Del ruolo del DPO, nuova figura introdotta dal vigente GDPR, abbiamo già parlato qui.
Oggi voglio approfondire il tema dell’organigramma privacy e i suoi relativi attori.
Le figure privacy chiave disciplinate dal GDPR sono il titolare (e i con-titolari), il responsabile (e sub-responsabili), il DPO e gli autorizzati (gli incaricati del vecchio dlgs 196).
IL TITOLARE
Il titolare del trattamento è la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali.
Il titolare ha autonomia decisionale in merito alle modalità di trattamento dei dati ed ha i seguenti obblighi:
- mettere in atto misure tecniche e organizzative adeguate per garantire che siano trattati solo i dati personali necessari per ogni specifica finalità del trattamento
- adottare politiche interne conformi al Regolamento
- essere in grado di dimostrare che il trattamento è conforme al Regolamento (principio dell’accountability)
- essere in grado di dimostrare di avere adottato misure (organizzative e tecniche) adeguate ed efficaci per la protezione dei dati personali.
IL RESPONSABILE
Il responsabile del trattamento è la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che tratta dati personali per conto del titolare del trattamento.
E’ designato dal titolare con un contratto o con altro atto giudico che deve necessariamente disciplinare:
- la durata, natura e finalità del trattamento
- le categorie dei dati oggetto del trattamento
- le categorie di interessati
- gli obblighi e diritti del titolare
- le misure tecniche e organizzative adeguate a consentire il rispetto delle istruzioni impartite dal titolare e del Regolamento.
Con gli stessi obblighi è consentita la nomina di sub-responsabili dedicati a specifiche attività di trattamento. È sempre il responsabile a rispondere di eventuali inadempimenti dei sub-responsabili a meno che sia dimostrabile che l’evento dannoso non gli è in alcun modo imputabile.
IL DPO
Il Data Protection Officer (DPO), altrimenti detto responsabile della protezione dei dati, è designato dal titolare o dal responsabile del trattamento per assolvere a funzioni di supporto e controllo, consultive, formative e informative relativamente all’applicazione del GDPR. Coopera con l’Autorità (attenzione ai casi in cui vada comunicato al Garante) e costituisce il punto di contatto, anche rispetto agli interessati, per le questioni connesse al trattamento dei dati personali.
Il DPO ha il compito di analizzare, valutare e disciplinare la gestione del trattamento e della salvaguardia dei dati personali all’interno di un’azienda, secondo le direttive imposte dalle normative vigenti: potrà essere un soggetto interno (dipendente o collaboratore) o esterno (società di consulenza) e dovrà possedere competenze sia in aree giuridiche che informatiche e una ampia conoscenza della normativa. Egli esegue le proprie funzioni in completa indipendenza (senza ricevere alcuna istruzione o imposizione gerarchica) e riferisce sul suo operato direttamente ai vertici aziendali, i quali, per la piena esecuzione dei suoi compiti dovranno fornire risorse adeguate.
Gli autorizzati
La figura dell’autorizzato (art. 30 del codice privacy) non è presente in nessuna delle altre 27 legislazioni degli Stati membri dell’Unione e di fatto non è una figura autonoma prevista dal GDPR. Il Garante ha avuto non poche difficoltà nell’introdurla nella legge italiana siccome le altre DPA europee ritengono possa creare ambiguità con la figura dei responsabili.
Gli autorizzati (art. 4.1 del codice privacy) sono persone autorizzate al trattamento dei dati personali sotto l’autorità diretta del titolare o del responsabile. Si tratta di una volontaria responsabilizzazione di queste persone attraverso una specifica lettera di attribuzione di incarico che individui puntualmente l’ambito del trattamento consentito.
ORGANIGRAMMA DELLA PRIVACY
L’organigramma della privacy sarà diverso a seconda delle dimensioni della società
. Le grandi aziende, ad esempio, dotate di risorse economiche adeguate e di profili competenti potranno strutturare le proprie organizzazioni in modo tale da garantire al DPO un ufficio ad hoc ove all’interno opereranno figure esperte di normativa, informatica, risk management, legale e sicurezza aziendale principalmente incaricate del controllo di conformità al GDPR.
Nel contempo, in queste aziende, dovranno essere presenti anche strutture più operative, che si dovranno occupare della concreta realizzazione degli adempimenti normativi previsti dal GDPR.
Pensiamo ad esempio alla redazione dei moduli d’informativa alla clientela, della cura delle nomine a responsabile esterno del trattamento dei dati, la realizzazione del Privacy impact assesment etc.
Anche le aziende di medio grandi dimensioni, sono generalmente già dotate di risorse interne con competenze in risk management, legali, normative, IT, etc., anche se non specializzate in ambito data protection. Un secondo modello organizzativo che potrà quindi essere adottato in molte realtà medio/grandi si baserà su una figura di DPO indipendente, che insieme a un numero contenuto di collaboratori, nello svolgere le proprie attività, potrà avvalersi del supporto e della collaborazione dei vari uffici – compliance, legale, Sicurezza, IT, internal audit – che a diverso titolo e livello contribuiranno al pieno rispetto dei principi sanciti in ambito Privacy.
Soprattutto in una fase di implementazione iniziale del nuovo modello organizzativo, il DPO potrà avvalersi altresì del supporto costante di una società di consulenza esterna, alla quale potrà rivolgersi affinché si possa rafforzare il presidio di conformità al nuovo Regolamento.
Ancora, un ulteriore modello organizzativo potrà prevedere la nomina da parte del titolare o del responsabile di un professionista o un’organizzazione esterna in qualità di DPO.
Aspetto i vostri commenti e suggerimenti, a presto!
29 giugno : articolo aggiornato in base ai graditi suggerimenti di Simone Chiarelli.
Grazie per aver letto l’articolo! Se sei interessato al GDPR e alle realtà industriali che progettano è producono su commessa, ti consiglio i miei testi “Il GDPR è un gioco da ragazzi” e “Engineering To Order” . I testi contengono una grande quantità di modelli e approfondimenti che sono sicuro ti saranno utili.
Li puoi trovare su Amazon e sono disponibili per Kindle Unlimited
Registrati ad Amazon Business (e ottieni un codice sconto del 20%) e Amazon Prime
