​Nomina Data Protection Officer (DPO)

Il Data Protection Officer (DPO), tradotto nella versione italiana del Regolamento UE 2016/679 “GDPR” in Responsabile per la Protezione dei Dati (RPD), da non confondere con il Responsabile del Trattamento, è una figura introdotta dal nuovo regolamento europeo in materia di protezione di dati personali (art. 37 GDPR).

La presenza di questa nuova figura nell’organigramma privacy rappresenta il nuovo approccio del GDPR, ora maggiormente responsabilizzante verso le aziende parte del Trattamento di Dati, finalizzato a facilitare l’attuazione del regolamento stesso da parte dei soggetti coinvolti.

Difatti lo scopo di questa nuova figura non è quello di tutelare gli interessi del titolare del trattamento, bensì tutelare gli interessati coinvolti e, di conseguenza, i loro dati trattati.

Requisiti del DPO

Il DPO deve possedere una serie di requisiti, che cerchiamo di riassumere:

• Deve possedere un’adeguata conoscenza delle normative vigenti in materia;
• Deve possedere un’adeguata conoscenza inerente la gestione dei dati personali, comprese le misure di sicurezza da adottare a tutela dei dati;
• Deve poter adempiere alle proprie funzioni in piena autonomia ed indipendenza;
• Deve operare in assenza di conflitti di interesse; non può quindi ricoprire altri ruoli ai vertici aziendali (Ad / Titolare / Membro del CDA, ecc.);
• Non può essere rimosso o penalizzato dall’Azienda per l’adempimento dei propri compiti.
• La figura del DPO può essere ricoperta sia da parte di un soggetto esterno che da parte di un dipendente;
• Il DPO deve disporre di adeguate risorse per operare.

Quando e come nominare il DPO

La designazione del DPO dovrà essere comunicata all’Autorità di controllo, nel nostro caso il Garante per la Protezione dei Dati Personali, tramite apposita procedura. La nomina è obbligatoria nei seguenti casi:

• Per le amministrazioni e gli enti pubblici, quali ad es. organismi amministrativi, no-profit, autorità locali, università, Camere di Commercio, Agenzie di salute pubblica, ecc.;
• Se avviene un trattamento di dati che richiede il controllo regolare e sistematico degli interessati su larga scala, come il trattamento di dati svolto da parte di un ospedale, i trattamenti dei dati personali per la pubblicità profilata, i trattamenti di dati inerenti tessere fedeltà, trattamenti di dati inerenti geolocalizzazione o videosorveglianza massiva, ecc.;
• Infine, se l’attività consiste nel trattamento su larga scala di dati particolari (come i dati relativi alla salute), giudiziari e biometrici;

Per semplificare i casi in cui la nomina risulta obbligatoria, al fine di dare un’indicazione alle aziende, il Garante ha pubblicato un elenco specifico di attività per le quali la nomina del DPO risulta obbligatoria. Questo indipendentemente dalle dimensioni dell’azienda stessa. L’elenco, da considerarsi a titolo esemplificativo e non esaustivo, comprende:

• concessionari di servizi pubblici;
• istituti di credito;
• imprese assicurative;
• sistemi di informazione creditizia;
• società finanziarie;
• società di informazioni commerciali;
• società di revisione contabile; società di recupero crediti;
• istituti di vigilanza;
• partiti e movimenti politici;
• sindacati;
• CAF e patronati; società operanti nel settore delle utilities (energia elettrica o gas, telecomunicazioni, ecc.);
• imprese di somministrazione di lavoro e ricerca del personale;
• società operanti nel settore della cura della salute, della prevenzione/diagnostica sanitaria quali ospedali privati, terme, laboratori di analisi mediche e centri di riabilitazione;
• società di call center;
• società che forniscono servizi informatici;
• società che erogano servizi televisivi a pagamento.

Il Garante raccomanda di effettuare una valutazione scritta in merito all’obbligo o meno di nominare il DPO.

La mancata nomina del DPO può comportare l’applicazione di una sanzione fino a 10 milioni di euro (o al 2% del fatturato annuo).

Nomina del DPO con Ecloga Italia

Ecloga Italia supporta le aziende clienti attraverso la Nomina di un DPO esterno. Il servizio comprende:

• Sopralluogo svolto dal DPO presso le sedi del cliente, al fine di fornire consulenza al Titolare e al Responsabile del Trattamento in merito agli obblighi derivanti dal Regolamento 2016/679 e s.m.i.;
• Invio della Nomina presso l’autorità (Garante per la Protezione dei Dati Personali);
• Redazione della documentazione in conformità al GDPR;
• Sorvegliare l’osservanza del Regolamento da parte del Titolare e al Responsabile del Trattamento in tutte le sue parti;
• Fornire su richiesta pareri in merito alla valutazione d’impatto e sorvegliarne lo svolgimento;
• Cooperare con l’autorità di controllo fungendo, tra le altre cose, da punto di contatto per questioni connesse al trattamento effettuando consultazioni di ogni tipo, con particolare riguardo e attenzione ad un’eventuale attività di consultazione preventiva.