Accountability gdpr

Accountability: il GDPR spiegato in una parola

Accountability è una parola presa in prestito dal diritto anglosassone, che viene tradotta dal vocabolario come “responsabilità” o “obbligo di rispondere di qualcosa”.

In realtà, ciò non è sufficiente ad esprimere in modo esaustivo il significato di accountability. Si tratta infatti di un concetto estraneo al diritto italiano e per il quale non esiste una traduzione esatta. Sarà quindi necessario continuare ad utilizzare il termine in lingua inglese ed assorbirne il significato. Assimilare il principio di accountability costituisce la chiave di volta per comprendere la rivoluzione operata dal GDPR.

Il GDPR: una rivoluzione che si riassume nel principio di accountability

Negli ultimi due o tre anni, il GDPR è diventato lo spauracchio di molte imprese, le quali, in misura maggiore o minore, si trovano tutte quante a dover trattare dati personali (dei loro clienti, fornitori o anche solo dei loro dipendenti).

Ma per quale motivo il GDPR ha creato e sta tutt’ora creando tutto questo scalpore? Del resto, la normativa sulla privacy e gli obblighi che ne derivano per le imprese non sono certo una novità. Sin dalla direttiva madre 95/46/CE, attuata in Italia con la legge n. 675 del 1996, le imprese italiane ed europee erano tenute a confrontarsi con gli obblighi derivanti dai trattamenti di dati personali. Cos’è quindi che ha attirato tanta attenzione sul GDPR?

Sicuramente la misura delle sanzioni (sino a 20 milioni di Euro o al 4% del fatturato mondiale annuo) hanno rappresentato un campanello di allarme. Non dobbiamo però dimenticare che si tratta soltanto di un aumento dei valori massimi, che dovrebbe preoccupare le multinazionali ed i colossi del web ma non incidere significativamente sulle sanzioni applicate a piccole e medie imprese, che del resto erano salate anche prima del GDPR.

Il GDPR ha introdotto alcune novità significative, quali la nomina in alcuni casi del DPO, il registro dei trattamenti, le notifiche dei data breach, l’obbligo di contrattualizzare i fornitori responsabili dei trattamenti etc. Ma i nuovi adempimenti si bilanciano anche con diverse semplificazioni, come l’abolizione delle notifiche preventive al Garante o dei requisiti minimi di sicurezza di cui all’Allegato B del Codice Privacy.

La vera rivoluzione attuata dal GDPR non sta in questi singoli aspetti normativi ma proprio nel principio di accountability.

Il fallimento dell’approccio formale alla privacy

Il GDPR ha rivoluzionato completamente il modo di approcciarsi alla protezione dei dati personali. La Commissione Europea, preso atto del fallimento dell’approccio formale, che imponeva a tutti indistintamente il rispetto di regole predeterminate e requisiti minimi di sicurezza, ha deciso di adottare un approccio completamente diverso, basato sulla risposta ai rischi concreti. Si tratta di un approccio inedito per il diritto italiano e gli ordinamenti di Civil Law ma noto al diritto anglosassone, dove nasce appunto il concetto di accountability, e già applicato nelle norme volontarie di certificazione, coma la ISO 27001.

L’approccio formale alla privacy si traduceva spesso in una serie di inutili adempimenti burocratici. Fogli su fogli scopiazzati a destra e a manca, pieni di errori e fatti firmare senza che nessuno sapesse realmente che cosa ci fosse scritto. Quante volte ci siamo sentiti dire “firmi quì, quì e quì… non si preoccupi è solo per la privacy!“. Ciò ha contribuito a creare una naturale antipatia per questa norma, vista solo come un appesantimento, che di fatto non apportava miglioramenti per i diritti e le libertà delle persone.

L’introduzione di un approccio basato sul rischio concreto e dell’accountability

Il fallimento dell’approccio formale alla privacy è dovuto dal tentativo di equiparare situazioni capillarmente diverse fra loro, attribuendo a ciascuna i medesimi obblighi. Se è vero infatti che tutte le imprese trattano dati personali, anche soltanto con riferimento ai loro dipendenti, è evidente che i rischi reali che questi trattamenti comportano per le libertà delle persone variano notevolmente da caso a caso e non possono essere trattati ugualmente.

Una piccola impresa informatica, anche con pochi dipendenti, tratta molti più dati e con un rischio molto più elevato rispetto ad una società, anche di notevoli dimensioni, che opera nel campo dell’edilizia oppure nell’industria manifatturiera.+

Software house e GDPR: perchè è fondamentale adeguarsi

Software house e GDPR: consigli e adempimenti Software house e GDPR sono strettamente interconnessi. Il GDPR ha rivoluzionato completamente…0 likesRead more

Pensiamo invece ai rischi determinati dai trattamenti effettuati da un ospedale o da un laboratorio di analisi. Le conseguenze derivanti dalla perdita di integrità di una cartella clinica, dall’alterazione di un referto medico o da un scambio d’identità possono essere fatali. É quindi evidente che gli obblighi di sicurezza non possano essere gli stessi a cui è soggetto un negozio di elettrodomestici.

Preso atto di queste differenze, cosa poteva fare il legislatore europeo? Come conciliare l’esigenza di avere una normativa uguale per tutti con quella di calibrare gli adempimenti su ogni singolo caso concreto?

La risposta sta proprio nell’adozione di un approccio basato sul rischio e nel principio di accountability.

La responsabilizzazione degli imprenditori

Prima del GDPR, ciascun imprenditore senza distinzioni era tenuto a conformarsi con una serie di adempimenti minimi di sicurezza contenuti nell’Allegato B al Codice Privacy. Ad esempio, occorreva: aggiornare le password ogni 6 o 3 mesi, fare il backup ogni settimana, aggiornare l’antivirus ogni 6 mesi, fare il patching dei software ogni anno o semestralmente etc.

Oggi a qualsiasi informatico si drizzerebbero i capelli sentendo parlare di aggiornamento semestrale dell’antivirus o delle vulnerabilità dei software. Gli aggiornamenti degli antivirus avvengono giornalmente se non addirittura ad ore di distanza. Il patching dei software va fatto appena esce l’aggiornamento, non certo dopo un anno. Lo stesso vale per i back-up settimanali, che esporrebbero le imprese al rischio di perdere il lavoro di un’intera settimana.

Le misure minime di sicurezza, oltre a diventare presto obsolete, assoggettavano agli stessi obblighi ciascuna impresa e ciascun trattamento di dati, indipendentemente dal rischio concreto.

Con il GDPR, le misure minime vengono abolite ed il legislatore adotta un approccio completamente diverso. La responsabilità sulla scelta delle misure da adottare viene ribaltata sull’imprenditore.

In parole povere, è come se la Commissione europea dicesse: caro imprenditore, io non sono in grado di dirti quali sono le misure di sicurezza giuste per te. Sei tu a dover fare un’analisi dei rischi privacy della tua attività e, in base al risultato, adottare le misure di sicurezza che ritieni adeguate per ridurre al minimo questi rischi.

Questo è il primo dei due punti chiave del concetto di accountability e può sintetizzarsi con il termine responsabilizzazione. Ma non è finita quì.

La capacità di spiegazione e dimostrazione

La responsabilizzazione dell’imprenditore è solo il primo step del principio di accountability. Se ci fermassimo quì, l’imprenditore italiano, che non ha familiarità con questo approccio, potrebbe essere tentato di ragionare così: “se sono io a decidere cosa è adeguato per la mia azienda, allora significa che posso fare come mi pare e che nessuno mi può sanzionare per le scelte fatte“.

Così sarebbe fin troppo facile sottrarsi agli adempimenti. L’accountability aggiunge alla responsabilizzazione anche la capacità di dimostrazione. In caso di controlli, l’imprenditore non potrà limitarsi a dire “ho adottato solo queste misure perché le ritengo adeguate“. Piuttosto, dovrà essere in grado di dimostrare la fondatezza delle sue scelte e documentarle.

In particolare, ciascun imprenditore dovrà dimostrare di aver individuato i trattamenti di dati personali effettuati ed aver svolto un’analisi dei rischi privacy. Infine, dovrà spiegare in modo convincente le ragioni per cui ha ritenuto di adottare determinate misure di sicurezza e non altre come risposta adeguata al rischio.

Per assurdo, un imprenditore potrebbe anche decidere di non fare niente per adeguarsi al GDPR, purché riesca a dimostrare la fondatezza della propria scelta. Ciò è praticamente impossibile, poiché ciascuna impresa tratta dati personali che comportano anche soltanto un minimo rischio privacy.

Il vero significato di accountability

Il significato di accountability può quindi sintetizzarsi con la somma di due concetti: responsabilizzazione e capacità di dimostrazione.

Si tratta di un principio non semplice da assimilare per chi, come noi italiani, si trova in un ordinamento giuridico di Civil Law. L’applicazione concreta del principio di accountability potrebbe infatti creare problemi di certezza del diritto, rendendo sfumato e sottoposto a valutazioni discrezionali il confine fra ciò che è GDPR compliant e ciò che non lo è.

Indipendentemente dai dubbi di compatibilità del principio di accountability con il nostro ordinamento giuridico, personalmente ritengo che questo sia un approccio corretto per riportare la privacy sul piano reale. L’adeguamento al GDPR non può infatti limitarsi alla compilazione di inutili documenti ma deve portare dei vantaggi concreti in termini di sicurezza delle aziende, non solo per i dati personali ma per tutte le informazioni.+

ISO 27001 e GDPR per la Sicurezza dei Dati Aziendali

ISO 27001 e GDPR: come creare un sistema di gestione integrato per la sicurezza dei dati Lo standard ISO.

L’approccio formale basato su misure minime di sicurezza e check list di adempimenti obbligatori per tutti non è infatti adeguato a rispondere alla velocità con cui si evolvono i rischi informatici e soprattutto alle capillari differenze dei vari rischi privacy.

L’accountability nella pratica

Una volta compreso il principio di accountability, cosa occorre fare in pratica per dargli attuazione?

Il primo passo è quello di mappare i trattamenti di dati che l’impresa effettua e redigere un registro. Se è vero infatti che il registro dei trattamenti è obbligatorio solo in determinati casi, è comunque consigliabile adottarlo sempre. Ciò in quanto si tratta di un adempimento poco oneroso e che permette di fare chiarezza sui trattamenti effettuati da un’impresa. Il registro è quindi il punto di partenza per poter sviluppare un sistema di gestione della privacy. Inoltre, si tratta anche del punto di partenza in caso di controlli da parte delle autorità competenti.

Per ciascun trattamento individuato nel registro occorre svolgere un’analisi del rischio. Il metodo più comunemente utilizzato è quello proposto da ENISA ma non è obbligatorio seguire uno schema predefinito. Sarà sufficiente ragionare con la testa ed ipotizzare quali possano essere i rischi privacy legati ad un determinato trattamento e quale il loro impatto. Cosa potrebbe succedere se certi dati venissero divulgati? Quale danno potrebbe verificarsi se i dati venissero alterati? E se invece andassero persi o fossero resi indisponibili? Che probabilità esiste che l’evento si verifichi?

Una volta individuati i trattamenti ed attribuito a ciascuno un valore di rischio che tenga in considerazione sia l’impatto che la probabilità che l’evento si verifichi, occorre progettare delle misure di reazione per abbassare tale rischio. É in questa fase che trova applicazione il principio di accountability. L’imprenditore deve decidere il budget da stanziare e adottare delle misure adeguate ad aumentare il livello di sicurezza della propria impresa.+

GDPR Compliant in 11 Mosse per Piccole e Medie Imprese

GDPR Compliant in 11 mosse per PMI Il General Data Protection Regulation GDPR (in italiano RGPD) è efficace ormai…

Trasformare la privacy da inutile spreco di risorse ad investimento

Se l’accountability viene applicata correttamente e non soltanto per superare indenni dei controlli ed evitare le sanzioni, la compliance al GDPR non sarà più un inutile adempimento burocratico. Piuttosto, diventerà un modo per prendere coscienza degli enormi rischi, informatici ma non solo, a cui le nostre imprese sono esposte ogni giorno e mitigarli.

L’accountability può fare la differenza fra un inutile spreco di tempo e risorse ed un investimento remunerativo in termini di sicurezza ed efficienza nella gestione dei dati, non soltanto personali.

L’articolo è tratto originalmente da ipRights pubblicato con Licenza Creative Commons Attribuzione 3.0 Italia

Violazioni della privacy

Le violazioni della privacy dopo il GDPR: come gestire un data breach

Dal 25 Maggio 2018, il  nuovo regolamento europeo in materia di trattamento di dati personali n. 2016/679 (GDPR) obbliga tutte le imprese a gestire le violazioni della privacy.

Il Considerando n. 85 del GDPR ci ricorda che una violazione dei dati personali può, se non affrontata in modo adeguato e tempestivo, provocare danni fisici, materiali o immateriali alle persone. Le violazioni della privacy possono tradursi in discriminazioni, furti di identità, perdite economiche, pregiudizi alla reputazione etc. Pertanto, il legislatore europeo ha voluto obbligare tutte le imprese che trattano dati personali a dotarsi di particolari procedure in caso di data breach.

Cos’è un data breach

Un data breach è una violazione dei dati personali trattati da un’impresa. Può definirsi come una violazione di sicurezza che comporta, accidentalmente o in modo illecito, la distruzione, la perdita, la modifica, la rivelazione non autorizzata o l’accesso ai dati personali.

La distruzione del dato si ha quando questo viene cancellato in modo irreversibile. Si parla invece di perdita quando il dato fuoriesce dalla sfera di controllo del suo legittimo detentore. L’accesso non autorizzato può riguardare un sistema informatico (hackeraggio) o un database fisico (sottrazione di fascicoli personali). La rivelazione non autorizzata si verifica quando un soggetto avente un obbligo di riservatezza, ad esempio un dipendente, trasmette l’informazione a terzi non autorizzati. Infine, rappresenta un data breach anche la modifica non autorizzata di un dato. Per comprenderne la pericolosità, si pensi alle conseguenze che può portare sulle cure di un paziente la modifica di un referto medico.

Le violazioni della privacy più comuni

Un data breach può manifestarsi in diverse forme, di cui la più comune è probabilmente quella dell’attacco hacker. Ogni volta in cui il nostro sistema informatico viene colpito da un virus o semplicemente subisce un accesso non autorizzato siamo in presenza di un data breach. In questi casi, a meno che non siano state adottate misure preventive idonee, non sempre siamo in grado di stabilire se i dati siano stati sottratti o compromessi. Lo stesso ragionamento vale anche in caso di accesso non autorizzato ad un database fisico. Si pensi ad un furto in azienda in cui venga compromesso l’archivio.

Un data breach può derivare anche dallo smarrimento o dal furto di un dispositivo in cui sono contenuti dati personali, come ad esempio uno smartphone aziendale o una pen drive.

Le violazioni della privacy più comuni sono quelle derivanti dall’errore umano. Si pensi alla consegna o alla comunicazione di documenti contenenti dati personali alla persona sbagliata. Più gravi sono i casi di errata pubblicazione dei dati, quando questi vengono comunicati con strumenti a larga diffusione, ad esempio con un invio massivo di email o tramite la pubblicazione sul web.

Infine, una delle ipotesi più comuni e pericolose di data breach è quella del c.d. insider misuse. Si tratta del caso in cui una persona interna all’azienda sottrae dati personali abusando dei suoi privilegi e delle sue autorizzazioni. Si pensi al caso del dipendente che, licenziatosi dall’impresa, si porti via il database con le informazioni riservate dei clienti.

Quando è necessario segnalare un data breach al Garante

A partire dal 25 Maggio 2018, il titolare deve notificare le violazioni della privacy all’Autorità Garante, senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza.

L’obbligo di notifica dei data breach non è una novità assoluta per il nostro ordinamento. Il Garante Italiano aveva infatti già previsto quest’obbligo per gli operatori telefonici ed per le violazioni dei dossier sanitari elettronici. Peraltro, in questi casi specifici i termini per effettuare la notifica sono più ristretti, rispettivamente 24 e 48 ore.

Nel caso in cui i suddetti termini vengano superati, il titolare dovrà essere in grado di giustificare il ritardo.

L’obbligo di notifica dei data breach però non sussiste in tutti i casi. Il titolare non dovrà notificare la violazione quando è in grado di dimostrare che questa non presenta un rischio per i diritti e le libertà delle persone fisiche. Ad esempio, se il titolare aveva protetto i dati mediante crittografia e conservato adeguatamente la chiave di decriptazione, il data breach potrà considerarsi inoffensivo.

Il contenuto della notifica al Garante

La comunicazione del data breach al Garante dovrà contenere almeno i seguenti elementi:

1. una descrizione della natura della violazione, dei dati compromessi e del numero approssimativo degli interessati;
2. il nome ed i dati di contatto del DPO o di un altro soggetto con cui interfacciarsi;
3. la descrizione della possibili conseguenze;
4. la descrizione delle misure adottate per porre rimedio alla violazione della privacy o attenuarne gli effetti.

Quando è necessario notificare un data breach agli interessati

Quando la violazione della privacy comporta un rischio elevato per i diritti e le libertà degli interessati, il titolare dovrà comunicare il data breach anche a loro. Ciò deve essere fatto al fine di consentirgli di prendere le precauzioni necessarie per evitare o limitare i danni.

Ad esempio, se vengono violate le password degli utenti di un sito web contenente dati personali, il titolare dovrà notificare il data breach al Garante ed alle persone interessate, consigliando di modificare immediatamente le password.

La comunicazione ai soggetti interessati può essere evitata in tre casi:

1. quando il titolare abbia preventivamente adottato misure adeguate di protezione dei dati (ad es. la cifratura);
2. nei casi in cui il titolare abbia successivamente adottato rimedi adeguati a scongiurare un rischio elevato;
3. quando la comunicazione richiede sforzi sproporzionati. In questi casi, il titolare potrà ricorrere a comunicazioni pubbliche, mediante comunicati web o pubblicazioni.

La registrazione dei data breach

Il titolare del trattamento deve documentare le violazioni della privacy. A tal fine, occorre predisporre un registro dei data breach, dove annotare la descrizione della violazione, le sue conseguenze ed i provvedimenti adottati per porvi rimedio.

L’annotazione dei data breach è necessaria affinché il titolare possa imparare dai propri errori. Infatti, il miglior modo per mettere in piedi un efficace sistema di gestione privacy è quello di studiare le violazioni, accertarne le cause e porre in essere misure adeguate ad evitare che si ripetano.

Adottare una procedura interna per la gestione dei data breach

Le procedure da seguire in caso di data breach ben si conciliano con il principio di accountability (responsabilizzazione), su cui si fonda l’intero impianto del GDPR. All’imprenditore viene chiesto di monitorare i propri errori, attivarsi immediatamente per porvi rimedio, imparare dai propri sbagli ed infine documentare tutto.

L’unico modo per essere in grado di rispettare le norme imposte dal GDPR in materia di data breach è quello di dotarsi di una procedura interna. Ogni impresa deve istruire il proprio personale innanzi tutto a riconoscere i data breach. Dopodiché, il titolare deve fare in modo che la violazione non venga ignorata, bensì comunicata immediatamente al DPO o ad un diverso soggetto responsabile. Infine, è indispensabile dotarsi di strumenti che permettano di individuare i data breach, ad esempio utilizzando un sistema di monitoraggio dei log al sistema informatico, nominando un amministratore di sistema etc.

Ancora più importante è non aspettare che il data breach si verifichi, bensì agire in via preventiva. A tal fine è necessario effettuare un’analisi dei rischi e predisporre misure adeguate a prevenirli, come ad esempio la crittografia, l’adozione di antivirus e firewall, la modifica periodica delle password etc.

L’articolo è tratto originalmente da ipRights pubblicato con Licenza Creative Commons Attribuzione 3.0 Italia

DPO

DPO (Data Protection Officer): la nuova figura professionale in materia di privacy

Il DPO, per esteso Data Protection Officer, è una nuova figura professionale in materia privacy, fino ad oggi poco conosciuta in Italia. Con l’entrata in vigore del GDPR, efficace dal 25 Maggio 2018, numerosi soggetti avranno l’obbligo di assumerne uno. Cerchiamo quindi di capire di che cosa si tratta, quali saranno i suoi compiti e, soprattutto, chi non potrà farne a meno.

Il Privacy Officer è il soggetto che, all’interno di un’azienda, si occupa di organizzare il trattamento dei dati personali e di verificare che avvenga nel rispetto delle normative vigenti. Quando questo soggetto vanta autonomia decisionale nell’esercizio delle sue mansioni, viene definito CPO (Chief Privacy Officer) negli Stati Unit e DPO (Data Protection Officer) in Europa.

Che ruolo ha il DPO e quali sono i suoi compiti?

Nella traduzione Italiana del Regolamento UE 2016/679, la figura del DPO è stata tradotta con Responsabile della Protezione dei Dati. Questa figura non deve però essere confusa con quella del Responsabile del trattamento dei dati personali, che è ben diversa. Il DPO dovrà essere un soggetto dotato di piena autonomia ed indipendenza nello svolgimento dei propri compiti. Egli risponderà solo ed esclusivamente nei confronti del Titolare del trattamento o del Responsabile del trattamento da cui è stato nominato.

Il DPO avrà i seguenti compiti:

• vigilare sull’osservanza del Regolamento UE 2016/679 e, più in generale, della normativa vigente in materia di privacy;
• informare e consigliare il Titolare del trattamento in merito agli obblighi derivanti dal Regolamento e dalla normativa in materia di privacy;
• supportare il Titolare in ogni attività concernente il trattamento di dati personali (quali la redazione del Registro dei trattamenti);
• collaborare con il Titolare e/o con il Responsabile del trattamento nella valutazione dei Data Protection Impact Assessments (DPIA);
• cooperare con l’Autorità Garante in materia di protezione dei dati personali e fungere da elemento di contatto fra questa ed il Titolare del trattamento;
• essere consultato in caso di data breach ed assistere il Titolare del trattamento in caso di necessità di notifica al Garante.

Quali competenze dovrà avere un DPO?

Il DPO potrà essere nominato fra i dipendenti dell’azienda oppure potrà essere designato un soggetto esterno: un avvocato, un ingegnere o, comunque, un soggetto dotato di idonee competenze.

Il DPO dovrà possedere un’approfondita conoscenza della normativa e della prassi in materia di gestione dei dati personali. Dovrà conoscere il settore specifico in cui viene operato il trattamento (ad esempio per i trattamenti in ambito sanitario) ed avere anche competenze tecniche ed informatiche al fine di garantire idonea protezione dei dati. Nel caso in cui siano necessarie competenze trasversali, il DPO può avvalersi di un team di soggetti esperti in diverse materie. Ad esempio, un avvocato che venga nominato DPO potrà avvalersi di un ingegnere informatico per colmare eventuali lacune nelle proprie conoscenze tecniche (in materia di cybersecurity; firewall; antivirus; backup etc…). Il ruolo di DPO potrà essere ricoperto da una persona fisica o, quando si tratta di un soggetto esterno, anche da un persona giuridica. In questo caso, nelle Faq sul RPD il Garante raccomanda l’individuazione di una sola persona fisica atta a fungere da punto di contatto con gli interessati e l’Autorità di controllo.

Per diventare DPO non è necessario avere un titolo particolare oppure essere iscritti ad un albo. Il Titolare del trattamento deve però essere in grado di dimostrare di aver scelto un soggetto adeguato a ricoprire il ruolo. Pertanto, la qualifica professionale del soggetto incaricato, la partecipazione a Master o corsi di formazione, l’esibizione di certificazioni etc. sono tutti criteri che si consiglia di tenere in considerazione nella scelta di un DPO.

Chi avrà l’obbligo di assumere il DPO?

In base all’art. 37 del Regolamento UE 2016/679, saranno obbligati a designare un DPO:

• le pubbliche amministrazioni e gli enti pubblici, ad eccezione delle autorità giudiziarie;
• tutti i soggetti la cui attività principale consiste in trattamenti che, per la loro natura, il loro oggetto o le loro finalità, richiedono un monitoraggio regolare e sistematico degli interessi su larga scala;
• tutti i soggetti la cui attività principale consiste nel trattamento, su larga scala, di dati sensibili, relativi alla salute o alla vita sessuale, genetici, giudiziari e biometrici.

I criteri sopra elencati non permetto di individuare con assoluta certezza i soggetti per i quali sarà richiesta la designazione di un DPO. Ciò in quanto vengono utilizzati concetti suscettibili di essere interpretati discrezionalmente, quali: attività principale; larga scala; monitoraggio regolare e sistematico.

L’Autorità Garante ha già fornito delle linee guida per interpretare questi concetti ma, in determinati casi, sarà difficile avere l’assoluta certezza sulla obbligatorietà o meno di designare un DPO. A meno che non risulti evidente che un soggetto non è tenuto a nominare un Data Protection Officer, è fortemente raccomandato effettuare una valutazione con l’aiuto di un professionista qualificato. Nel caso in cui infine si decida di non nominarlo, è opportuno documentare per iscritto le argomentazioni a sostegno di questa decisione. Ciò al fine di esibire al Garante la valutazione effettuata in caso di contestazione. La nomina di un DPO è comunque consigliata anche nei casi in cui non risulti obbligatoria.

Chi non è obbligato ad assumere un Data Protection Officer?

Non sono obbligati ad assumere un DPO tutti i soggetti che non rientrano nelle categorie di cui al capitolo precedente. Ad esempio, i liberi professionisti operanti in forma individuale; agenti, rappresentanti e mediatori operanti non su larga scala; imprese individuali o familiari; piccole e medie imprese, con riferimento ai trattamenti dei dati personali connessi alla gestione corrente dei rapporti con fornitori e dipendenti.

Un DPO unico per i gruppi imprenditoriali

Il GDPR prevede che un gruppo imprenditoriale possa designare un unico responsabile della protezione dei dati personali. Ciò purché egli sia facilmente raggiungibile da ciascuno stabilimento e sia in grado di comunicare in modo efficace con gli interessati e di collaborare con le autorità di controllo.

Quanto costa un DPO?

Non esistono ad oggi tariffari di riferimento per il ruolo di DPO, il cui costo varia notevolmente a seconda delle dimensioni dell’impresa e della difficoltà dell’incarico. Se per piccole e medie imprese che trattano dati particolari, il costo annuale di un DPO sembra ad oggi attestarsi sotto gli € 10.000 annui, per imprese di grandi dimensioni o multinazionali si può tranquillamente arrivare a toccare cifre a 5 zeri.

Quello di Data Protection Officer è in ogni caso un ruolo che comporta l’assunzione di responsabilità. Richiede inoltre professionalità, conoscenze non comuni e costante aggiornamento. Diffidate dunque da soggetti privi di qualifiche, che promettono di assumere il ruolo di DPO per pochi spiccioli. In mancanza di budget adeguati, talvolta è meglio dotarsi di un buon consulente privacy e giustificare la scelta di mancata nomina del DPO conformemente al principio di accountability.

Quest’opera è distribuita da ipRights con Licenza Creative Commons Attribuzione 3.0 Italia