Data Protection Officer
La figura del Responsabile della Protezione dei Dati – Data Protection Officer ha il compito di monitorare i processi interni dell’azienda e di implementare un piano di formazione che assicuri a chi è autorizzato al trattamento una corretta gestione dei dati e il rispetto dei relativi limiti di utilizzo.
La Norma
Gli articoli 37-39 del Regolamento UE 2016/679 (General Data Protection Regulation o GDPR) stabiliscono le normative relative alla figura del Responsabile della Protezione dei Dati – Data Protection Officer (DPO), che ha la responsabilità di monitorare i processi interni dell’organizzazione e di implementare un piano di formazione per garantire a chi è autorizzato al trattamento dei dati una corretta gestione, rispettando i limiti di utilizzo stabiliti.
Il Data Protection Officer ricopre un ruolo cruciale per un’impresa, poiché fornisce consulenza al Titolare del Trattamento, ai soggetti designati o autorizzati al trattamento, e ai Responsabili del Trattamento, supportandoli nelle operazioni che comportano il trattamento di dati personali. Inoltre, il DPO è incaricato di definire le responsabilità, sensibilizzare, e fornire formazione al personale che tratta i dati personali e che si occupa delle relative attività di controllo.
Il Data Protection Officer sovraintende alla Valutazione d’Impatto (art. 35 del GDPR) e fornisce pareri in merito. La Valutazione d’Impatto è obbligatoria quando i trattamenti di dati personali risultano particolarmente invasivi, come nel caso della videosorveglianza o della geolocalizzazione.
La nomina del DPO è obbligatoria nei seguenti casi:
- Quando il trattamento è effettuato da un’autorità pubblica o da un organismo pubblico, esclusi i casi delle autorità giurisdizionali quando esercitano le loro funzioni giurisdizionali;
- Quando le attività richiedono un monitoraggio regolare e sistematico degli interessati su larga scala;
- Quando le attività principali consistono nel trattamento su larga scala di categorie particolari di dati personali (ad esempio: stato di salute, orientamento politico, vita sessuale, appartenenza sindacale, dati genetici, biometrici, convinzioni religiose o filosofiche, origine etnica) e di dati relativi a condanne penali e reati.
La Proposta
Lanario Consulenze vanta un’esperienza a 360 gradi nella consulenza sul trattamento dei dati personali, ricoprendo il ruolo di Data Protection Officer per Comuni, Province, Istituti scolastici, società di capitali e società di persone.
Nel corso di queste attività, Lanario Consulenze ha fornito supporto agli enti pubblici per rispondere ai quesiti relativi al rapporto tra trasparenza della Pubblica Amministrazione e protezione dei dati personali.
Le analisi svolte da Lanario Consulenze e le risposte ai quesiti riguardano temi come la menzione dei casi di priorità (handicap, inserimenti straordinari stabiliti da assistenti sociali, etc.) nelle graduatorie della Pubblica Amministrazione, la possibilità di inserire nomi e cognomi nelle graduatorie, anche di minorenni, oppure se sia preferibile utilizzare il codice fiscale (parziale) o il numero di protocollo della domanda. Altri quesiti trattati riguardano l’accesso alle cartelle cliniche da parte di consiglieri comunali, regionali e provinciali, gli obblighi di pubblicazione dei dati personali da parte della Pubblica Amministrazione, il corretto posizionamento delle videocamere di sorveglianza, e la possibilità per i cittadini di richiedere il diritto alla cancellazione dei propri dati conservati dalla Pubblica Amministrazione.
Recentemente, Lanario Consulenze ha affrontato anche quesiti relativi agli obblighi di vaccinazione contro il Covid-19, sia per il personale ausiliario alle funzioni sanitarie sia per il personale aziendale.
Le Sanzioni
Adeguarsi alla vigente normativa in materia di protezione dei dati personali è fondamentale per evitare le elevate sanzioni amministrative (art. 77 ss. del GDPR).
Il mancato adeguamento può infatti comportare sanzioni fino a 20 milioni di euro o fino al 4% del fatturato totale annuo dell’azienda.
A partire da ora, hanno inizio le ispezioni e le relative sanzioni da parte del Garante per la Protezione dei Dati Personali, nei confronti di tutti quei soggetti che sono soggetti all’obbligo di adeguamento al GDPR.
La fase di tolleranza prevista dall’art. 22 del D. Lgs. 10 agosto 2018, n. 101 (che ha modificato il D. Lgs. 196/2003) si è conclusa, e la durata di questa fase di moratoria, pari a 8 mesi, è ormai finita.
Dal 20 maggio 2019, i soggetti obbligati saranno sottoposti a controlli e ispezioni da parte dell’Autorità, che si avvale anche della collaborazione di altri organi dello Stato, come ad esempio il nucleo speciale “Tutela Privacy e Frodi Tecnologiche” della Guardia di Finanza.
A partire dall’entrata in vigore dei controlli, sono già state eseguite 175 ordinanze-ingiunzione, con un significativo incremento delle sanzioni comminate e delle somme riscosse, pari a 8.161.806 euro, contro i 3.776.694 euro registrati nel 2017, con un aumento del 116%.
La compliance al GDPR assicura alle imprese una sicurezza informatica adeguata, poiché prevede l’adozione di misure tecniche e organizzative proporzionate ai rischi connessi al trattamento dei dati personali. La consulenza sul Regolamento UE 2016/679 consente di verificare il livello di consapevolezza riguardo alla resilienza dell’azienda rispetto alle minacce come il phishing, che possono nascondere attacchi informatici potenzialmente dannosi sotto il profilo economico.
