Sistemi e Nomine GDPR
La conformità al Regolamento Generale sulla Protezione dei Dati (GDPR) richiede alle aziende e agli enti di adottare sistemi di gestione dei dati personali efficaci e di designare figure responsabili per garantire il rispetto della normativa.
I Sistemi GDPR comprendono l’implementazione di procedure per il trattamento, la protezione e il monitoraggio dei dati personali, assicurando trasparenza e sicurezza nelle operazioni aziendali. Questi sistemi includono l’analisi dei flussi di dati, la valutazione dei rischi, l’adozione di misure tecniche e organizzative adeguate e la gestione del consenso degli utenti.
Le Nomine GDPR, invece, riguardano l’identificazione di figure chiave come il Responsabile della Protezione dei Dati (DPO), i Responsabili del Trattamento e gli Autorizzati al Trattamento, i quali hanno il compito di garantire la corretta applicazione delle normative sulla privacy e di gestire le relazioni con il Garante della Privacy.
La Norma
L’articolo 4, par. 1, n. 7 del Regolamento UE 2016/679 (General Data Protection Regulation o GDPR) definisce il ruolo del Titolare del Trattamento, quale:
“la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali; quando le finalità e i mezzi di tale trattamento sono determinati dal diritto dell’Unione o degli Stati membri, il titolare del trattamento o i criteri specifici applicabili alla sua designazione possono essere stabiliti dal diritto dell’Unione o degli Stati membri”.
Il par. 1, n. 8 dello stesso articolo 4 del GDPR definisce il Responsabile del Trattamento, quale:
“la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che tratta dati personali per conto del titolare del trattamento”.
Se però due o più Titolari del Trattamento determinano congiuntamente le finalità e i mezzi del trattamento, essi sono Contitolari del Trattamento, ai sensi dell’art. 26 del GDPR.
I Responsabili del Trattamento sono figure esterne agli enti, che trattano dati per conto di questi ultimi, in base a specifiche istruzioni.
In merito alle figure interne, invece, l’art. 2-quaterdecies del D. Lgs. n. 196/2003 stabilisce che:
1. Il titolare o il responsabile del trattamento possono prevedere, sotto la propria responsabilità e nell’ambito del proprio assetto organizzativo, che specifici compiti e funzioni connessi al trattamento di dati personali siano attribuiti a persone fisiche, espressamente designate, che operano sotto la loro autorità.
2. Il titolare o il responsabile del trattamento individuano le modalità più opportune per autorizzare al trattamento dei dati personali le persone che operano sotto la propria autorità diretta.
Pertanto, la normativa vigente ha introdotto il ruolo dei soggetti designati/autorizzati al trattamento, indicando, con questa definizione, il personale interno ad un ente che tratta dati personali per conto del Titolare del Trattamento.
Infine, vi è il Data Protection Officer, disciplinato dagli artt. 37-39 del GDPR, che è il soggetto (interno o esterno) a cui il Titolare, o il Responsabile, si affida per garantire la conformità dell’organizzazione ai requisiti stabiliti dal Regolamento. Il DPO agisce in modo indipendente e riferisce direttamente ai vertici.
La Proposta
La corretta individuazione di queste figure rappresenta una questione fondamentale per gli enti pubblici e privati.
Non sempre, infatti, un soggetto esterno che tratta dati per conto del Titolare del Trattamento può essere considerato un Responsabile del Trattamento. In alcuni casi, potrebbero esserci scambi di dati personali tra autonomi Titolari del Trattamento. La distinzione tra queste due figure deve essere analizzata concretamente, tenendo conto delle specifiche caratteristiche dei trattamenti di dati personali e dei soggetti coinvolti.
È necessario anche identificare i casi di Contitolarità del trattamento, poiché molte imprese e Pubbliche Amministrazioni trattano congiuntamente dati personali e devono stipulare un accordo specifico sulla contitolarità per evitare possibili sanzioni.
Lanario Consulenze vanta un’esperienza completa nel settore della privacy, ricoprendo il ruolo di Consulente Privacy e Data Protection Officer per Comuni, Province, Istituti scolastici, società di capitali e società di persone.
La consulenza offerta si basa su sessioni di assessment mirate, finalizzate ad analizzare i trattamenti di dati personali effettuati dai clienti. Al termine di queste sessioni, vengono redatte:
- Nomina dei Responsabili del Trattamento
- Nomina dei designati/autorizzati al trattamento
- Accordi di contitolarità del trattamento
- Accordi di scambio dei dati personali tra Titolari autonomi
Le Sanzioni
Come stabilito dall’art. 168 del D. Lgs. 196/2003 al primo comma:
“Nel caso in cui il titolare, durante il corso di un accertamento dinanzi al Garante, dichiari o attesti falsamente notizie o produca atti o documenti falsi, è punito con la reclusione da sei mesi a tre anni.”
Adeguarsi alla normativa vigente in materia di protezione dei dati personali è essenziale per evitare le elevate sanzioni amministrative previste dall’art. 77 ss. del GDPR.
Il mancato adeguamento può comportare sanzioni fino a 20 milioni di euro o fino al 4% del fatturato totale annuo della società.
Inoltre, il Garante per la Protezione dei Dati Personali avvierà ispezioni e sanzioni nei confronti di tutti quei soggetti obbligati ad adeguarsi al GDPR. La fase di tolleranza riguardo all’applicazione delle sanzioni amministrative, come previsto dall’art. 22 del D. Lgs. 10 agosto 2018, n. 101 (che ha modificato il D. Lgs. 196/2003), è giunta al termine, con una durata complessiva di 8 mesi.
Dal 20 maggio 2019, i soggetti obbligati dovranno affrontare controlli o ispezioni da parte dell’Autorità, che potrà avvalersi anche della collaborazione di altri organi dello Stato, come il nucleo speciale “Tutela Privacy e Frodi Tecnologiche” della Guardia di Finanza.
La compliance al GDPR garantisce alle imprese una adeguata sicurezza informatica, poiché impone l’adozione di misure tecniche e organizzative adeguate ai rischi legati al trattamento dei dati personali. La consulenza sul Regolamento UE 2016/679 consente di valutare il livello di preparazione rispetto alle minacce di phishing, che possono nascondere attacchi informatici potenzialmente dannosi per le aziende.
Lanario Consulenze, grazie al suo personale altamente qualificato e all’esperienza consolidata nel settore della consulenza a 360°, è in grado di fornire il supporto necessario per la realizzazione di un sistema di gestione della Privacy progettato in modo preciso e su misura per le esigenze specifiche dell’organizzazione.
