Stiamo parlando del Regolamento (UE) 2016\/679 (pi\u00f9 comunemente noto come GDPR) concernente la tutela delle persone fisiche con riguardo al trattamento dei dati personali e la libera circolazione di tali dati. Il Regolamento \u00e8 entrato in vigore il 24 maggio 2016 e diventer\u00e0 direttamente applicabile in tutti gli Stati membri a partire dal 25 maggio 2018. Nello specifico si tratter\u00e0, in sintesi, la figura del Data Protection Officer<\/em>, alla luce delle ultime Linee Guida emanate dal Gruppo 29.<\/p>\n Il GDPR[1]<\/a> prevede una figura particolare e molto importante, che si aggiunge a quelle \u201cclassiche privatistiche\u201d quali titolare e responsabile del trattamento: quella del Data Protection Officer<\/em> (DPO). Una persona fisica, una sorta di figura ibrida fra il ruolo di vigilanza dei processi interni alla struttura (del titolare e del responsabile, che lo devono nominare, obbligatoriamente in taluni casi previsti per legge), ed il ruolo di consulenza; funge inoltre da \u201cponte di contatto\u201d e super partes<\/em> con l\u2019Autorit\u00e0 Garante nazionale.<\/p>\n Il Responsabile della protezione dei dati, nominato dal titolare o dal responsabile del trattamento, dovr\u00e0:<\/p>\n Il titolare o il responsabile dovranno mettere a disposizione del DPO le risorse umane e finanziarie necessarie all\u2019adempimento dei suoi compiti.<\/p>\n Il DPO dovr\u00e0:<\/p>\n In sintesi, il DPO effettua sia un\u2019attivit\u00e0 interna alla struttura del preponente, sia un\u2019attivit\u00e0 esterna, in quanto punto di contatto fra la struttura e l\u2019Autorit\u00e0 Garante. Da un lato le sue competenze sembrerebbero molto ampie (effettuare una valutazione dei rischi; trovare soluzioni giuridiche al problema; conoscere sia il diritto nazionale sia quello comunitario; svolgere verifiche, coordinare i lavori in caso di incidenti\/violazioni informatiche, etc.). Dall\u2019altro, invece, non \u00e8 ben chiara la definizione, anzi, il collocamento, del suo ruolo. Ecco allora che, visti i dubbi e le incertezze capillarmente diffusi a livello europeo sulle caratteristiche ed i compiti del DPO, il Gruppo dei Garanti Europei (WP 29<\/em>) ha emanato, lo scorso dicembre, delle Linee Guida<\/a> in cui viene data un\u2019interpretazione puntuale di quanto elencato negli articoli 37, 38 e 39 del GDPR: in particolare, chiariscono quali dovranno essere i requisiti soggettivi e oggettivi di questa nuova figura professionale.<\/p>\n Visita la sezione del Portale dedicata alla PRIVACY<\/strong><\/a><\/p>\n [1]<\/a> Agli articoli 37, 38 e 39;<\/p>\n [2]<\/a> Per i requisiti ed i compiti si veda la scheda riassuntiva proposta dall\u2019Autorit\u00e0 Garante per la Protezione dei Dati Personali (di seguito Garante Privacy o Autorit\u00e0 Garante) al seguente link<\/a>;<\/p>\n [3]<\/a> Anche qui come la nota precedente, i compiti descritti sono una sintesi degli articoli 37 e 39 del GDPR;<\/p>\n [4]<\/a> Nelle Linee Guida si fa riferimento, come esempio, agli ospedali: il core business<\/em> \u00e8 sicuramente provvedere alla cura delle persone, e il trattamento dei loro dati \u00e8 un aspetto imprescindibile<\/p>\n [5]<\/a> Nelle Linee Guida si suggerisce: \u00abA seconda delle attivit\u00e0, le dimensioni e la struttura dell\u2019organizzazione, pu\u00f2 essere buona pratica per responsabili o titolari:<\/p>\n In base al Regolamento, il DPO dovrebbe essere nominato quando il trattamento \u00e8 effettuato da un\u2019autorit\u00e0 pubblica o da un organismo pubblico: il WP29 d\u00e0 un\u2019interpretazione estensiva di organismo pubblico e raccomanda, come una buona pratica, la nomina del DPO anche da parte delle organizzazioni private che svolgono funzioni pubbliche o che esercitano pubblici poteri. La sua attivit\u00e0 dovrebbe coprire tutte le operazioni di trattamento, comprese quelle che non sono legate alla esecuzione di un compito pubblico o esercizio del dovere ufficiale (ad esempio la gestione di un database dei dipendenti). Ancora, la nomina dovrebbe essere obbligatoria quando le attivit\u00e0 principali (cd.\u00a0core business<\/em>) del titolare del trattamento o del responsabile del trattamento consistono in trattamenti che, per loro natura, ambito di applicazione e\/o finalit\u00e0, richiedono il monitoraggio regolare e sistematico degli interessati. Per \u201cattivit\u00e0\u00a0core<\/em>\u201d si intende un\u2019operazione necessaria per raggiungere lo scopo, appunto, del titolare o responsabile.[4]<\/a>\u00a0Infine, terzo ed ultimo punto di designazione obbligatoria del DPO: nel caso di trattamento, su larga scala, di speciali categorie di dati personali o di dati relativi a reati e condanne penali.\u00a0 Il concetto di \u201clarga scala\u201d dev\u2019essere valutato sulla base di alcuni specifici criteri: quali, ad esempio, il numero di interessati coinvolti nel trattamento, la durata del trattamento e la sua estensione geografica (tra i trattamenti effettuati su larga scala, in particolare, rientrano la geo-localizzazione, per finalit\u00e0 statistiche, dei clienti di una certa attivit\u00e0, ad esempio catene di ristoranti; il trattamento dei dati bancari dei propri clienti da parte di una compagnia assicurativa; il trattamento, da parte di un motore di ricerca, dei dati personali degli utenti per l\u2019invio di pubblicit\u00e0 mirata). Tra i trattamenti non su larga scala, invece, sono ricompresi: il trattamento dei dati di un proprio paziente da parte del medico di famiglia ed il trattamento dei dati personali di natura penale da parte di un avvocato. Il DPO, in sostanza, \u00e8 designato in funzione delle qualit\u00e0 professionali, in particolare della conoscenza specialistica della normativa in materia di protezione dei dati e pu\u00f2 essere tanto un dipendente del titolare del trattamento o del responsabile del trattamento quanto un libero professionista che opera in forza di un contratto di servizi. Tuttavia, in merito a questo punto, il Regolamento sottolinea che i suoi compiti e le sue funzioni non devono dar adito a possibili conflitti di interessi. L\u2019assenza del conflitto di interessi \u00e8 strettamente legata alla necessit\u00e0 di agire in modo indipendente: ci\u00f2 comporta, in particolare, che il DPO non pu\u00f2 mantenere una posizione all\u2019interno dell\u2019organizzazione che lo portino a determinare le finalit\u00e0 e gli strumenti del trattamento dei dati personali. Appare evidente, scrive il WP29, che, a causa della specifica struttura organizzativa in ogni realt\u00e0, questo deve essere considerato caso per caso.[5]\u00a0<\/a>Anche se l\u2019art. 37 del Regolamento non specifica le qualit\u00e0 professionali che dovrebbero essere considerate quando si designa un DPO, \u00e8 chiaro che, come affermato in precedenza, il responsabile della protezione dei dati dovrebbe avere esperienza sulla legislazione relativa alla protezione dei dati personali sia nazionale che europea. Per il WP29 risulta utile che le autorit\u00e0 di controllo promuovano una formazione adeguata e regolare per il DPO. Indubbiamente \u00e8 utile anche che il DPO abbia la conoscenza del settore di\u00a0business<\/em>\u00a0delle imprese e dell\u2019organizzazione del titolare e, nel caso di un ente pubblico, dovrebbe anche avere una buona conoscenza delle regole e delle procedure dell\u2019organizzazione amministrativa. In conclusione: la figura del DPO risulta ancora \u201cnebbiosa\u201d e controversa, soprattutto in Italia, e questo \u00e8 aggravato anche dal fatto che l\u2019Autorit\u00e0 Garante non si \u00e8 ancora espressa sul tipo di certificazione a cui dovrebbe fare riferimento per svolgere la sua attivit\u00e0, e sulla tipologia di contratto che dovrebbe stipulare con il titolare ed il responsabile. Non resta che aspettare ulteriori chiarimenti e, nel frattempo, non farsi trovare impreparati.<\/p>\n<\/div>Quali sono i requisiti?<\/strong><\/h2>\n
\n
Quali sono i suoi compiti?<\/strong><\/h2>\n
\n
\n\n
Casi di nomina obbligatoria<\/strong><\/h2>\n<\/div>
Il rispetto della persona, e dei valori che l\u2019accompagnano, rischia di scomparire quando ogni momento della sua vita viene implacabilmente scrutato e registrato. Di fronte a questa nuova realt\u00e0 l\u2019attenzione della politica deve essere massima. Stefano Rodot\u00e0\u201d<\/h3>\n<\/div>