Nel mondo della protezione dei dati personali, parlare di fornitori non significa più limitarsi a censire i responsabili del trattamento. La mappatura dei soggetti esterni coinvolti nei processi aziendali — soprattutto nei trattamenti di dati personali o nelle attività infrastrutturali critiche — è diventata uno degli strumenti più concreti per attuare una reale accountability, capace di dimostrare, nei fatti, la capacità di governo del titolare.

Per essere efficace, la mappatura non può essere un processo calato dall’alto. Al contrario, richiede un coinvolgimento diretto delle strutture operative che, nei fatti, selezionano e gestiscono i fornitori. È lì che si sviluppa la relazione concreta, ed è da lì che devono partire le valutazioni iniziali e il monitoraggio nel tempo. Decentralizzare il presidio, però, non significa frammentare: significa responsabilizzare le funzioni coinvolte, purché supportate da strumenti comuni, chiari e sostenibili. Le checklist di autovalutazione in materia di privacy e cybersecurity, pensate per essere semplici ma concrete, rappresentano un primo passo utile, purché non restino isolate.

Affidarsi esclusivamente alle dichiarazioni dei fornitori non basta. Occorre introdurre forme di verifica effettiva, in particolare per i soggetti più critici. Ciò può avvenire attraverso audit documentali, controlli a campione o richieste mirate. Alcune autorità europee lo ribadiscono da tempo. L’ICO britannico ha predisposto un proprio framework per gli audit sui fornitori IT, mentre la CNIL francese ha pubblicato un vademecum per supportare processi di audit strutturati e certificabili. Le verifiche — è importante ricordarlo — devono riguardare non solo i responsabili del trattamento ai sensi dell’art. 28 GDPR, ma anche quei fornitori che, pur non trattando direttamente dati personali, incidono su processi critici per la sicurezza e la continuità aziendale.

La gestione della filiera, tuttavia, incontra spesso ostacoli pratici. Da un lato, le grandi piattaforme impongono le proprie policy globali, spesso non negoziabili, che possono non essere pienamente aderenti alle esigenze del titolare. Dall’altro, i fornitori più piccoli o artigianali faticano a comprendere la logica delle valutazioni privacy e mostrano diffidenza verso strumenti percepiti come burocratici. Eppure, questi limiti non sollevano il titolare dai propri obblighi. Lo ha chiarito recentemente il Garante italiano, con il provvedimento del 4 giugno 2025 nei confronti della società “Noi Compriamo Auto”: la mancata verifica effettiva del comportamento dei fornitori ha comportato una sanzione significativa, proprio perché l’organizzazione si era limitata alla documentazione contrattuale, senza attuare controlli concreti.

In questo contesto, è fondamentale superare un approccio frammentario. Le valutazioni privacy devono innestarsi in percorsi più ampi di due diligence e gestione del rischio. L’integrazione tra DPO, ufficio legale, procurement e IT è essenziale per costruire una rete di relazioni fondata su criteri comuni, coerenti e misurabili. Uno strumento utile in tal senso è l’adozione di un repository centralizzato dei fornitori, accessibile alle funzioni coinvolte e al DPO, capace di conservare in modo tracciabile documentazione, valutazioni e risultati degli audit.

In definitiva, mappare i fornitori significa non solo adempiere a un obbligo del GDPR, ma investire in un sistema di controllo attivo e consapevole, che protegga l’organizzazione dai rischi esterni e rafforzi la cultura della responsabilità condivisa.

Passare dalla compliance formale a una governance viva, capace di evolversi nel tempo, è oggi una scelta necessaria per chi vuole davvero garantire la sicurezza e la protezione dei dati, personali e strategici.