CSA Training srl

Esplora

Accedi
Registrati
Iscriviti alla nostra Newsletter e ricevi il 5% di sconto sul tuo primo ordine. Affrettati!

Privacy - Valutazione e Gestione

L’Associazione CSA Training al servizio della formazione professionale e Sicurezza sul Lavoro

GDPR 2016/679 – Implementazione del Modello di Organizzazione e gestione dei dati personali ai sensi del GDPR  2016/679.
Il Regolamento Europeo GDPR (General Data Protection Regulation), Reg. EU 679/2016 impone, alle aziende e ai professionisti, di attuare obbligatoriamente misure di sicurezza sulla privacy più articolate rispetto al precedente D.lgs. n. 196/2003, che cesserà nella sua efficacia il 25 maggio 2018, data in cui il nuovo Regolamento Europeo troverà piena applicazione.   
Tutte le aziende dovranno conformarsi pienamente alle prescrizioni della norma europea.  Il mancato adeguamento a tali prescrizioni, comporta sanzioni sia di natura economica che penale.  Per i trasgressori le sanzioni, applicabili dal 25 maggio 2018,arriveranno fino a 20 milioni di euro o al 4% del fatturato.
I NOSTRI SERVIZI PRIVACY
CSA TRAINING offre, attraverso esperti in materia, servizi sia di Consulenza sia di Formazione nell’ambito dell’adeguamento normativo aziendale in materia di protezione dei dati personali e sicurezza delle informazioni, ai sensi del NUOVO REGOLAMENTO EUROPEO SULLA PRIVACY N.679 del 25.05.2016, al quale è obbligatorio adeguarsi a far data dal 25.05.2018.
I dati personali e i dati sensibili oggetto di trattamento devono essere custoditi e  minimizzati al fine di scongiurare rischi di accesso  non autorizzato, attraverso opportune e riconosciute misure  di sicurezza, atte a garantire  un’efficace protezione e privacy.
L’attività, da svolgersi in totale sintonia e collaborazione con l’Azienda Cliente, comprende principalmente l’elaborazione dell’organigramma privacy, Manuali/Registri/Incarichi.
Verrà elaborato un opportuno piano di formazione con il personale dedicato all’implementazione effettiva del sistema di tutela della Privacy in Azienda.
 
Offriamo ai nostri clienti, titolari di siti web il servizio di rendere  conformi alle normative vigenti al tema privacy, i siti web sia di nuova realizzazione che già esistenti, previa per quest’ultimi apposita verifica di rispondenza alle citate leggi. Forniamo, difatti, sia l’assistenza tecnica che i testi informativa privacy, policy privacy, informativa cookie etc.
 
Per effettuare l’adeguamento al NUOVO REGOLAMENTO EUROPEO SULLA PRIVACY N.679 del 25.05.2016, possiamo svolgere per le Aziende un’analisi preliminare GRATUITA in ottica Privacy con relativa Risk Analysis e dettato normativo, con conseguente elaborazione di un piano d’azione per la Privacy.

I NOSTRI SERVIZI PRIVACY

CSA TRAINING offre, attraverso esperti in materia, servizi sia di Consulenza sia di Formazione nell’ambito dell’adeguamento normativo aziendale in materia di protezione dei dati personali e sicurezza delle informazioni, ai sensi del NUOVO REGOLAMENTO EUROPEO SULLA PRIVACY N.679 del 25.05.2016, al quale è obbligatorio adeguarsi a far data dal 25.05.2018.
I dati personali e i dati sensibili oggetto di trattamento devono essere custoditi e  minimizzati al fine di scongiurare rischi di accesso  non autorizzato, attraverso opportune e riconosciute misure  di sicurezza, atte a garantire  un’efficace protezione e privacy.
L’attività, da svolgersi in totale sintonia e collaborazione con l’Azienda Cliente, comprende principalmente l’elaborazione dell’organigramma privacy, Manuali/Registri/Incarichi.
Verrà elaborato un opportuno piano di formazione con il personale dedicato all’implementazione effettiva del sistema di tutela della Privacy in Azienda.
 
Offriamo ai nostri clienti, titolari di siti web il servizio di rendere  conformi alle normative vigenti al tema privacy, i siti web sia di nuova realizzazione che già esistenti, previa per quest’ultimi apposita verifica di rispondenza alle citate leggi. Forniamo, difatti, sia l’assistenza tecnica che i testi informativa privacy, policy privacy, informativa cookie etc.
 
Per effettuare l’adeguamento al NUOVO REGOLAMENTO EUROPEO SULLA PRIVACY N.679 del 25.05.2016, possiamo svolgere per le Aziende un’analisi preliminare GRATUITA in ottica Privacy con relativa Risk Analysis e dettato normativo, con conseguente elaborazione di un piano d’azione per la Privacy.
Destinatari Liberi professionisti e funzioni aziendali che rivestono, devono rivestire o valutano di rivestire il ruolo del DPO nell’ambito di aziende private e pubbliche.
Il primo adempimento da adottare per implementare il sistema Privacy GDPR in azienda è comprendere l’importanza e il valore dei dati, dopodiché bisogna avviare tutti i processi per avere un quadro completo dell’organizzazione, ruoli, figure, competenze, processi e regole che impattano sul trattamento dei dati.
 
Il titolare del trattamento ?
Il titolare del trattamento può essere un’autorità pubblica, una persona fisica o giuridica. In altri casi può essere un organismo e agire singolarmente o in sinergia con altri.
 
Il responsabile del trattamento ?
È il soggetto che tratta i dati personali per conto del titolare del trattamento.
Anche in questo caso può essere un’autorità pubblica, una persona fisica o una giuridica.
 
Trattamento ?
qualsiasi operazione o insieme di operazioni, compiute con o senza l’ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali, come la raccolta,
la registrazione, l’organizzazione, la strutturazione, la conservazione, l’adattamento o la modifica, l’estrazione, la consultazione, l’uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l’interconnessione, la limitazione, la cancellazione o la distruzione; Il consenso ad un certo trattamento che fino ad oggi poteva anche essere tacito diventa obbligatoriamente esplicito ed il cittadino potrà verificare in ogni istante come questo viene applicato ed eventualmente revocarlo in modo semplice. Cambia quindi la visione data oggi ai processi di marketing diretto, ma cambiano anche le modalità di registrazione e fruizione dei molti servizi internet; così varia anche la visione relativa alla profilazione dell’utente che non sarà più sufficiente, nel caso di questioni che hanno effetti giuridici, a deciderne una soluzione.
 
Profilazione ?
qualsiasi forma di trattamento automatizzato di dati personali consistente nell’utilizzo di tali dati personali per valutare determinati aspetti personali relativi a una persona fisica, in particolare per analizzare o prevedere aspetti riguardanti il rendimento professionale, la situazione economica, la salute, le preferenze personali, gli interessi, l’affidabilità, il comportamento, l’ubicazione o gli spostamenti di detta persona fisica; Nel caso di marketing diretto l’interessato avrà sempre diritto di opporsi alle attività di profilazione. Inoltre è stato introdotto in modo chiaro il diritto all’oblio, cioè la cancellazione dei propri dati personali da parte di un titolare del trattamento qualora ad esempio cessino i motivi per cui si era dato il consenso. Se ne pongono dei limiti di applicazione e si obbliga il titolare del trattamento ad agire tempestivamente perché l’informazione sia rimossa ovunque venga trattata. In un mondo sempre più digitale si è dato particolare risalto alla portabilità dei dati personali. In particolare diventerà molto più semplice trasferire i propri dati da un gestore ad un altro per i contratti come la telefonia, e quelli urbani (acqua, luce e gas) in quanto sarà fatto obbligo al gestore attuale il trasferimento autorizzato delle informazioni verso terzi. Anche dati più strutturati, come la messaggistica elettronica o i file nel cloud, dovranno essere trattati secondo questa nuova visione. Ovviamente la normativa non si spinge a definire le caratteristiche tecniche per l’interscambio dei dati né a livello europeo né nazionale. Saranno presumibilmente i vari enti nazionali, da noi il Garante per la Privacy, a concepire le opportune interfacce informatiche per i vari temi. Una particolare attenzione viene data al trasferimento dei dati al di fuori dell’Unione Europea dove dovrà essere accuratamente valutata l’adeguatezza rispetto alla tutela dei dati della controparte e in caso di insufficienza si potranno richiedere opportune garanzie ed il cittadino dovrà esplicitamente dare il proprio consenso ad ogni forma di trasferimento. La violazione dei dati personali (Data breach) non potrà essere una problematica solamente aziendale ma richiederà maggiore informazione verso l’interessato e una comunicazione tempestiva ed obbligatoria verso l’autorità nazionale per la protezione dati. Per le aziende, di qualsiasi ordine e grado, cambia radicalmente la visione generale che passa da un censimento dei trattamenti effettuati relativi alla privacy ad un vero e proprio Sistema Rischi dove, con le medesime metodologie messe in campo per il trattamento, ad esempio dei rischi finanziari od operativi, si riportano gli elementi della privacy ad elementi di rischio per il quale si devono fare attente misurazioni, mettere in atto politiche di riduzione del rischio, pianificare i costi che vanno ad impattare sul conto economico dell’impresa. I legislatori europei hanno voluto dichiarare in modo evidente l’importanza del provvedimento stabilendo forti sanzioni pecuniarie nel caso di non rispetto della norma (articolo 84, sanzioni). Parimenti le imprese che saranno particolarmente virtuose, in cui il titolare potrà in ogni momento certificare i propri trattamenti e nelle quali si applicano in modo serio codici di condotta sottoposta all’approvazione dell’autorità nazionale tramite associazioni di categoria o altri soggetti, avranno diritto a valutazioni meno stringenti nel caso si manifestassero problematiche nei processi privacy. Nelle sezioni che seguiranno verranno approfondite alcune delle problematiche citate dando enfasi alle azioni che le imprese dovranno attuare per adempiere al Regolamento.
 
I registri dei trattamenti ?
Fra gli altri compiti, il titolare e il responsabile del trattamento devono redigere i registri delle attività e dei trattamenti effettuati. Formalmente la tenuta del registro rappresenta il sostituto della comunicazione diretta delle medesime informazioni al Garante della Privacy. È presumibile pensare che nel prossimo futuro, come già avvenuto per i dati forniti all’Agenzia delle Entrate per via telematica, anche per tali informazioni avverrà un processo analogo. In realtà i registri da conservare e mantenere sono due:  Il registro del titolare del trattamento, che contiene: o Anagrafica del titolare stesso, di un contitolare se presente, del rappresentante e del titolare alla protezione dati; o Le finalità del trattamento; o Le categorie degli interessati a cui fa capo il dato; o Eventuali termini per la cancellazione automatica del dato; o Un’eventuale descrizione generale delle misure di sicurezza tecnico-organizzative.  Il registro del responsabile del trattamento, in cui sono presenti:
L’anagrafica dei responsabili del trattamento; o La descrizione delle categorie di trattamento effettuati; o Opzionalmente la descrizione delle misure di sicurezza intraprese. La conservazione può avvenire in forma cartacea ma anche in forma elettronica rendendo sempre disponibile il dato ad eventuali ispezioni dell’autorità garante. È bene che il software aziendale adottato per gestire il progetto Privacy integri la gestione dei registri derivandoli direttamente dalla normale operatività.
 
Violazione dei dati personali ?
la violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o comunque trattati; Ovviamente questo rappresenta uno dei temi più cari al Garante della Privacy il quale, con attenzione anche per il nuovo GDPR, ha pubblicato gli adempimenti previsti. In particolare vengono prese in considerazione le azioni da intraprendersi nel caso di perdita, distruzione, diffusione indebita di dati personali conservati, trasmessi o comunque trattati a causa di attacchi informatici, accessi abusivi, incidenti o eventi avversi, come incendi e altre calamità. I casi finora analizzati riguardano:  Le società telefoniche e gli internet provider;  La biometria;  Il dossier sanitario elettronico;  Le amministrazioni pubbliche. In particolare il testo del nuovo regolamento prevede l’obbligo di notifica all’autorità di controllo e la comunicazione della violazione al diretto interessato. L’articolo 33 dice infatti:
 
Notifica di una violazione dei dati personali all’autorità di controllo ?
1. In caso di violazione dei dati personali, il titolare del trattamento notifica la violazione all’autorità di controllo competente a norma dell’articolo 55 senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libertà delle persone fisiche. Qualora la notifica all’autorità di controllo non sia effettuata entro 72 ore, è corredata dei motivi del ritardo. 2. Il responsabile del trattamento informa il titolare del trattamento senza ingiustificato ritardo dopo essere venuto a conoscenza della violazione. 3. La notifica di cui al paragrafo 1 deve almeno: a. descrivere la natura della violazione dei dati personali compresi, ove possibile, le categorie e il numero approssimativo di interessati in questione nonché le categorie e il numero approssimativo di registrazioni dei dati personali in questione; b. comunicare il nome e i dati di contatto del responsabile della protezione dei dati o di altro punto di contatto presso cui ottenere più informazioni; c. descrivere le probabili conseguenze della violazione dei dati personali;
d. descrivere le misure adottate o di cui si propone l’adozione da parte del titolare del trattamento per porre rimedio alla violazione dei dati personali e anche, se del caso, per attenuarne i possibili effetti negativi. 4. Qualora e nella misura in cui non sia possibile fornire le informazioni contestualmente, le informazioni possono essere fornite in fasi successive senza ulteriore ingiustificato ritardo. 5. Il titolare del trattamento documenta qualsiasi violazione dei dati personali, comprese le circostanze a essa relative, le sue conseguenze e i provvedimenti adottati per porvi rimedio. Tale documentazione consente all’autorità di controllo di verificare il rispetto del presente articolo.
 
ed il 34: Comunicazione di una violazione dei dati personali all’interessato ?
1. Quando la violazione dei dati personali è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento comunica la violazione all’interessato senza ingiustificato ritardo. 2. La comunicazione all’interessato di cui al paragrafo 1 del presente articolo descrive con un linguaggio semplice e chiaro la natura della violazione dei dati personali e contiene almeno le informazioni e le misure di cui all’articolo 33, paragrafo 3, lettere b), c) e d). 3. Non è richiesta la comunicazione all’interessato di cui al paragrafo 1 se è soddisfatta una delle seguenti condizioni: a. il titolare del trattamento ha messo in atto le misure tecniche e organizzative adeguate di protezione e tali misure erano state applicate ai dati personali oggetto della violazione, in particolare quelle destinate a rendere i dati personali incomprensibili a chiunque non sia autorizzato ad accedervi, quali la cifratura; b. il titolare del trattamento ha successivamente adottato misure atte a scongiurare il sopraggiungere di un rischio elevato per i diritti e le libertà degli interessati di cui al paragrafo 1; c. detta comunicazione richiederebbe sforzi sproporzionati. In tal caso, si procede invece a una comunicazione pubblica o a una misura simile, tramite la quale gli interessati sono informati con analoga efficacia. 4. Nel caso in cui il titolare del trattamento non abbia ancora comunicato all’interessato la violazione dei dati personali, l’autorità di controllo può richiedere, dopo aver valutato la probabilità che la violazione dei dati personali presenti un rischio elevato, che vi provveda o può decidere che una delle condizioni di cui al paragrafo 3 è soddisfatta.

F.A.Q.

A proposito di Data Protection
E’ una delle figure chiave per l’implementazione del Regolamento Generale sulla protezione dei dati (GDPR) nelle aziende e nelle Pubbliche Amministrazioni.
 

Il DPO è la figura chiave :
1) DEL TRATTAMENTO
2) DI CONTROLLO
3) DI TUTELA
Attività di informazione e consulenza; Attività di sorveglianza; Attività di sensibilizzazione e formazione del personale; Pareri sulla Valutazione d’Impatto (DPIA); Attività di cooperazione con l’Autorità di controllo;

Il ruolo del DPO è di tutelare i dati personali, non gli interessi del titolare del trattamento.

La figura del Data Protection Officer o Responsabile della protezione dei dati personali (in seguito DPO o RPD), non coincide del tutto con quella di Responsabile del trattamento attualmente contenuta nel GDPR. Benché al DPO non sono richieste attestazione formali o iscrizioni ad albi per adempiere ai compiti e responsabilità, la scelta del DPO deve convergere su una figura che sia in grado di far fronte alle innumerevoli responsabilità.

  1. Ha il compito di informare e consigliare il titolare o il responsabile del trattamento da lui preposto, nonché i dipendenti, in merito agli obblighi derivanti dal Regolamento Europeo e dalle altre disposizioni dell’UE o delle normative locali degli Stati membri relative alla protezione dei dati.
  2. verificare che la normativa vigente e le policy interne del titolare siano correttamente attuate ed applicate, incluse le attribuzioni delle responsabilità, la sensibilizzazione e la formazione del personale, ed i relativi audit. Deve fornire pareri in merito alla valutazione d’impatto sulla protezione dei dati, sorvegliandone poi i relativi adempimenti.
  3. Il DPO funge inoltre da punto di contatto sia con il Garante della Privacy che con gli interessati, che possono rivolgersi a lui anche per l’esercizio dei loro diritti.

Il responsabile della protezione dei dati personali (di seguito “RPD”; o anche conosciuto come Data protection officer) è una figura prevista dall’art. 37 del Regolamento (UE) 2016/679 (di seguito “RGPD”). Si tratta di un soggetto designato dal titolare o dal responsabile del trattamento per assolvere a funzioni di supporto e di controllo, consultive, formative e informative relativamente all’applicazione del RGPD. A tal fine, deve essere “tempestivamente e adeguatamente” coinvolto in tutte le questioni riguardanti la protezione dei dati personali anche con riferimento ad attività di interlocuzione con l’Autorità (quali, ad esempio, audizioni, accertamenti ispettivi o riunioni svolte a vario titolo; cfr. art. 38, par. 1 del RGPD). Coopera, inoltre, con l’Autorità e costituisce il punto di contatto rispetto a quest’ultima e agli interessati, in merito alle questioni connesse al trattamento dei dati personali (artt. 38 e 39 del RGPD).

Il RPD, al quale non sono richieste specifiche attestazioni formali o l’iscrizione in appositi albi, deve possedere un’approfondita conoscenza della normativa e delle prassi in materia di protezione dei dati personali, nonché delle norme e delle procedure amministrative che caratterizzano lo specifico settore di riferimento.

Deve poter offrire, con il grado di professionalità adeguato alla complessità del compito da svolgere, la consulenza necessaria per progettare, verificare e mantenere un sistema di gestione dei dati personali, coadiuvando il titolare o il responsabile del trattamento nell’adozione di un complesso di misure organizzative (anche di sicurezza) e garanzie adeguate al contesto in cui è chiamato a operare. Deve inoltre agire in piena indipendenza (considerando 97 del RGPD) e autonomia, senza ricevere istruzioni in ordine all’esecuzione dei menzionati compiti e riferendo direttamente ai vertici del titolare o del responsabile del trattamento (art. 38, par. 3 del RGPD).

Il responsabile della protezione dei dati personali deve poter disporre, infine, di risorse (personale, locali, attrezzature, ecc.) necessarie per l’espletamento dei propri compiti (art. 38, par. 2 del RGPD).

Sono tenuti alla designazione del RPD il titolare o il responsabile del trattamento che rientrino nei casi previsti dall’art. 37, par. 1, lettere b) e c), del RGPD. Si tratta di soggetti le cui principali attività (in primis, le attività c.d. di core business) consistono in trattamenti che richiedono il monitoraggio regolare e sistematico degli interessati su larga scala o in trattamenti su larga scala di categorie particolari di dati personali o di dati relative a condanne penali e a reati (per quanto attiene alle nozioni di “monitoraggio regolare e sistematico” e di “larga scala”, v. Gruppo ex art. 29, “Linee guida sui responsabili della protezione dei dati” del 5 aprile 2017, WP 243 rev. 01 , paragrafi 2.1.3 e 2.1.4). Il diritto dell’Unione o degli Stati membri può prevedere ulteriori casi di designazione obbligatoria del RPD (art. 37, par. 4 del RGPD; cfr., in tal senso, ad esempio, art. 2-sexiesdecies del D. lgs. 196/2003).

Ricorrendo i suddetti presupposti, sono tenuti alla nomina, a titolo esemplificativo e non esaustivo: concessionari di servizi pubblici (trasporto pubblico locale, raccolta dei rifiuti, gestione dei servizi idrici ecc.), istituti di credito; imprese assicurative; sistemi di informazione creditizia; società finanziarie; società di informazioni commerciali; società di revisione contabile; società di recupero crediti; istituti di vigilanza; partiti e movimenti politici; sindacati; caf e patronati; società operanti nel settore delle utilities (telecomunicazioni, distribuzione di energia elettrica o gas, ecc.); imprese di somministrazione di lavoro e ricerca del personale; società operanti nel settore della cura della salute, della prevenzione/diagnostica sanitaria quali ospedali privati, terme, laboratori di analisi mediche e centri di riabilitazione; società di call center; società che forniscono servizi informatici; società che erogano servizi televisivi a pagamento.

Nei casi diversi da quelli previsti dall’art. 37, par. 1, lettere b) e c), del RGPD, la designazione del RPD non è obbligatoria (ad esempio, in relazione a trattamenti effettuati da liberi professionisti operanti in forma individuale o comunque che non effettuano trattamenti su larga scala; amministratori di condominio; agenti, rappresentanti e mediatori non operanti su larga scala; imprese individuali o familiari; piccole e medie imprese, con riferimento ai trattamenti dei dati personali connessi alla gestione corrente dei rapporti con fornitori e dipendenti – a tale ultimo riguardo, cfr. anche considerando 97 del RGPD, in relazione alla definizione di attività “accessoria”).
In ogni caso, resta comunque raccomandata, anche alla luce del principio di accountability che permea il RGPD, la designazione di tale figura (v., in proposito, WP 243, cit., par. 1), i cui criteri di nomina, in tale evenienza, rimangono gli stessi sopra indicati.

Il RPD scelto all’interno andrà nominato mediante specifico atto di designazione (ad es. lettera d’incarico), mentre quello scelto all’esterno, che dovrà avere le medesime prerogative e tutele di quello interno, dovrà operare in base a un contratto (cfr. art. 37, par. 6 del RGPD, ove si fa riferimento al “contratto di servizi”). Tali atti, da redigere in forma scritta, dovranno contenere la designazione del RPD e indicare espressamente i compiti ad esso attribuiti, le risorse assegnate per il loro svolgimento, nonché ogni altra utile informazione in rapporto al contesto di riferimento.
Nell’esecuzione dei propri compiti, il RPD (interno o esterno) dovrà ricevere supporto adeguato in termini di risorse finanziarie, infrastrutturali e, ove opportuno, di personale. Il titolare o il responsabile del trattamento mantengono comunque la piena responsabilità in ordine all’osservanza della normativa in materia di protezione dei dati.

IL DPO DEVE ESSERE NOMINATO DAL RESPONSABILE DEL TRATTAMENTO?
No. Il RPD, in ragione dell’autonomia d’azione specificatamente attribuita al medesimo dalla normativa (artt. 38 e 39 del RGPD), non può essere nominato responsabile del trattamento, figura quest’ultima distinta ed espressamente disciplinata dall’art. 28 del RGPD.

ADEMPIMENTI DEL TITOLARE IN OCCASIONE DELLA DESIGNAZIONE DEL DPO?
Il titolare o il responsabile del trattamento è tenuto a pubblicare i dati di contatto del RPD designato e a comunicarli al Garante (art. 37, par. 7 del RGPD).
Non è necessario pubblicare il nominativo del RPD, purché i relativi dati di contatto consentano che lo stesso sia direttamente e agevolmente raggiungibile (ad es. per il tramite di un indirizzo e-mail a ciò dedicato).
Il nominativo del responsabile della protezione dei dati e i relativi dati di contatto vanno invece comunicati all’Autorità di controllo tramite una procedura telematica ad hoc (https://servizi.gpdp.it/comunicazionerpd/s/), provvedendo, con le medesime modalità, al loro tempestivo aggiornamento in caso di modifica dei predetti dati o di sostituzione del soggetto designato. Tale procedura rappresenta l’unico canale di contatto utilizzabile a questo specifico fine.

Si, a condizione che non sia in conflitto di interessi. In tale prospettiva, ove il RPD sia individuato in un soggetto interno all’organizzazione, appare incompatibile l’assegnazione del ruolo di RPD a soggetti con incarichi di alta direzione o aventi specifiche funzioni (es. amministratore delegato; membro del consiglio di amministrazione; direttore generale; responsabile IT, responsabile audit e/o gestione del rischio, responsabile del servizio prevenzione e protezione ecc.), ovvero nell’ambito di strutture aventi potere decisionale in ordine alle finalità e alle modalità del trattamento (es. direzione risorse umane, direzione marketing, direzione finanziaria, ecc.). Pertanto, potrebbe essere valutata l’assegnazione di tale incarico ai responsabili delle funzioni di staff (ad esempio, il responsabile della funzione legale), previa verifica, in base al contesto di riferimento, circa l’assenza di conflitto di interessi.
Laddove il RPD sia una figura esterna all’organizzazione, non appare compatibile con i requisiti di indipendenza previsti dall’art. 38 del RGPD, l’assegnazione di tale incarico a soggetti che, nel rendere servizi nell’interesse del titolare, potrebbero trovarsi in una posizione di conflitto di interessi (es. fornitore di servizi IT, software-house, ecc.).

IL DPO DEVE ESSERE UNA PERSONA FISICA O ANCHE UN SOGGETTO DIVERSO?
Il RGPD prevede espressamente che il RPD possa essere un “dipendente” del titolare o del responsabile del trattamento (art. 37, par. 6, del Regolamento) in grado di svolgere le proprie funzioni in autonomia e indipendenza, nonché in collaborazione diretta con il vertice dell’organizzazione.
Il RPD, inoltre, da individuarsi comunque in una persona fisica, potrà essere supportato anche da un apposito ufficio dotato delle competenze necessarie ai fini dell’assolvimento dei propri compiti.
Qualora il RPD sia individuato in un soggetto esterno, quest’ultimo potrà essere anche una persona giuridica (v. WP 243, par. 2.5), purché sia indicata la persona fisica atta a fungere da punto di contatto con gli interessati e con l’Autorità di controllo. Al fine di agevolare il soggetto esterno che opera come RPD, sarebbe altresì opportuno individuare all’interno dell’organizzazione del titolare o del responsabile, una figura, che funga da referente per il RPD.

NOMINARE UN UNICO DPO NELL’ AMBITO DI UN GRUPPO IMPRENDITORIALE?
Il RGPD prevede che un gruppo imprenditoriale (v. definizione di cui all’art. 4, n. 19 del RGPD) possa designare un unico RPD, purché tale responsabile sia facilmente raggiungibile da ciascuno stabilimento (sul concetto di “raggiungibilità”, v. WP 243, par. 2.3). Inoltre, dovrà essere in grado di comunicare in modo efficace con gli interessati e di collaborare con le Autorità di controllo.