Perché la privacy è un tema ESG
La protezione dei dati personali rientra nella dimensione Sociale del framework ESG — specificamente nell'area dei diritti umani digitali e della tutela dei consumatori. Il diritto alla privacy è riconosciuto dalla Carta dei Diritti Fondamentali dell'Unione Europea (articolo 8) come diritto fondamentale della persona: non è solo una questione tecnica o legale, ma un tema di rispetto della dignità individuale.
Per le aziende, questo si traduce in obblighi precisi nella rendicontazione ESG. L'ESRS S4 richiede di rendicontare i processi, le politiche e i risultati in materia di protezione della privacy dei consumatori. I GRI Standards dedicano un intero standard specifico — GRI 418: Customer Privacy — alla misura delle violazioni della riservatezza dei dati dei clienti. Il SASB (Sustainability Accounting Standards Board) include indicatori di cybersecurity e privacy in quasi tutte le categorie settoriali.
Il GDPR regola come devono essere trattati i dati: definisce i diritti degli interessati, gli obblighi del titolare del trattamento, le sanzioni per le violazioni. L'ESG misura e comunica quanto bene un'azienda protegge i dati nella pratica: quante violazioni si sono verificate, quante persone ne sono state colpite, quali misure correttive sono state adottate. GDPR e ESG non si sovrappongono — si completano.
Il panorama normativo: GDPR, NIS2 e oltre
Le aziende italiane operano all'interno di un quadro normativo in continua evoluzione sulla sicurezza dei dati e delle infrastrutture digitali:
- GDPR (Reg. UE 2016/679) — Il regolamento generale sulla protezione dei dati, pienamente in vigore dal 2018, impone obblighi di accountability, registri del trattamento, Data Protection Impact Assessment (DPIA) e notifica obbligatoria dei data breach all'Autorità Garante entro 72 ore dalla scoperta (e agli interessati quando il rischio è elevato)
- Direttiva NIS2 (2022/2555) — Recepita in Italia dal D.Lgs. 138/2024, estende gli obblighi di sicurezza informatica a migliaia di aziende operanti in settori critici (energia, trasporti, sanità, finanza, ICT, manifattura, distribuzione alimentare). Impone misure di gestione del rischio cyber, notifica degli incidenti significativi e responsabilità diretta del top management
- AI Act (Reg. UE 2024/1689) — Il regolamento sull'intelligenza artificiale introduce obblighi specifici per i sistemi AI ad alto rischio che trattano dati personali, con impatto crescente sulle aziende che usano AI nei processi di marketing, HR o customer service
- Data Act (Reg. UE 2023/2854) — Disciplina l'accesso e la condivisione dei dati non personali generati da prodotti connessi e servizi correlati, con impatto su manifattura, IoT e automazione industriale
Cybersecurity come tema di governance ESG
La sicurezza informatica ha fatto il salto da questione tecnica a tema di governance aziendale. Gli investitori istituzionali e i rating ESG valutano sempre più come il board e il top management presidiano i rischi cyber — non solo l'ufficio IT.
I motivi sono evidenti: un attacco informatico riuscito può causare danni economici enormi (interruzione operativa, perdita di dati, sanzioni regolamentari, danni reputazionali), ma anche impatti sociali significativi — la perdita dei dati personali di migliaia di clienti, la compromissione di infrastrutture critiche, il furto di segreti commerciali che danneggiano la posizione competitiva.
Le domande che gli investitori ESG pongono in materia di cybersecurity:
- Il board ha competenze specifiche in materia di rischi cyber o si affida esclusivamente ai tecnici IT?
- È stato nominato un Data Protection Officer (DPO) e/o un Chief Information Security Officer (CISO)?
- Esistono politiche formali di gestione del rischio cyber, aggiornate almeno annualmente?
- I dipendenti ricevono formazione periodica sulla sicurezza informatica e sul phishing?
- L'azienda ha testato i propri sistemi con penetration test o vulnerability assessment negli ultimi 12 mesi?
- Esiste un piano di risposta agli incidenti (Incident Response Plan) documentato e testato?
Gli indicatori da misurare e rendicontare
Un bilancio di sostenibilità credibile sulla privacy e la cybersecurity include sia indicatori quantitativi sia informazioni qualitative sulle politiche adottate:
| Indicatore | Standard di riferimento | Tipo |
|---|---|---|
| N° di data breach notificati al Garante Privacy | GRI 418, ESRS S4 | Quantitativo |
| N° di persone fisiche interessate dai data breach | GRI 418, ESRS S4 | Quantitativo |
| N° di reclami fondati ricevuti da privati sulla privacy | GRI 418, ESRS S4 | Quantitativo |
| N° di sanzioni/provvedimenti ricevuti dal Garante | ESRS S4, ESRS G1 | Quantitativo |
| Valore delle sanzioni GDPR ricevute nel periodo | ESRS G1 | Quantitativo |
| Esistenza di una politica formalizzata sulla privacy | ESRS S4 | Qualitativo |
| Presenza di DPO nominato | ESRS G1, GDPR | Qualitativo |
| % dipendenti formati su cybersecurity nell'anno | ESRS S1, ESRS G1 | Quantitativo |
| Certificazioni di sicurezza informatica (es. ISO 27001) | ESRS G1 | Qualitativo |
Il rischio reputazionale dei data breach
I danni di un data breach non si misurano solo nelle sanzioni del Garante (che possono arrivare fino al 4% del fatturato globale annuo, o 20 milioni di euro, applicando il criterio più elevato). Il danno reputazionale e la perdita di fiducia dei clienti sono spesso molto più costosi, e più difficili da quantificare e recuperare.
Secondo le ricerche più recenti dell'IBM Cost of a Data Breach Report, il costo medio globale di una violazione di dati ha superato i 4 milioni di dollari, con i tempi di identificazione e contenimento che si estendono mediamente a oltre 200 giorni. Per le PMI, anche un singolo incidente significativo può mettere a rischio la continuità operativa.
Rendicontare in modo trasparente le misure adottate per prevenire i breach — e la risposta efficace a quelli eventualmente occorsi — non è un'ammissione di debolezza: è una dimostrazione di maturità organizzativa che aumenta la fiducia degli stakeholder.
Molte aziende temono che rendicontare i propri data breach nel bilancio di sostenibilità le esponga negativamente. In realtà avviene il contrario: chi non ha mai subito incidenti — o chi gestisce gli incidenti con efficacia e comunica apertamente le misure correttive — trasmette un messaggio di fiducia. L'opacità, al contrario, alimenta il sospetto.
Come prepararsi alla rendicontazione sulla privacy
Per una PMI che inizia il percorso ESG, il punto di partenza sulla privacy è solitamente la verifica della conformità GDPR esistente — che spesso rivela gap da colmare prima ancora di pensare alla rendicontazione. Le fasi operative tipiche:
- Mappatura dei trattamenti — censimento dei dati personali trattati, delle finalità, delle basi giuridiche e dei tempi di conservazione (Registro dei Trattamenti ai sensi dell'art. 30 GDPR)
- Gap analysis rispetto al GDPR e alla NIS2 — identificazione delle non-conformità nei processi, nelle informative, nei contratti con i fornitori di dati e nelle misure di sicurezza tecniche e organizzative
- Definizione degli indicatori di monitoraggio — implementazione di un sistema di tracking degli incidenti, dei reclami e delle azioni correttive
- Formazione del personale — programmi di awareness sulla sicurezza informatica e sulla corretta gestione dei dati personali
- Prima rendicontazione ESG — inclusione degli indicatori di privacy nel report di sostenibilità, con disclosure sulle politiche adottate e i risultati ottenuti
Privacy e ESG: dove sei oggi?
Ti aiutiamo a valutare la maturità della tua gestione dei dati in chiave ESG e a costruire un percorso di rendicontazione credibile — coordinando i team IT, legale e sostenibilità.
Parliamo del tuo progetto →