Tra le tante indicazioni fornite due ci sono sembrate particolarmente utili da segnalare e riguardano il possesso di titoli specifici e l’atto di designazione.

Il DPO è il punto di contatto con l’Autorità ma ha anche una funzione strutturale. Il titolare del trattamento deve tenerne conto in tutti gli atti e provvedimenti amministrativi di regolamentazione e pianificazione degli uffici.

Possesso titoli specifici

Diversi enti richiedono al candidato uno specifico titolo di studio, l’iscrizione ad un particolare albo professionale oppure apposite certificazioni. Questi requisiti non sono stabiliti dal Regolamento o da altre disposizioni normative pertanto escludere alcuni candidati perché privi di alcuni dei requisiti sopracitati potrebbe apparire discriminatorio.

Se è vero che il titolare del trattamento può valutare le qualità ed esperienze professionali maturate in capo alla figura ricercata, in occasione della definizione dei requisiti in base a cui individuare il soggetto, deve evitare restrizioni all’accesso alle selezioni che possano essere considerate ingiustificate. Deve invece tenere in debita considerazione l’attinenza e la proporzionalità tra quanto richiesto (le qualità professionali di cui all’art. 37, par. 5, del Regolamento) e la complessità del compito da svolgere nel caso concreto (come il contesto in cui il DPO sarà chiamato ad operare o le caratteristiche dei trattamenti effettuati dall’ente designante).

L’importanza di formalizzare

Nel caso di nomina di DPO sia interni che esterni si è notata una certa ambiguità nell’assunzione dei ruoli ricoperti. Durante le ispezioni svolte si è rilevata una certa confusione circa i ruoli assunti dai soggetti coinvolti con una sovrapposizione di figure, compiti e atti. Bisogna invece instaurare un rapporto coerente e trasparente.

Nel caso in cui la scelta ricada su una professionalità interna all’ente è necessario formalizzare un apposito atto di designazione a “Responsabile per la protezione dei dati”. Se invece si sceglie una figura esterna è bene includere la designazione nell’apposito contratto di servizi, rendendolo così un allegato costitutivo.

Nell’atto deve essere indicata in maniera inequivocabile la persona fisica o giuridica che opererà come DPO, vanno ovviamente incluse le generalità o, nel caso di persona giuridica, i dati societari. Vanno poi dettagliate le funzioni, nel caso in cui nel tempo vengano assegnati compiti aggiuntivi dovrà essere apportata la modifica e/o integrazione nelle clausole contrattuali.

Infine – nell’atto di designazione o nel contratto di servizi – devono essere indicate le motivazioni che hanno portato il responsabile del trattamento a individuare il proprio DPO per verificare il rispetto dei requisiti previsti dall’art. 37, par. 5 del Regolamento.

Da tenere a mente

Il soggetto individuato come DPO deve essere il medesimo indicato in tutti gli atti quali la domanda di partecipazione alla procedura selettiva, il contratto di servizio (nel caso di affidamento ad un soggetto esterno), l’atto di designazione, le informazioni contenenti i relativi dati di contatto, da pubblicare sul sito web dell’ente e da comunicare all’Autorità.

Se si tratta di una persona giuridica, questa deve indicare, a sua volta, il referente persona fisica. A questo proposito è opportuno che essa sia indicata, già in fase di procedura di selezione e in ciascuno degli atti summenzionati, e che ogni variazione sia coerentemente riportata negli stessi e comunicata all’Autorità, secondo la procedura prevista.

L’individuazione di eventuali figure, sia interne che esterne all’ente, di supporto al DPO, deve avvenire in maniera chiara e trasparente, eventualmente anche all’interno dell’atto di designazione del DPO stesso. Queste ultime non possono ricevere istruzioni dal titolare del trattamento né possono essere legate a quest’ultimo da un rapporto instaurato ai sensi dell’art. 28 del Regolamento.

Pabli srl è a disposizione per ricoprire il ruolo di DPO e a supportare l’ente nel percorso di adeguamento a quanto previsto dal Regolamento UE 2016/679. CONTATTACI!

L'articolo DPO: possesso di titoli specifici e atto di designazione, occhio! proviene da Pabli.

Sembra una considerazione banale forse, ma si è verificato un passaggio importante: da mero adempimento a scadenza la tutela della privacy è divenuta un obiettivo fondamentale da raggiungere e garantire nel tempo.
Il GDPR è basato infatti sul principio dell’accountability (responsabilizzazione): al titolare del trattamento è richiesto non solo di adottare misure volte a garantire la conformità dei trattamenti al Regolamento, ma anche di essere in grado di dimostrarne il costante rispetto.

In caso contrario il sistema sanzionatorio prevede:

• sanzioni amministrative fino a 20 milioni di Euro (art. 83 GDPR);
• la responsabilità civile nei confronti dell’interessato che subisca un danno materiale o immateriale causato da una violazione del Regolamento (art. 82 GDPR).

La giurisprudenza ha già determinato un risarcimento al privato danneggiato in caso di mancata adozione di misure di sicurezza e tutela adeguate. Non solo, recentemente il Garante per la privacy ha sanzionato per la prima volta una pubblica amministrazione per non aver rispettato le tempistiche di nomina del Data Protection Officer secondo quanto previsto dal GDPR.  

Cosa deve fare la Pubblica Amministrazione per evitare le sanzioni previste in materia di privacy?

Definizione dell’ufficio di competenza della materia.

Ciascuna amministrazione deve individuare e segnalare internamente quale ufficio debba occuparsi stabilmente dell’adeguamento al GDPR. L’organizzazione precisa all’interno degli enti consente il coordinamento tra le varie figure, fondamentale per una corretta gestione dei processi interni.

Individuazione e nomina del DPO.

L’articolo 37 del GDPR prevede l’obbligo di nominare un DPO per le autorità pubbliche e gli organismi di diritto pubblico. Una figura importante che deve avere requisiti specifici, deve fornire consulenza e informare sulla corretta applicazione del Regolamento. Inoltre, si deve occupare della formazione in materia privacy del personale interno all’ente.  Il DPO può essere lo stesso per più enti e può essere sia interno che esterno (nel primo caso non potrà essere lo stesso soggetto che definisce le politiche di protezione di dati personali, come ad esempio il responsabile della transizione digitale). Nel caso invece di DPO esterno, quest’ultimo dovrà essere scelto a seguito di una procedura selettiva e dovrà stipulare un contratto di servizi con l’ente.

Nomina dei responsabili del trattamento.

Ai sensi dell’articolo 28 del GDPR è necessario scegliere coloro che svolgono un trattamento per conto del titolare dello stesso in base alle possibilità di mettere in atto misure tecniche e organizzative adeguate e garanzie sufficienti a soddisfare i requisiti del Regolamento e a tutela dei diritti dell’interessato.

Informativa.

Ai sensi dell’articolo 13 del GDPR il titolare deve dare evidenza alle principali informazioni che riguardano il trattamento. L’informativa deve essere chiara, sintetica e facilmente comprensibile e deve resa senza alcuna specifica richiesta.

La nostra società ha preparato e mette a disposizione alcuni modelli di informative privacy destinate agli uffici comunali secondo quanto previsto dall’articolo 13 del GDPR. Per ottenerli è sufficiente scaricarli dalla sezione MATERIALI GRATUITI del nostro sito (non serve essere registrati ed è tutto incredibilmente gratis).

Registro delle attività di trattamento.

Ai sensi dell’articolo 30 del GDPR è necessario adottare e aggiornare continuamente un registro delle attività di trattamento in cui inserire:

• il nome e i dati di contatto del titolare del trattamento e del DPO;
• le finalità del trattamento;
• una descrizione delle categorie di interessati e delle categorie di dati personali;
• le categorie di destinatari a cui i dati personali sono stati o saranno comunicati;
• i termini ultimi previsti per la cancellazione delle diverse categorie di dati;
• una descrizione generale delle misure di sicurezza tecniche e organizzative adottate dall’amministrazione.

Se desideri ricevere un preventivo oppure vuoi sottoporci dubbi e perplessità: CONTATTACI!

L'articolo Privacy e pubblica amministrazione: come evitare le sanzioni? proviene da Pabli.