Da quando il GDPR si applica, cioè dal 25 maggio 2018, la sigla DPO è comparsa in molte offerte di consulenza e in parecchi dubbi degli imprenditori. Serve a tutti? Chi può farlo? E che differenza c’è con il responsabile del trattamento? Ecco cosa dicono il Regolamento e il Garante privacy.
Che cos’è il DPO?
DPO sta per Data Protection Officer; in italiano si chiama responsabile della protezione dei dati (RPD). È una figura di consulenza e controllo: aiuta il titolare a rispettare le regole sulla protezione dei dati e vigila che lo faccia. Non decide come e perché si trattano i dati, e non risponde delle scelte del titolare al posto suo.
Quando è obbligatorio?
L’articolo 37 del GDPR lo rende obbligatorio in tre casi:
- il trattamento è svolto da un’autorità pubblica o da un organismo pubblico (tranne le autorità giurisdizionali nell’esercizio delle loro funzioni);
- le attività principali del titolare o del responsabile consistono in trattamenti che richiedono il monitoraggio regolare e sistematico delle persone su larga scala;
- le attività principali consistono nel trattamento su larga scala di dati particolari (ad esempio sanitari) o di dati relativi a condanne penali e reati.
Le parole chiave sono «attività principali» e «larga scala». Non conta quindi se un dato sanitario passa ogni tanto dall’ufficio, ma se trattare quei dati, o monitorare le persone, è il cuore dell’attività.
Chi deve nominarlo, in pratica?
Il Garante, nelle FAQ sul DPO in ambito privato, fa esempi concreti.
| Tenuti alla nomina (esempi del Garante) | Non tenuti, di norma (esempi del Garante) |
|---|---|
| Banche, assicurazioni, società finanziarie | Liberi professionisti che operano in forma individuale |
| Società di recupero crediti, istituti di vigilanza | Amministratori di condominio |
| Call center, società di servizi di pubblica utilità, società di servizi informatici, agenzie per il lavoro | Imprese individuali o familiari |
| Ospedali privati, terme, laboratori di analisi, centri di riabilitazione | PMI, per i trattamenti legati alla gestione corrente di fornitori e dipendenti |
Gli elenchi sono esemplificativi: chi è in dubbio deve valutare la propria situazione alla luce dell’articolo 37. La nomina è comunque possibile anche quando non è obbligatoria.
Cosa fa il DPO?
L’articolo 39 del GDPR fissa i compiti minimi:
- informare e consigliare il titolare, il responsabile e i dipendenti sugli obblighi in materia di protezione dei dati;
- sorvegliare il rispetto del GDPR e delle politiche interne, compresa l’attribuzione delle responsabilità, la sensibilizzazione e la formazione del personale e gli audit;
- dare pareri sulla valutazione d’impatto, quando richiesta, e sorvegliarne lo svolgimento;
- cooperare con il Garante e fargli da punto di contatto.
Per poter svolgere questi compiti, il DPO non riceve istruzioni su come eseguirli, non può essere rimosso o penalizzato per averli svolti e riferisce direttamente al vertice dell’azienda (art. 38, par. 3).
DPO interno o esterno?
Entrambe le soluzioni sono ammesse (art. 37, par. 6): può essere un dipendente oppure un professionista esterno che opera con un contratto di servizi. L’esterno può essere anche una società, che indica una persona fisica come referente.
In tutti i casi i dati di contatto del DPO vanno pubblicati e comunicati al Garante (art. 37, par. 7).
La scelta dipende soprattutto dalle competenze disponibili e dal rischio di conflitti di interesse. Il Garante indica come incompatibili con il ruolo, tra gli altri:
- i ruoli di vertice dell’azienda;
- il responsabile IT;
- l’RSPP;
- le funzioni che decidono finalità e mezzi del trattamento, come le risorse umane o il marketing.
Quali requisiti deve avere?
Non servono attestazioni formali né iscrizioni ad albi. Per il Garante contano una conoscenza approfondita della normativa e delle prassi sulla protezione dei dati e una buona conoscenza del settore in cui opera il titolare. Un DPO per un laboratorio di analisi, insomma, deve capire anche come funziona un laboratorio di analisi.
Che differenza c’è tra DPO e responsabile del trattamento?
Sono due figure diverse, che spesso si confondono per via del nome.
- Il responsabile del trattamento (art. 28) è un soggetto, di solito esterno, che tratta dati per conto del titolare: la software house del gestionale, lo studio che elabora le buste paga. Il rapporto si regola con un contratto o un altro atto giuridico.
- Il DPO (artt. 37-39) non tratta dati per conto del titolare: lo consiglia e controlla.
E i dipendenti? Non sono né l’uno né l’altro: sono persone autorizzate al trattamento, che agiscono su istruzione del titolare (art. 29).
Se non serve il DPO, la privacy è a posto?
No. Il DPO è uno degli adempimenti, non l’unico. Restano per tutti i principi dell’articolo 5, le informative, la privacy by design e by default, le istruzioni a chi tratta i dati, i contratti con i responsabili e, nella maggior parte dei casi, il registro dei trattamenti: per il Garante lo devono tenere, tra gli altri, negozi, bar, ristoranti e artigiani con almeno un dipendente.
Cosa si rischia?
Le violazioni degli obblighi del titolare e del responsabile previsti dagli articoli da 25 a 39 del GDPR, tra cui quelli sul DPO, sono punite con sanzioni fino a 10 milioni di euro o, per le imprese, fino al 2% del fatturato mondiale annuo dell’esercizio precedente, se superiore (art. 83, par. 4).
Come può aiutarti Esselle Servizi
Con il nostro pacchetto privacy All in One ti seguiamo dalla consulenza e dall’analisi dei rischi alla nomina del DPO, quando serve, fino alla formazione online di chi tratta i dati. Il referente è Silvio Musso. Per capire se nel tuo caso il DPO è obbligatorio scrivici dal modulo o chiamaci allo 011 0205748.