PRIVACY: Data protection officer – Pubblicate le FAQ sul DPO in ambito privat
Ricordiamo che, in data 26 marzo, sul sito istituzionale del Garante privacy sono state pubblicate le FAQ sul DPO in ambito privato (v. allegato 1).
Le FAQ fanno seguito al documento “Data Protection Officer (DPO): alcuni dubbi del mondo imprenditoriale” (v. allegato 2) che Confindustria ha inviato agli Uffici dell’Autorità lo scorso mese di dicembre e contengono alcuni chiarimenti in merito alle questioni in esso sollevate.
Di seguito, i punti di maggior interesse affrontati dall’Autorità:
- requisiti del DPO (v. FAQ n. 2): ribadita la necessità che il DPO sia in possesso di una conoscenza approfondita della disciplina privacy e delle norme e delle procedure amministrative che caratterizzano il settore in cui opera il titolare ovvero il responsabile del trattamento. A tal fine, le FAQ specificano – in linea con quanto già affermato dal WP29 e dalla stessa Autorità – che non sono richieste specifiche attestazioni formali o l’iscrizione in appositi albi;
- nomina obbligatoria (v. FAQ n. 3): le FAQ richiamano le condizioni prescritte dal GDPR (soggetti la cui attività core consiste in trattamenti che richiedono il monitoraggio regolare e sistematico degli interessati su larga scala o in trattamenti su larga scala di dati “sensibili” e giudiziari). Sul punto, le FAQ riportano un elenco esemplificativo e non esaustivo di soggetti che, ove ricorrano le citate condizioni, sono tenuti alla nomina del DPO: istituti di credito; imprese assicurative; sistemi di informazione creditizia; società finanziarie; società di informazioni commerciali; società di revisione contabile; società di recupero crediti; istituti di vigilanza; partiti e movimenti politici; sindacati; caf e patronati; società operanti nel settore delle “utilities” (telecomunicazioni, distribuzione di energia elettrica o gas); imprese di somministrazione di lavoro e ricerca del personale; società operanti nel settore della cura della salute, della prevenzione/diagnostica sanitaria quali ospedali privati, terme, laboratori di analisi mediche e centri di riabilitazione; società di call center; società che forniscono servizi informatici; società che erogano servizi televisivi a pagamento;
- nomina non necessaria (v. FAQ n. 4): le FAQ indicano una serie di casi in cui la nomina del DPO, benché raccomandata, non è necessaria: in relazione a trattamenti effettuati da liberi professionisti operanti in forma individuale; agenti, rappresentanti e mediatori operanti non su larga scala; imprese individuali o familiari; piccole e medie imprese, con riferimento ai trattamenti dei dati personali connessi alla gestione corrente dei rapporti con fornitori e dipendenti;
- DPO interno (v. FAQ n. 6 e 7): le FAQ ribadiscono come il ruolo di DPO possa essere ricoperto da un dipendente del titolare o del responsabile del trattamento (non in conflitto di interessi) che conosca la realtà operativa in cui avvengono i trattamenti. Il DPO scelto all’interno deve essere nominato mediante uno specifico atto di designazione, avente forma scritta e in cui siano indicarti espressamente i compiti attribuiti, le risorse assegnate per il loro svolgimento, nonché ogni altra utile informazione in rapporto al contesto di riferimento. Quanto all’assenza di conflitto di interessi, le FAQ suggeriscono di evitare di assegnare il ruolo di DPO a soggetti con incarichi di alta direzione (amministratore delegato; membro del consiglio di amministrazione; direttore generale; ecc.), ovvero nell’ambito di strutture aventi potere decisionale in ordine alle finalità e alle modalità del trattamento (direzione risorse umane, direzione marketing, direzione finanziaria, responsabile IT ecc.). Da valutare, in assenza di conflitti di interesse e in base al contesto di riferimento, l’eventuale assegnazione di tale incarico ai responsabili delle funzioni di staff (ad esempio, il responsabile della funzione legale);
- DPO monocratico o collegiale (v. FAQ n. 8): in caso di DPO interno, questo può essere un “dipendente”. Tuttavia, nelle realtà organizzative di medie e grandi dimensioni, il DPO, da individuarsi comunque in una persona fisica, può essere supportato da un apposito ufficio dotato delle competenze necessarie ai fini dell’assolvimento dei propri compiti. In caso di DPO esterno, questo può essere anche una persona giuridica. Tuttavia, le FAQ raccomandano di procedere a una chiara ripartizione di competenze, individuando una sola persona fisica atta a fungere da punto di contatto con gli interessati e l’Autorità di controllo.
Infine, contestualmente alle FAQ è stato pubblicato il modello per la comunicazione al Garante privacy dei dati del DPO (v. allegato 3) .
Allegati
Modello comunicazione al Garante dei dati DPO
DPO – alcuni dubbi del mondo imprenditoriale – Dicembre 2017
In riferimento alla presentazione del modello unico di dichiarazione ambientale (MUD), segnaliamo che la comunicazione deve essere effettuata utilizzando quella allegata al DPCM del 28 dicembre 2017, pubblicato nel Supplemento ordinario n. 64 alla Gazzetta ufficiale – serie generale – n. 303 del 30 dicembre 2017, che sostituisce il modello e le istruzioni precedentemente utilizzate e allegate al DPCM 17 dicembre 2014.
Sono stati pubblicati sul BURC n. 23 del 19 marzo scorso due avvisi regionali che prevedono contributi a fondo perduto destinati alle PMI per finanziare PARTECIPAZIONE A FIERE e PROGRAMMI di INTERNAZIONALIZZAZIONE, e precisamente:
Si comunica che in occasione delle prossime Festività pasquali gli uffici di Confindustria Salerno resteranno chiusi nella giornata di venerdì 30 marzo p.v.
Vi informiamo che il prossimo martedì 27 marzo, alle ore 18:00, SELLALAB Salerno organizza presso la sede di Corso Garibaldi, 203 un #DigitalDrink su “La Digitalizzazione in Azienda. Metodologia corretta per la digitalizzazione dei processi aziendali”.
Trasmettiamo in allegato una prima illustrazione realizzata dal nostro Sistema centrale riguardante le principali disposizioni in materia di lavoro, welfare e capitale umano contenute nella Legge 27 dicembre 2017, n. 205 (c.d. Legge di Stabilità 2018).