titolare del trattamento, quest’ultimo ricorre unicamente a responsabili del trattamento che presentino garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate in modo tale che il trattamento soddisfi i requisiti del presente regolamento e garantisca la tutela dei diritti dell’interessato”.
È indubbio che nel farsi rappresentare dall’avvocato, nelle sedi giudiziarie, o nel ricorrere al consulente del lavoro per la gestione paghe dei propri dipendenti o alla società di consulenza per adeguarsi alla normativa sulla privacy si sta facendo riferimento ad un trattamento di dati personali che deve essere effettuato per conto del titolare del trattamento.
A questo punto, se il servizio è garantito dalla firma del contratto sottoscritto fra cliente e fornitore, occorre far sì che anche il rapporto fra Titolare (ovvero il Cliente) e Responsabile (cioè il Fornitore), ai fini privacy, sia ugualmente garantito.
Come? Semplice: il Titolare nomina il proprio Fornitore come Responsabile del trattamento.
In che modo? Con un contratto o altro atto giuridico!
Ed ecco il semaforo rosso! Come fa il Titolare a ricorrere ovvero nominare quell’avvocato, quel consulente o quella società se non sa nemmeno se presentano garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate in modo tale che il trattamento soddisfi i requisiti del presente regolamento e garantisca la tutela dei diritti dell’interessato?
I suddetti soggetti, già per loro conto in quanto Titolari dei propri dati personali, devono adempiere al regolamento. Quindi, già di per sé sono tenuti al rispetto del GDPR. L’assunzione del ruolo di RTDP conseguente alle relazioni con il Titolare non costituisce una fattispecie diversa se non quella dettata dalla contestualizzazione dei rapporti nello svolgimento della propria attività. Infatti l’Avvocato, il Consulente e la Società, nei confronti dei loro fornitori, si pongono a loro volta come titolari.
Titolari e Responsabili sono entrambi terzi alternandosi di volta in volta a seconda dello specifico contesto. Ce lo ricorda l’art. 4, che al punto 10) del primo paragrafo, definisce <<terzo>>: la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che non sia l’interessato, il titolare del trattamento, il responsabile del trattamento e le persone autorizzate al trattamento dei dati personali sotto l’autorità diretta del titolare o del responsabile.
A dispetto di tutto ciò, la nomina a RTDP (esterno) non viene sottoscritta; chissà per quale motivo (??).
Il Titolare a questo punto può assumere due comportamenti: sostituire il professionista o soprassedere perché prevalgono le competenze specifiche. Ma ahimè, la mancata sottoscrizione del contratto, di nomina del RTDP, determina una sanzione amministrativa pecuniaria.
Infatti, l’art. 83/679/2016 dispone che (…) la violazione delle disposizioni seguenti è soggetta a sanzioni amministrative pecuniarie fino a 10 000 000 EUR, o per le imprese, fino al 2% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore nei casi di: a) gli obblighi del titolare del trattamento e del responsabile del trattamento a norma degli articoli 8, 11, da 25 a 39, 42 e 43.
Come si può notare, l’art. 28 ci sta; è specificatamente considerato.
Un altro aspetto per cui la nomina del RTDP è oltremodo doverosa e opportuna è quello esplicitato all’art. 82/679/2016 in materia di Diritto al risarcimento e responsabilità e, più precisamene, in materia di responsabilità solidale.
Al Titolare, quindi, può essere obiettato il fatto che il soprassedere alla sottoscrizione del contratto di nomina del RTDP è contrario ai suoi obblighi di messa in atto delle misure tecniche e organizzative adeguate per garantire, ed essere in grado di dimostrare, che il trattamento è effettuato conformemente al presente regolamento con un rischio, appunto, di sanzione amministrativa pecuniaria fino a 10 000 000 EUR, o per le imprese, fino al 2 % del fatturato mondiale totale annuo dell’esercizio precedente, se superiore per inosservanza del combinato disposto ex artt. 24, 28 e 83 del GDPR.
Per quanto sopra, oggettivamente, al Titolare non può essere attribuita una culpa in eligendo laddove i RTDP nominati dovessero disattendere i requisiti di idoneità e adeguatezza. Abbiamo detto perché obbligati al rispetto del Regolamento, fin dall’origine, in qualità di TTDP.
Altro è invece se parliamo di culpa in vigilando. Fra le istruzioni che il Titolare impartisce al RTDP, infatti, è obbligatoria anche quella che prevede di poter svolgere, direttamente e/o indirettamente, attività di revisione e ispezione. Facoltà del tutto legittima anche se estesa a tutta la filiera dei soggetti che, direttamente o meno, trattano dati personali riconducibili al Titolare … fino al gestore del cloud.
Per chi, infine, ritiene che la nomina del RTDP è, persino, irregolare dichiarando il prevalere del cosiddetto principio di effettività per cui il RTDP è tale di fatto e non deve ricevere nessun incarico formale, per la semplice esistenza di un contratto di fornitura (quando esiste) o del rapporto di compravendita fra le parti, mi permetto di dissentire fortemente perché siffatto principio:
deve essere esplicitamente richiamato nella specifica normativa di riferimento;
non rientra nel novero dei Principi applicabili al trattamento di dati personali ex art. 5;
è palesemente in contrasto al disposto ex art. 28.
Nulla quindi che possa essere paragonato al principio di effettività richiamato, per quanto di propria competenza, nella legislazione speciale di cui al:
D. Lgs. 81/08 e smi che – all’art. 299/81/08 e smi “Esercizio di fatto di poteri direttivi” – recita: <<Le posizioni di garanzia relative ai soggetti di cui all’articolo 2, comma 1, lettere b), d) ed e), gravano altresì su colui il quale, pur sprovvisto di regolare investitura, eserciti in concreto i poteri giuridici riferiti a ciascuno dei soggetti ivi definiti e
D. Lgs. 231/01 e smi che – al comma 1, lett. a) dell’art. 5 “Responsabilità dell´ente” – dispone: <<L´ente è responsabile per i reati commessi nel suo interesse o a suo vantaggio da persone che rivestono funzioni di rappresentanza, di amministrazione o di direzione dell´ente o di una sua unità organizzativa dotata di autonomia finanziaria e funzionale nonché da persone che esercitano, anche di fatto, la gestione e il controllo dello stesso.
Privacy Consultant & DP Auditor Certified
Categorie 231, 81/08 e smi, Auditor, Colaianni, colaianni consulting, Consulente, Consulenza, corporate, corporate privacy, Culpa in eligendo, culpa in vigilando, D. Lgs. 196/03 e smi, Data Privacy Officer, Data Protection Officer, DP Auditor, DPO, GDPR, Gestione, Gestione del rischio, gruppo di imprese, Marcello, Marcello Colaianni, MOG, normativa cogente, OdV, onere della prova, Organizzazione, Privacy, reati 231, Reg. UE 679/2016, Regolamento UE, Resilienza, Responsabile della Protezione dei Dati, Risk manager, Risk Mgmt, RPD, rspp, RTDP, servizio di prevenzione e protezione, Sicurezza sul lavoro, sistemi di controllo interno, SPP, UNI ISO 31000
Normativa volontaria e normativa cogente: quali priorità, quali relazioni.
Pubblicato 3 novembre 2017 3 novembre 2017 da marcellocolaianni62
I Sistemi di Gestione Aziendale certificati sono ormai una realtà consolidata e diffusa fra le multinazionali così come fra le PMI e le microimprese.
Sono uno strumento che comunica, o dovrebbe comunicare, quanto l’Organizzazione è allineata, crede e promuove i propri processi all’insegna del miglioramento continuo (ISO 9001), della propria sensibilità all’ambiente (ISO 14001) o alla sicurezza sul lavoro (OHSAS 18001), per fare qualche esempio, ponendo l’attenzione nei confronti dei suoi molteplici interlocutori e parti interessate.
L’implementazione di questi sistemi, è noto, nasce volontaria e diventa obbligatoria nel momento in cui l’Organizzazione decide di adeguarvisi. Nasce, paradossalmente, obbligatoria quando la certificazione di questo o quel sistema di gestione aziendale è richiesta per la partecipazione a bandi e gare d’appalto.
Ma qual è, prima di ogni altra cosa, l’utilità di un sistema di gestione aziendale certificato?
È quella di differenziarsi sul mercato, di comunicare al mondo di essere migliore dei propri competitor, di dare evidenza che l’Organizzazione oltre a rispettare i requisiti di legge va oltre impegnandosi in iniziative di sviluppo sostenibile e in comportamenti sempre più virtuosi.
Alcune norme di sistema, al proprio interno, prevedono puntualmente l’osservanza ai requisiti di legge e, quindi, il soddisfacimento preliminare del dettato legislativo, pena l’impossibilità per l’impresa di conseguire la relativa certificazione.
Lo dice l’ISO 14001 stabilendo che le prescrizioni legali che riguardano gli aspetti ambientali dell’Organizzazione sono tenute in considerazione, ovvero osservate, nello stabilire, attuare e mantenere attivo il proprio sistema di gestione ambientale.
In altre parole, per prima cosa l’Organizzazione si adegua, per quanto applicabile, alle “Norme in materia ambientale” ex D. Lgs. 152/2006 e smi e leggi collegate, quindi, si attiva ad osservanza di quanto previsto dalla norma di sistema di gestione ambientale UNI EN ISO 14001 per propri fini certificativi.
Nella OHSAS 18001, allo stesso modo, è scritto che “L’organizzazione deve stabilire, attuare e mantenere attiva una procedura/e per identificare e accedere ai requisiti per la S&SL di legge e di altro tipo ad essa applicabili … e dovrà assicurare che tali requisiti di legge e di altro tipo, che essa sottoscrive, siano tenuti in conto per la istituzione, applicazione e mantenimento in attività del sistema di gestione della S&SL”.
Ciò significa che l’azienda, innanzitutto, dovrà attenersi, per quanto applicabile, al dettato normativo ex D. Lgs. 81/08 e smi e leggi collegate in materia di sicurezza sul lavoro e, solo in un secondo momento, preoccuparsi di allinearsi ai requisiti della norma OHSAS 18001.
Si può quindi affermare senza indugio che l’osservanza della legislazione nazionale sia prioritaria e preliminare a qualunque altro ed ulteriore adempimento previsto dalla specifica normativa di sistema.
E per la Qualità ISO 9001?
La norma UNI EN ISO 9001 specifica i requisiti di un sistema di gestione per la qualità quando un’organizzazione:
ha l’esigenza di dimostrare la propria capacità di fornire con regolarità prodotti o servizi che soddisfano i requisiti del cliente e i requisiti cogenti applicabili; e
mira ad accrescere la soddisfazione del cliente tramite l’applicazione efficace del sistema, compresi i processi per migliorare il sistema stesso e assicurare la conformità ai requisiti del cliente e ai requisiti cogenti applicabili.
E ribadisce che: “fra i benefici potenziali per un’organizzazione, derivanti dall’attuazione di un sistema di gestione per la qualità basato sulla presente norma internazionale, c’è la capacità di fornire con regolarità prodotti e servizi che soddisfino i requisiti del cliente e quelli cogenti applicabili”.
Ora, assunto che per requisiti cogenti applicabili si intendono <<i requisiti specificati da un organismo avente potere legislativo ovvero specificati da un’autorità incaricata da un organismo avente potere legislativo>>, ne consegue che in questo caso non interessa più l’obiettivo a cui l’Organizzazione vuole riferirsi, la Certificazione ambientale piuttosto che la Certificazione sulla Sicurezza sul lavoro.
L’attenzione si sposta pesantemente su (tutti) i requisiti cogenti applicabili all’Organizzazione:
nella fornitura di prodotti,
nella fornitura di servizi.
E questa é una riflessione di grande rilevanza perché legittima gli Auditor per la qualità, in sede di audit di 2a e 3a parte in particolar modo, ad estendere il loro piano di audit e verificare il livello di osservanza dei requisiti di legge e regolamentari in relazione al settore merceologico in cui opera l’organizzazione oggetto dell’audit.
Esemplificando, anche in forza dei concetti di “Ambiente di lavoro” e di “Dati personali” richiamati dalla 9001, nell’azienda edile, meccanica o siderurgica, per esempio, l’attenzione degli auditor si orienterà prevalentemente sugli aspetti riguardanti la sicurezza sul lavoro essendo strettamente connessi alla fornitura di prodotti.
Allo stesso modo, nelle imprese operanti nei settori delle telecomunicazioni e dell’information technology, il gruppo di audit sarà più sensibilizzato a verificare il grado di applicazione ed osservanza della legislazione vigente in materia di protezione dei dati personali, con riferimento al D. Lgs. 196/2003 e smi, oggi, ed al Reg. Ue 679/2016, dal 25 maggio 2018, essendo, questa, strettamente connessa alla fornitura di servizi.
E l’organizzazione che si occupa di bonifiche ambientali o di trattamento rifiuti sarà inevitabilmente auditata anche per gli aspetti correlati ai requisiti di legge ambientali perché questi sono significativamente impattanti per la fornitura dei suoi servizi.
Ciò premesso, in sede di audit per la qualità, al di là di qualunque mio pensiero e convincimento, c’è da chiedersi se la non conformità di un requisito di legge o regolamentare rilevata sia da considerarsi tale da:
impedire il conseguimento della certificazione;
interrompere il processo di certificazione;
revocare la certificazione;
riconsiderare la qualificazione del fornitore
ciò, sebbene ci si trovi fuori dal contesto di una ISO 14001, di una OHSAS 18001, di una ISO 27001 o di un Data Protection Management System.
Business Coach – Mentor – Compliance Consultant
Categorie 18001, 81/08 e smi, 9001, Colaianni, colaianni consulting, Consulente, Consulenza, corporate privacy, Data Protection Officer, DP Auditor, DPO, GDPR, Gestione, Gestione del rischio, gruppo di imprese, IMPRESA, MOG, normativa cogente, normativa volontaria, OdV, priorità, Privacy, Qualità, Resilienza, Responsabile della Protezione dei Dati, Risk manager, Risk Mgmt, RPD, RTDP, servizio di prevenzione e protezione, Sicurezza sul lavoro, sistemi di controllo interno, SPP
Pubblicato 3 Mag 2017 13 Mag 2019 da marcellocolaianni62
La compliance, ovvero la conformità alla normativa riferita a diversi ambiti riguardanti, per esempio, la Sicurezza sul lavoro, il nuovo Regolamento UE sulla protezione dei dati personali, i reati 231 e l’Anticorruzione spaziando ai diversi Sistemi di gestione aziendale, pone le aziende ad istituzionalizzare funzioni ad hoc con ruoli e responsabilità ben precise.
Quanto sopra sollecita, in maggior misura, le Organizzazioni più strutturate dove job description e procedure forniscono le più appropriate linee guida di comportamento.
L’esperienza ormai consolidata dimostra, tuttavia, che per passare dalle buone intenzioni ai fatti è UTILE che si parta da chiare Vision e Mission a cura del vertice aziendale condivise dai diversi livelli e funzioni dell’Organizzazione.
Tutto ciò presuppone una coesa e allineata interazione fra tutti i soggetti aziendali che solo in TEAM possono raggiungere gli obiettivi prefissati.
La condivisione di un obiettivo comune, il mutuo soccorso, l’orgoglio di appartenenza ad una stessa squadra, funzione, azienda concorrono a muovere ogni individuo e dare il meglio di sé consapevole del suo contributo all’interno dell’operatività di tutti.
Questo comporta il riconoscimento dei propri superiori che, con l’autorevolezza, e non l’autorità, il carisma e l’esempio, trascinano le folle nel raggiungimento dei traguardi, sostengono la stima fra i colleghi e la capacità di cogliere il meglio dai propri collaboratori.
Se l’Organizzazione può ricorrere a questi fondamentali ingredienti dove il rispetto ed il riconoscimento dell’altrui lavoro sono base e motore di ogni iniziativa volta all’innovazione ed all’evoluzione della cultura aziendale … siamo a buon punto.
Se, invece, il clima è pesante e il malcontento aleggia nei vari ambienti e fra le persone, se prevale l’individualità sul comune interesse, viene a mancare l’humus per un terreno fertile e pronto a coltivare i semi del successo…
… E per trovare i semi giusti da piantare ed innaffiare periodicamente occorre guardarsi intorno, tornare alle vecchie, ma sempre valide, tecniche di MBWA (Management By Walking Around) e verificare ciò che manca perché l’azienda si renda conto, finalmente, che fra tutte le risorse a propria disposizione è la Risorsa Umana la più bisognosa di attenzioni.
Solo dopo questo passo, con le idee più chiare e ben formate, si capisce cosa occorre:
uno strumento che possa risvegliare gli animi delle persone e ricondurle ad un comune senso di sé e degli altri dove tutte sono sulla stessa barca ed ognuna mette a disposizione le proprie competenze e capacità e, ancor più importante, le proprie potenzialità;
uno strumento grazie al quale ogni lavoratore possa riscoprire proprie risorse, latenti o fin troppo a lungo sopite, elicitandole sempre più e coniugarle con i nuovi bisogni aziendali;
uno strumento che possa garantire, nel tempo, la continuità di un know how che, nel rispetto delle tradizioni, sappia innovare e rinnovarsi continuamente consentendo, all’Organizzazione, di evolvere ed evolversi, sempre.
Coaching e Mentoring sono lo strumento!
Il Coaching che, secondo esigenza:
ricongiunge le ambizioni aziendali e delle persone che vi lavorano;
rivela nuove esigenze aziendali e le potenzialità di chi ritrova rinnovato e riconosciuto valore nell’assunzione di nuove responsabilità;
riallinea i diversi ruoli portando a scoprire le qualità utili al raggiungimento del comune traguardo …
… ed il Mentoring che, al proprio interno o ricorrendo a Mentor esterni depositari di differenziate esperienze, si rivela guida utile nell’istituzione di nuove funzioni o nell’istruzione delle abilità necessarie,”qui e ora”, per dare il meglio di sé, oggi e domani.
Consulente – Business Coach – Formatore
Categorie 18001, 231, 27001, 81/08 e smi, 9001, Auditor, Business Coaching, Coach, Coaching, coaching team, Colaianni, colaianni consulting, Consulenza, corporate privacy, Data Protection Officer, DP Auditor, DPO, Executive coaching, Formazione, Gestione, gruppo di imprese, Holding, IMPRESA, Life Coaching, Marcello Colaianni, Marcello Colaianni Coach, Mentoring, MOG, OdV, Organizzazione, Partnership coaching, Privacy, Qualità, reati 231, Regolamento UE, Responsabile della Protezione dei Dati, RESPONSABILITA' SOCIALE, Risk manager, RPD, rspp, SA8000, servizio di prevenzione e protezione, Sicurezza sul lavoro, SPP, Team coaching, UNI ISO 26000
Consulenza per la Sicurezza sul lavoro, Safety Coaching e Mentoring: il trinomio vincente per l’impresa lungimirante
Pubblicato 26 ottobre 2015 8 giugno 2016 da marcellocolaianni62
Una mia cliente, un’impresa medio-grande attiva nel settore metalmeccanico, ben strutturata e con filiali distribuite nel Centro e Nord Italia, mi chiedeva, nella persona del suo Amministratore Delegato, cosa fosse più utile fra continuare ad avvalersi del sottoscritto, come Responsabile del Servizio di Prevenzione e Protezione (RSPP) esterno, e istituire la funzione SPP internamente.
Alla luce delle circostanze sempre più positive che vedevano il mio cliente in continuo crescendo sul mercato e a livello organizzativo, suggerivo di iniziare un piano di azioni volto ad identificare, internamente ed esternamente, un numero adeguato di candidati per l’assunzione dei ruoli di RSPP e Addetti al Servizio di Prevenzione e Protezione (ASPP).
Rimanendo a disposizione per eventuali esigenze, dopo qualche tempo mi venivano formulati nomi, esperienza, competenze e abilità personali.
il sig. A aveva già assunto il ruolo di ASPP in una realtà attiva, sia pur operante nel settore dei servizi;
il Sig. B era in possesso dei requisiti di legge per ricoprire il ruolo di RSPP;
il Sig. C era fortemente motivato a proporsi in questo ruolo, non si è capito bene quale (se ASPP o RSPP) ,
La situazione mi ha portato ad alternare i panni di Consulente per la Sicurezza sul lavoro con quelli di Team/Safety Coach e di Mentore.
Il sig. A, pur soddisfacendo i requisiti di legge, aveva sempre lavorato in assoluta autonomia con la sola responsabilità di rispondere del proprio lavoro.
Senza alcuna significativa esperienza in termini di relazioni interpersonali dentro e fuori l’impresa, di rapporti top-down / bottom-up o dei cosiddetti rapporti laterali, viene meno la fondamentale condizione personale di una sana capacità di diplomazia e interazione con le diverse figure con cui il RSPP, inevitabilmente, si interfaccia.
Il sig. B, sembrava papabile per un ruolo di ASPP. Era chiara la consapevolezza di ritrovarsi in un contesto completamente differente, il suo nuovo ambientamento, la necessità di verificare il livello di capacità nella gestione delle relazioni ai vari livelli e funzioni organizzative nonché l’esigenza di integrare il suo percorso formativo ai nuovi rischi e processi rispetto a quelli a lui già noti.
Il sig. C, spiegando le ragioni degli investimenti sostenuti a titolo personale sulla propria formazione in materia di S&SL, sottolineando la maggiore produttività e rendimento rispetto alla sua attuale posizione, la sua comprovata capacità di comunicazione con diversi soggetti, la conoscenza di buona parte dei processi aziendali conseguenti alla sua anzianità in azienda ed alla disponibilità a rinnovarsi fra le diverse funzioni e mansioni, si dimostrava un candidato estremamente interessante e da tenere in debita considerazione.
Senza inoltrarmi nei dettagli e limitandomi ad evidenziare che il Sig. C mi ha sostituito nel ruolo di RSPP avvalendosi, fra gli altri, del sig. B quale ASPP, la funzione del SPP si è successivamente costituita all’interno dell’impresa e mi ha portato a ricoprire nuovi ruoli. Più precisamente, ceduti i panni di RSPP, ho mantenuto i ruoli di:
Consulente per la Sicurezza sul lavoro volto a monitorare e supportare l’attività della neo costituita Funzione SPP con particolare attenzione alla normativa ed agli aspetti organizzativi;
Trainer che, accanto all’apporto di conoscenze ed al trasferimento di sapere, esalta lo sviluppo delle capacità individuali
che ho integrato con la sempre più coinvolgente figura di:
Team e Safety Coach per la costruzione del Team del Servizio di Prevenzione e Protezione interno che mi ha portato a verificare e far sì che tutti i dubbi riguardanti:
L’individuazione delle Risorse in grado di dare corpo e anima alla funzione,
La coesione del Team, ovvero della funzione SPP,
La condivisione di un progetto comune,
La congruenza e la coerenza della costituenda funzione con quelli dell’Organizzazione,
La definizione dei singoli ruoli e responsabilità, compiti e mansioni, oltre ai dettami di legge,
Il riconoscimento dell’identità della funzione SPP e dei suoi membri, all’interno del l’intero Sistema di Prevenzione e Protezione dell’intera Organizzazione,
Le caratteristiche personali, oltre che i requisii di legge, dei diversi membri del Team,
venissero serenamente e sistematicamente affrontati e gestiti; nonché quella di
Mentore nelle cui vesti, essendo a conoscenza della materia, guido il nuovo SPP nel mare del più esteso Sistema di Prevenzione e Protezione facendo in modo che le sue acque siano calme e, sempre, navigabili .
Attento alle esigenze che si presentano di volta in volta, flessibile ai mutamenti ed alle innovazioni che si ri-propongono senza soluzione di continuità mi adatto alle situazioni e, scevro da pregiudizi, mi pongo come Modello di riferimento.
Categorie ASPP, Business Coaching, Coach, Coaching, colaianni consulting, Consulente, Mentore, Mentoring, Safety Coach, SPP, Team Coach, Trainer•Tags aspp, Business Coach, Coach, Consulente, Mentore, rspp, Safety Coach, Team coach
Categorie Seleziona una categoria 14001 17021 17065 18001 20000-1 22301 231 27001 27018 81/08 e smi 9001 9004 accademia Affiatamento aggregazioni laicali Amministratore Amore Amplesso anticorruzione ASPP Assemblea attività pericolosa Auditor Autostima bene Benessere Buddismo Zen Business Coach Business Coaching Business school certificatori Chiesa cattolica Coach Coaching coaching coaching team Codice dell’Amministrazione Digitale Colaianni colaianni consulting Collegio sindacale comitato di sorveglianza Comitato per il Controlllo Interno Concentrazione confederazioni sindacali conservatori conservazione digitale dei documenti Consulente Consulenza Coppia Corpi corporate Corporate Coach corporate privacy Corruzione Culpa in eligendo culpa in vigilando cuore D. Lgs. 152/2006 D. Lgs. 196/03 e smi D. Lgs. 235/2012 D. Lgs. 33/2012 D. Lgs. 38/2017 D. Lgs. 39/2013 D. Lgs. 82/2005 Data Privacy Officer Data Protection Officer Digital Preservation Officer diritto penale dell’informatica DP Auditor DPCM 3/XII/2013 DPO DPR 62/2013 enti enti di formazione enti ecclesiastici Executive coaching Facilitatore fedeli Formatore Formazione GDPR Gestione Gestione del rischio gruppo di imprese gusto Holding igiene IMPRESA Inclusione informatica giuridica ISDP 10003:2018 Scheme L 134/2012 L. 179/2017 l. 190/2012 L. 21 dicembre 2018 n. 171 lavoro Legge federale della Protezione dei Dati Life Coach Life Coach Life Coaching LPD Manager privacy Marcello Marcello Colaianni Marcello Colaianni Coach MC medico competente Meditazione Mentore Mentoring Mindfulness MOG normativa cogente normativa volontaria OdV olfatto onere della prova Organigramma aziendale Organigramma per la data protection Organigramma per la privacy organismi di valutazione della conformità Organismo di Vigilanza Organizzazione Organizzazione religiosa Orgasmo Outplacement outsourcing partiti partito Partnership coaching pelle Personal Coach Personal Coaching Personal coaching persone persone dei fedeli Positività positivo priorità Privacy Qualità Rappresentante Rappresentanti reati 231 Reg. EIdAS 910/2014 Reg. UE 679/2016 Regolamento UE Relazione Relazione amorosa Relazione sessuale Resilienza Respirazione consapevole Responsabile della Protezione dei Dati RESPONSABILITA’ SOCIALE ricerca di lavoro Risk manager Risk Mgmt RPD rspp RSU RTDP SA8000 Safety Coach salute sapore SCI scuola scuola privata scuola pubblica scuole scuole di direzione aziandale selezione Sensi Sensualità Senza categoria servizio di prevenzione e protezione Sesso Sessualità sicurezza delle informazioni Sicurezza sul lavoro sindacati sistemi di controllo interno Sistemista Somministrazione di lavoro Specialista privacy Spettacolare SPP Stupefacente Team Coach Team coaching Titolare Trainer udito UNI EN ISO 45001 UNI ISO 26000 UNI ISO 31000 UNI ISO 37001 università Valutatore Privacy vista Yoga Zen

References: art. 28
 § 3
 art. 28
 art. 6
 art. 5
 art. 28