Per garantire una salvaguardia maggiore delle informazioni personali, l’Unione Europea ha elaborato una serie di provvedimenti, sfociati con il Gdpr,il regolamento generale dell’Unione Europea sulla protezione della privacy. Con questa normativa, che verrà attuata il 25 maggio 2018, tutte le società che operano all’interno dei confini comunitari dovranno sottostare alle direttive imposte. Tra queste vi è quella di adottare la figura del DPO, Data Protection Officer. Si tratta di un consulente tecnico specializzato nella tutela della privacy, con attività relative alla gestione e all’immagazzinamento dei dati.
Prima di entrare nel dettaglio è opportuno ricordare che la sua entrata in vigore ha suscitato non pochi malumori all’interno del panorama europeo. Un dibattito controverso, che non ha ancora messo d’accordo le opinioni contrastanti. Questo è dovuto soprattutto all’eccessiva libertà nell’interpretazione della normativa n.2016/679. Dubbi relativi in larga parte alle reali competenze attestanti la figura del DPO.
Il Data Protection Order è una figura specializzata con specifiche mansioni nel settore informatico, giuridico, con un controllo approfondito dei processi e bilancio del rischio.
Tra i dettami fondamentali vi è principalmente quello di gestire, classificare e soprattutto garantire il trattamento dei dati personali, rispettando i dettami promulgati dall’UE per il rispetto della privacy. Questa attività può essere eseguita sia da un libero professionista che da un dipendente del proprietario, o responsabile, del trattamento.
La regolamentazione avrà luogo il 25 maggio 2018, su tutte le nazioni membri dell’UE, con il DPO che diverrà un elemento indispensabile per adeguarsi ad essa. Non tutti però hanno ben chiaro il ruolo di questa figura professionale. Gli aspetti conosciuti ai più sono il risultato di una spiegazione operata dai garanti nazionali (WP29).
L’articolo 37 del GDPR non elenca con oculatezza quali siano le caratteristiche professionali che deve possedere un DPO. Allo stesso tempo però il professionista, che ambisce ad essere riconosciuto con questa qualifica, deve non solo garantire una conoscenza approfondita del regolamento a breve attuato, ma soprattutto comprovare la sua esperienza nella protezione delle informazioni private nell’ambito legislativo UE. In aggiunta anche una discreta dimestichezza delle norme amministrative in caso di attività in un ente nazionale.
Altro elemento di dibattito riguardo la difficoltà di attuazione di questa normativa è un concreto squilibrio tra il dipendente, che deve sostenere gli impegni derivanti dalla legislazione, e l’articolo 38 della stessa, che tratta la libertà di autonomia, non “sotto padrone”, del DPO.
Altro aspetto da tenere in considerazione è che il DPO non deve sottostare in alcuna circostanza di conflitto d’interessi. In questo caso, gli organi di legislatura europei si guardano attorno nel realizzare nomine per congenialità o concomitanza di attività pratiche. Pertanto figure come l’amministratore delegato, il responsabile operativo, il direttore marketing, responsabile delle risorse umane, garante ICT, non potranno essere nominate DPO.
Le mansioni appartenenti al Data Protector Order sono catalogate nell’articolo 39 della normativa europea. Per spiegare nel dettaglio quali siano le sue competenze ecco un elenco informativo:
Da questi punti si può notare come il DPO delinea una figura altamente specializzata, che abbina caratteristiche gestionali e organizzative. Deve essere infatti un abile consigliere del proprietario, o gestore, dei dati.
La carente risolutezza del GDPR in tema DPO rende altamente personale l’idea di attuazione da parte delle aziende site nei confini UE. La mancanza di dettami inconfutabili presuppone infatti un’interpretazione soggettiva, a propria discrezione.
In base all’articolo 37 del Regolamento Europeo, è obbligatorio nominare un DPO se il trattamento dei dati “venga effettuato da un’autorità pubblica o da un organismo pubblico, eccettuate le autorità giurisdizionali nell’esercizio delle proprie funzioni”. Questa è senza dubbio la parte esente da riserve.
E’ opportuno appuntare che gli organismi pubblici non sono altro che gli enti sorti al fine di compiacere le necessità d’interesse generale, prevalentemente a carattere non commerciale. Istituzioni contraddistinte da una particolarità giuridica, la cui attività risulta finanziata da fondi pubblici.
Altresì l’articolo 37 stabilisce la perentorietà della nomina del DPO anche per alcune imprese private. Da ciò, nel nucleo applicativo del regolamento, nascono le prime divergenze.
Il punto prevede che vi sia l’obbligo di investitura del DPO se il core business del proprietario del trattamento, o del responsabile, ″consista in trattamenti richiedenti il monitoraggio sistematico su larga scala″ non solo quando le attività principali del proprietario del trattamento, o del responsabile, ″riguardano il trattamento, su larga scala, di informazioni sensibili o di dati relativi a condanne penali e a reati″.
Al che sorge un dubbio non indifferente, riguardo il significato di attività principali. Per illustrare al meglio la questione si può prendere ad esempio un’azienda ospedaliera. L’attività primaria è somministrare prestazioni di cura ai cittadini. Però, senza analizzare le informazioni personali dei pazienti, anche quelle più delicate, non è possibile soddisfare tale compito.
Un altro aspetto che viene esaminato all’interno del dibattito generale è il significato di attuazione su larga scala. Una risposta autorevole è sopraggiunta dal Gruppo dei Garanti Ue (WP 29), senza però giungere ad un risultato chiaro e conciso. Viene riferito che “non è possibile fornire un numero preciso di dati trattati o di persone interessate necessari a definire la categoria della grande scala”
Gli unici dati ufficiali sono gli elementi presente nella normativa GDPR, con la quale viene stabilito se un trattamento risulti su larga scala:
I principali destinatari del Regolamento sulla protezione delle informazioni personali, e quindi “costrette” a nominare un DOP, sono tutte quelle attività che operano sulla rete. In particolare quelle che gestiscono e analizzano i dati degli utenti. Non solo tutti gli organismi statali, ma anche quelli privati, come gli istituti bancari e le aziende di telecomunicazioni.
La lista potrebbe essere infinita, esseno non quantificabili le attività che si basano sul trattamento dei dati personali: studi legali, imprese assicurative, siti di e-commerce, ecc. Informazioni sensibili, spesso estremamente delicate, che devono essere necessariamente fruite per fini ben specifici.
E’ prospettabile, in un lasso di tempo breve, un chiarimento da parte degli organi competenti, trai quali il Garante Italiano. Una precisazione dovuta, al fine di abbattere tutti i dubbi sorti a dismisura con Il regolamento GDPR sui dati personali. Soprattutto a tutela delle società che subiranno le prime sanzioni, che quasi certamente avverranno a breve.
Se hai bisogno di una consulenza puoi contattare l’Avvocato Gabriele Carmelo Gallo con il quale collaboro per porre il tuo quesito.
