DottPrivacy
DottPrivacy
GDPR · Reg. (UE) 2016/679
Il Regolamento (UE) 2016/679 e il Codice in materia di protezione dei dati personali, come modificato dal D.lgs. 101/2018, impongono un impianto che deve restare vivo. Un registro dei trattamenti compilato una volta e mai più riaperto non è conformità: è una prova a carico.
Art. 37 GDPR
La designazione del Responsabile della Protezione dei Dati è dovuta in tre casi tipizzati. Fuori da questi la nomina resta facoltativa, ma chi la effettua assume comunque per intero gli obblighi che ne discendono: il DPO volontario non è un DPO dimezzato.
Con la sola eccezione delle autorità giurisdizionali nell'esercizio delle funzioni giudiziarie. Rientrano anche i soggetti privati che svolgono compiti di interesse pubblico o esercitano pubblici poteri.
Attività principali che richiedono il monitoraggio regolare e sistematico degli interessati su larga scala: profilazione, geolocalizzazione di flotte, videosorveglianza estesa, tracciamento comportamentale.
Trattamento su larga scala dei dati di cui all'art. 9 — per esempio dati sanitari, biometrici o convinzioni religiose — oppure dei dati relativi a condanne penali e reati previsti dall'art. 10.
Mandato
Verifica dell'osservanza del Regolamento e delle politiche interne, con audit periodici documentati e relazione annuale alla direzione.
Consulenza sulla valutazione d'impatto ex art. 35 e sorveglianza sul suo svolgimento, prima che il nuovo trattamento entri in produzione.
Interlocuzione con il Garante per la protezione dei dati personali e gestione delle istanze degli interessati sui diritti di cui agli artt. 15-22.
Sensibilizzazione e formazione del personale autorizzato al trattamento, con verifica di apprendimento e registrazione delle presenze.
DPO interno o esterno
Quando la nomina è dovuta, o si sceglie di farla comunque, resta la domanda su chi ricopre l'incarico. Quattro risposte e la raccomandazione compare qui sotto, con il ragionamento in chiaro.
La scelta non è libera in un punto: il DPO non può trovarsi in conflitto di interessi, e chi decide sulle finalità e sui mezzi del trattamento — direzione informatica, risorse umane, produzione, marketing — non può controllare sé stesso. Il gruppo può designare un unico DPO, purché sia facilmente raggiungibile da ciascuno stabilimento. In ogni caso i dati di contatto vanno comunicati al Garante.
Impianto documentale
Registro dei trattamenti ex art. 30, informative agli interessati, nomine dei responsabili esterni ex art. 28, autorizzazioni del personale, valutazioni d'impatto, procedura di gestione delle violazioni, mappatura dei trasferimenti extra-UE.
Artt. 33-34
Il termine decorre dal momento in cui il titolare viene a conoscenza della violazione, non da quando ne ha compreso l'estensione. Nelle prime ore serve una procedura scritta, un canale di segnalazione interno che funzioni anche di sabato e una persona che decida.
72h
Notifica al Garante, salvo improbabilità del rischio
Senza ritardo
Comunicazione agli interessati in caso di rischio elevato
Sempre
Annotazione nel registro interno delle violazioni
Domande ricorrenti
Nelle PMI la figura interna raramente possiede insieme competenza giuridica, competenza informatica e indipendenza rispetto alle scelte che deve sorvegliare. Il professionista esterno risolve il conflitto e garantisce continuità anche quando l'organico cambia.
No. La responsabilità del trattamento resta in capo al titolare, che non può trasferirla con una nomina. Il DPO risponde della diligenza professionale con cui svolge i compiti dell'art. 39, e questa è già una responsabilità sufficiente.
In pratica no. Chi determina finalità e mezzi dei trattamenti — sistemisti, HR, marketing, direzione — si troverebbe a sorvegliare le proprie decisioni. È il conflitto di interessi che il Garante contesta con maggiore frequenza.
Dipende da estensione, finalità e presenza di riconoscimento o analisi comportamentale. In ambito produttivo si aggiunge il vincolo dell'art. 4 dello Statuto dei lavoratori: accordo sindacale o autorizzazione dell'Ispettorato prima dell'installazione.
Primo passo
Lettura critica dei documenti già in essere, elenco delle lacune e ordine di intervento. Utile anche a chi un DPO o un consulente ce l'ha già e vuole una seconda opinione indipendente.
Richiedi la verificaAltri ambiti