Abstract: L’audit dice se le regole sono state rispettate; la due diligence dice se i dati dell’azienda reggono una trattativa, un controllo o un investimento. Che cosa cambia e quando serve davvero.
Ogni giorno un’azienda viene valutata: da un cliente che deve sceglierla come fornitore, da un partner che vuole integrarla nei propri processi, da un investitore che sta per entrare nel capitale. E ogni giorno un’azienda crede di essere in regola. La differenza sta in quello che può dimostrare.
È qui che entra in gioco la due diligence privacy. Spesso viene confusa con un audit, ma le due attività rispondono a domande diverse.
L’audit e la due diligence
L’audit è un controllo di conformità. Si basa su una lista di verifica e risponde a una domanda precisa: in questo momento l’azienda rispetta i requisiti? È utile, ma è una fotografia.
La due diligence è una revisione più ampia e profonda. Non si limita a verificare che le regole siano state seguite: cerca i rischi nascosti che potrebbero emergere in futuro, valuta il contesto, le relazioni con fornitori e partner, la solidità dei processi. Risponde a un’altra domanda: questa azienda, con il suo modo di gestire i dati, regge una trattativa, un controllo dell’autorità, un contenzioso?
Un’analogia aiuta. Se state comprando una casa, l’audit è verificare che l’impianto elettrico sia a norma e che i documenti catastali siano corretti. La due diligence è esaminare le fondamenta, cercare le crepe nascoste, controllare il tetto e le tubature, e guardare il quartiere per capire se la casa manterrà il suo valore.
Perché la privacy è entrata nelle due diligence
Il valore di un’azienda dipende sempre di più dai dati che gestisce: clienti, dipendenti, fornitori, utenti. Un database raccolto senza una base giuridica valida non può essere usato né ceduto; un fornitore cloud scelto senza verifiche può esporre a trasferimenti illeciti; una violazione non gestita può costare sanzioni e reputazione. Sono rischi che non compaiono in bilancio, ma pesano su un prezzo, una garanzia contrattuale, una decisione di investimento.
Avere un DPO o un consulente legale non basta a escluderli. Nelle operazioni straordinarie conta la sostanza, non la forma: se ciò che c’è funziona davvero.
Come si esegue: cinque fasi
Una due diligence privacy ben condotta segue un percorso strutturato:
- Analisi preliminare dei documenti. Informative, registro dei trattamenti, nomine, contratti con i fornitori, valutazioni d’impatto, procedure per le violazioni: esistono, e corrispondono alla realtà?
- Interazione con i reparti. Direzione, marketing, HR, IT, commerciale: è qui che si scopre come vengono davvero trattati i dati, spesso in modo diverso da quanto scritto.
- Analisi dei gap. Il confronto tra documenti e pratica fa emergere le lacune, classificate per gravità e impatto.
- Azioni correttive. Ogni gap si traduce in un intervento concreto, con priorità e responsabili.
- Verifica periodica. La privacy non è uno stato raggiunto una volta per tutte: tecnologie, fornitori e norme cambiano, e la verifica deve seguirli.
Quando serve davvero
Non solo nelle fusioni e acquisizioni. Una due diligence privacy è utile quando un’azienda si prepara a una vendita o all’ingresso di un investitore, quando un fondo valuta una partecipazione, quando si sceglie un fornitore strategico che tratterà dati personali, quando si vuole sapere se la propria documentazione reggerebbe un’ispezione. In tutti questi casi il punto non è avere le carte in ordine, ma poter dimostrare che i processi funzionano.
Approfondisci
Il libro Due Diligence Privacy – La nuova frontiera della privacy, disponibile in sei lingue, spiega che cos’è una due diligence privacy, perché protegge il valore dell’impresa e come si esegue con il metodo Pro Diligence Privacy™.