Offriamo consulenza in materia di Privacy e servizio di DPO/RPD per strutture pubbliche e private.
Chi è il DPO?
Il data Protection Officer (di seguito DPO) è una figura introdotta dal Regolamento generale sulla protezione dei dati 2016/679 | GDPR, pubblicato sulla Gazzetta Ufficiale europea L. 119 il 4 maggio ’16.
Il Responsabile della protezione dei dati, nominato dal titolare del trattamento o dal responsabile del trattamento, dovrà:
- possedere un’adeguata conoscenza della normativa e delle prassi di gestione dei dati personali, anche in termini di misure tecniche e organizzative o di misure atte a garantire la sicurezza dei dati. Non sono richieste attestazioni formali o l’iscrizione ad appositi albi professionali, anche se la partecipazione a master e corsi di studio/professionali può rappresentare un utile strumento per valutare il possesso di un livello adeguato di conoscenze;
- adempiere alle sue funzioni in piena indipendenza e in assenza di conflitti di interesse . In linea di principio, ciò significa che il RPD non può essere un soggetto che decide sulle finalità o sugli strumenti del trattamento di dati personali;
- operare alle dipendenze del titolare o del responsabile oppure sulla base di un contratto di servizio (RPD/DPO esterno).
Il titolare o il responsabile del trattamento dovranno mettere a disposizione del Responsabile della protezione dei dati le risorse umane e finanziarie necessarie all’adempimento dei suoi compiti.
Chi deve nominare il DPO?
Dovranno designare obbligatoriamente un RPD:
a) amministrazioni, enti pubblici e autorità giudiziarie nell’esercizio delle loro funzioni;
b) tutti i soggetti la cui attività principale consiste in trattamenti che, per la loro natura, il loro oggetto o le loro finalità, richiedono il monitoraggio regolare e sistematico degli interessati su larga scala;
c) tutti i soggetti la cui attività principale consiste nel trattamento, su larga scala, di dati sensibili, relativi
alla salute o alla vita sessuale, genetici, giudiziari e biometrici.
Anche per i casi in cui il regolamento non impone in modo specifico la designazione di un RPD, è comunque possibile una nomina su base volontaria. Un gruppo di imprese o soggetti pubblici possono
nominare un unico RPD.
Quali sono i compiti del DPO?
Il Responsabile della protezione dei dati dovrà, in particolare:
a) sorvegliare l’osservanza del regolamento, valutando i rischi di ogni trattamento alla luce della natura, dell’ambito di applicazione, del contesto e delle finalità;
b) collaborare con il titolare/responsabile, laddove necessario, nel condurre una valutazione di impatto sulla protezione dei dati (DPIA);
c) informare e sensibilizzare il titolare o il responsabile del trattamento, nonché i dipendenti di questi ultimi, riguardo agli obblighi derivanti dal regolamento e da altre disposizioni in materia di protezione dei dati;
d) cooperare con il Garante e fungere da punto di contatto per il Garante su ogni questione connessa al
trattamento;
e) supportare il titolare o il responsabile in ogni attività connessa al trattamento di dati personali, anche con riguardo alla tenuta di un registro delle attività di trattamento.
Come si comunica la nomina del DPO?
In base all’articolo 37, paragrafo 7, del Regolamento occorre che i soggetti pubblici e privati comunichino al Garante per la protezione dei dati personali il nominativo del Responsabile della Protezione dei dati, se designato.
Questa disposizione mira a garantire che le autorità di controllo possano contattare il Responsabile della Protezione dei Dati in modo facile e diretto, come chiarito nelle Linee guida sui Responsabili della Protezione dei Dati (RPD) adottate dal Gruppo Articolo 29 (WP243 rev. 01 – punto 2.6).
Si ricorda, infatti, che in base all’articolo 39, paragrafo 1, lettera e) del Regolamento, il Responsabile della Protezione dei Dati funge da punto di contatto fra il singolo ente o azienda e il Garante.
E’ disponibile una procedura online per la comunicazione, variazione e revoca del nominativo all’indirizzo:https://servizi.gpdp.it/comunicazionerpd/s/
ATTENZIONE: Tale procedura è l’unica che può essere utilizzabile per l’invio, la variazione e la revoca dei dati di contatto del Responsabile della protezione dei dati e non potranno essere prese in considerazione le comunicazioni effettuate attraverso diversi canali di contatto con il Garante (es. e-mail, posta, ecc.). Attraverso la procedura indicata non è consentito presentare quesiti, richieste e istanze al Garante, in quanto predisposta unicamente per la ricezione delle informazioni relative al Responsabile per la protezione dei dati. Per le altre istanze, si prega di utilizzare i moduli specificatamente messi a disposizione sul sito.