Al di là dei singoli obblighi normativi, sempre più Comuni e Enti si stanno rendendo conto che la difficoltà principale non è tanto “fare gli adempimenti”, quanto riuscire a organizzarli in modo coerente e sostenibile.
Negli ultimi anni, infatti, si è stratificato un sistema complesso di regole che coinvolge contemporaneamente: la protezione dei dati personali, la sicurezza informatica, l’utilizzo di tecnologie avanzate come l’intelligenza artificiale e gli obblighi di trasparenza amministrativa.
Presi singolarmente, questi ambiti sono ormai abbastanza conosciuti.
Il problema nasce quando devono essere gestiti insieme.
Nella pratica quotidiana accade spesso che:
- il Registro dei trattamenti sia aggiornato
- le informative siano presenti
- le nomine siano formalizzate
- le misure di sicurezza siano adottate
Eppure, nonostante questo, il sistema nel suo complesso risulta fragile. Perché?
Perché manca un vero coordinamento tra i diversi ambiti e tra gli uffici e perché non tutto il personale coinvolto è reso consapevole e aggiornato del sistema sviluppato.
Il problema, nella maggior parte dei casi, non è l’assenza quindi di strumenti o documenti, ma qualcosa di più profondo: manca un reale coordinamento tra i diversi ambiti e tra gli uffici, e soprattutto una diffusione consapevole delle regole e dei processi all’interno dell’ente.
Questa difficoltà non riguarda un singolo Comune, ma rappresenta un fenomeno diffuso nella Pubblica Amministrazione, ampiamente evidenziato anche a livello istituzionale.
Diversi report europei e nazionali convergono infatti su un punto:
le organizzazioni pubbliche hanno raggiunto un buon livello di formalizzazione degli adempimenti, ma incontrano ancora difficoltà nel tradurli in processi operativi integrati e condivisi¹.
L’European Data Protection Board (EDPB), nell’ambito delle attività di controllo coordinato, ha più volte evidenziato come molte amministrazioni presentino una documentazione formalmente corretta, ma carenze nella effettiva integrazione della protezione dei dati nei processi organizzativi, oltre a una limitata consapevolezza del personale coinvolto².
Allo stesso modo, i report dell’Agenzia europea per la cybersicurezza (ENISA) ³, con riferimento all’attuazione della Direttiva NIS2, sottolineano come uno dei principali ostacoli sia la difficoltà di coordinare le responsabilità tra le diverse unità organizzative. In molti casi, le funzioni IT, sicurezza e gestione operativa agiscono separatamente, con il risultato di ridurre l’efficacia complessiva delle misure adottate.
Anche a livello nazionale, le indicazioni dell’AgID ⁴ e il quadro normativo sull’intelligenza artificiale ribadiscono un principio fondamentale: la Pubblica Amministrazione deve mantenere una piena capacità di governo, controllo e audit dei sistemi, anche quando questi sono affidati a fornitori esterni.
Infine, analisi più ampie come quelle dell’OCSE (OECD Digital Government Studies) ⁵ sottolineano che uno dei principali limiti della Pubblica Amministrazione è la cosiddetta gestione “per silos” ovvero, gli uffici operano in modo autonomo, le informazioni non vengono condivise in modo strutturato e quindi le decisioni non sono coordinate, portando al seguente scenario:
- l’IT gestisce la sicurezza
- i servizi gestiscono i dati
- la segreteria la trasparenza
- il DPO controlla (una sola faccia della stessa medaglia), senza un reale punto di integrazione.
Il risultato è sempre il medesimo che gli adempimenti esistono, ma non dialogano tra loro.
Il cambiamento richiesto nel 2026 e per i prossimi è prima di tutto organizzativo. Non si tratta più di intervenire “a valle”, quando emerge un problema o arriva una richiesta, ma di strutturare i processi a monte.
Questo significa, in modo molto concreto:
- coinvolgere le figure competenti già nella fase di progettazione dei servizi
- integrare la valutazione dei rischi nelle decisioni operative
- creare momenti di confronto tra uffici che oggi lavorano separati
- rendere tracciabili le scelte fatte
In altre parole, passare da una gestione “reattiva” a una gestione consapevole e programmata.
Un altro aspetto che incide molto è il rapporto con i fornitori. Sempre più spesso i Comuni utilizzano piattaforme e servizi complessi, che incorporano funzionalità avanzate (anche di intelligenza artificiale), senza avere una piena visibilità su come funzionano. Questo porta a una situazione paradossale: il servizio funziona ma l’Ente fatica a governarlo davvero.
Eppure, le indicazioni normative sono molto chiare, il Comune resta sempre responsabile delle scelte effettuate e dei trattamenti svolti, anche quando si affida a soggetti esterni, in relazione a quest’ultimo punto risulta utile la lettura della ns precedente Newsletter – Logos P.A. -LL GG. Ag.I.D. e Conformità IA nella PA (inserire link)
Per questo motivo diventa fondamentale mantenere:
- una capacità minima di controllo
- una comprensione dei processi
- una possibilità concreta di verifica
Tutto questo assume un rilievo ancora maggiore se si considera che oggi agli Enti non viene più richiesto solo di essere conformi, ma anche di dimostrare di esserlo.
In caso di controlli, richieste di accesso o criticità, diventa essenziale poter ricostruire:
- come sono state prese le decisioni
- quali valutazioni sono state effettuate
- quali misure sono state adottate
Senza una governance strutturata, questo diventa molto difficile.
La vera sfida per i Comuni nel 2026 non è tanto quella di aggiungere nuovi adempimenti, ma di fare un passo in più: passare da una somma di attività corrette
a un sistema realmente governato, integrato e sostenibile nel tempo.
È proprio in questa direzione che si inserisce il questionario di self assessment allegato:
non come semplice verifica formale, ma come strumento per capire quanto il sistema è davvero sotto controllo.
CLICCA QUI PER ACCEDERE AL QUESTIONARIO
Procedi nella compilazione e ti aiuteremo a capire e capiremo meglio anche noi come poterti supportare in questa importante sfida (durata circa 2 minuti).
A cura di Dott.ssa Cristina Pieretti
