Il GDPR , ovvero, “Regolamento europeo in materia di protezione dei dati personali” (Reg. UE 2016/679), troverà applicazione a partire dal 25 Maggio 2018, senza alcuna possibilità di proroga da parte degli stessi Stati membri. Il GDPR apporta notevoli cambiamenti all’impianto normativo in materia di Privacy e protezione dati e, soprattutto, va a riformare totalmente il sistema sanzionatorio, istituendo sanzioni di tale portata da mettere a rischio la vita stessa delle aziende. Il GDPR prevede una nuova figura professionale, il Data Protecion Officer o DPO, di cui le aziende e gli Enti dovranno dotarsi per ottemperare agli obblighi normativi per non incorrere nelle asprissime sanzioni (4% del fatturato globale mondiale annuo – 20 Milioni di euro).
Il Data Protection Officer (DPO) / Responsabile della Protezione dei Dati (RPD)
Come previsto dall’articolo 37 del GDPR, sarà d’ora innanzi necessario e obbligatorio che le aziende introducano tale nuova figura professionale seguendo non solo i dettami del Regolamento UE, ma anche considerando il contesto legislativo nazionale, nonché le linee guida del Garante della Protezione dei Dati personali.
Il “Data Protection Officer”(DPO), ribattezzato dal Garante italiano “Responsabile della Protezione dei Dati” (RPD) è un professionista con specifica e qualificata formazione ed esperienza, con conoscenze specialistiche della normativa e delle prassi in materia di protezione dati, sistemi di gestione privacy nonchè in materia di Audit.
Il DPO deve essere nominato sulla base dei requisiti richiesti dal GDPR.
In particolare, il DPO deve possedere una conoscenza specialistica della normativa e della prassi di gestione dei dati personali ed essere in grado di adempiere alle proprie funzioni in piena indipendenza e in assenza di conflitti di interesse. Inoltre, come ha segnalato il Garante della Protezione dei dati personali, è opportuno che il DPO possa dimostrare qualità professionali adeguate alla complessità del compito da svolgere, documentando le esperienze maturate e la partecipazione a Master e Corsi di Formazione in materia (in particolare se risulta documentato il livello raggiunto).
Il DPO è un professionista preferibilmente esterno, che opera in autonomia ed indipendenza, in base a un contratto di servizi i cui dati di contatto devono essere pubblicati e resi noti agli interessati oltre ad essere comunicati all’autorità di controllo competente.
Il DPO deve essere tempestivamente e adeguatamente coinvolto in tutte le questioni inerenti la protezione dei dati nonché sostenuto nell’esecuzione dei suoi compiti dal titolare e dal responsabile del trattamento che gli devono fornire tutte le risorse necessarie sia per svolgere il suo lavoro.
In qualunque caso il lavoro del DPO deve svolgersi in assoluta autonomia e indipendenza: nessuno può impartire alcuna istruzione circa l’esecuzione dei suoi compiti e, inoltre, non può svolgere altre mansioni o compiti in conflitto di interessi con quelle proprie del DPO.
Nomina del DPO – RPD (Data Protection Officer – Responsabile della Protezione dei Dati)
- Sono tenuti alla designazione del responsabile della protezione dei dati personali il titolare e il responsabile del trattamento che rientrino nei casi previsti dall’art. 37, par. 1, lett. b) e c), del Regolamento (UE) 2016/679. Si tratta di soggetti le cui principali attività (in primis, le attività c.d. di “core business”) consistono in trattamenti che richiedono il monitoraggio regolare e sistematico degli interessati su larga scala o in trattamenti su larga scala di categorie particolari di dati personali o di dati relative a condanne penali e a reati (per quanto attiene alle nozioni di “monitoraggio regolare e sistematico” e di “larga scala”, v. le “Linee guida sui responsabili della protezione dei dati” del 5 aprile 2017, WP 243). Il diritto dell’Unione o degli Stati membri può prevedere ulteriori casi di designazione obbligatoria del responsabile della protezione dei dati (art. 37, par. 4).
- Sono esenti dalla nomina del DPO i singoli professionisti
- Vige l’obbligo di nomina del DPO per tutti gli Enti Pubblici ( comprese società partecipate, ordini professionali ecc.) e soggetti privati con più di 250 dipendenti.
- Sono tenuti, in ogni caso, alla nomina del DPO, a titolo esemplificativo e non esaustivo (a prescindere dalle dimensioni): istituti di credito; imprese assicurative; sistemi di informazione creditizia; società finanziarie; società di informazioni commerciali; società di revisione contabile; società di recupero crediti; istituti di vigilanza; partiti e movimenti politici; sindacati; caf e patronati; società operanti nel settore delle “utilities” (telecomunicazioni, distribuzione di energia elettrica o gas); imprese di somministrazione di lavoro e ricerca del personale; società operanti nel settore della cura della salute, della prevenzione/diagnostica sanitaria quali ospedali privati, terme, laboratori di analisi mediche e centri di riabilitazione; società di call center; società che forniscono servizi informatici; società che erogano servizi televisivi a pagamento.
I compiti del DPO:
– informare e fornire consulenza al titolare e al responsabile del trattamento in merito agli obblighi derivanti dal Regolamento 679/2016 o dalle altre disposizioni legislative interne o europee in materia di protezione dati;
– sorvegliare l’osservanza del Regolamento da parte del titolare e del responsabile del trattamento in tutte le sue parti, compresi l’attribuzione delle responsabilità, la sensibilizzazione e la formazione del personale che partecipa al trattamento;
– fornire su richiesta pareri in merito alla valutazione d’impatto e sorvegliarne lo svolgimento;
– cooperare con l’autorità di controllo fungendo, tra le altre cose, da punto di contatto per questioni connesse al trattamento effettuando consultazioni di ogni tipo, con particolare riguardo e attenzione ad un’eventuale attività di consultazione preventiva.
Garantire gli standard di sicurezza è l’unica strada idonea ad evitare la comminatoria delle aspre sanzioni previste dalla normativa, ulteriore ragione per la quale è importantissimo prendere atto della necessità e dell’obbligatorietà della nomina del DPO, affidando tale compito a soggetti terzi ed esterni: il DPO, infatti, riferisce direttamente ai vertici aziendali assicurando garanzie di autonomia e indipendenza sancite dal Regolamento UE.
Lo Studio, dunque, possedendo i requisiti richiesti dalla normativa comunitaria, è pertanto operativo e disponibile ad offrire la propria acquisita professionalità in materia di adeguamento alle disposizioni di cui al Regolamento UE 679/2016 nonchè alla elaborazione d’un efficace sistema di gestione privacy e rivestire il ruolo di DPO/RDP per gli Enti pubblici ed Aziende in tutta la Provincia di Caserta.
L’obiettivo, nello specifico, è quello di permettere, a condizioni favorevoli di mercato, di raggiungere la soluzione più adatta a soddisfare le esigenze del cliente.
