Source: https://marcellocolaianniblog.wordpress.com/category/medico-competente/
Timestamp: 2019-10-14 21:11:46+00:00
Document Index: 163911732

Matched Legal Cases: ['art. 4', '§ 1', 'art. 4', '§ 1', 'art. 28', 'art. 28', 'art. 4', '§ 1', 'art. 28', 'art. 26', 'art. 29', 'art. 82']

medico competente – Marcello Colaianni Blog
Categoria: medico competente
Titolare del trattamento, Titolare autonomo e Titolare indipendente. Chi più ne ha più ne metta.
Pubblicato 17 luglio 2019 26 luglio 2019 da marcellocolaianni62
Da quando è entrato in vigore il Regolamento UE 679/2016, il ricorso alla figura del Titolare autonomo è pressoché quotidiano per individuare le relazioni, e l’attribuzione delle relative responsabilità, di Tizio nei confronti di Caio.
Ho ripetutamente letto gli artt. 4, 9 e 10 del GDPR ed altre norme attinenti la protezione dei dati personali ma, ahimè, mi devo proprio arrendere; la definizione di questo fantomatico Titolare autonomo non riesco proprio a trovarla.
Mi chiedo, allora, come si possa attribuire a chicchessia un’etichetta, un’identità con l’aggravante di un carico di oneri, incombenze e responsabilità non meglio definite in assenza di una definizione chiara ed inequivocabile a cui fare riferimento.
La figura del Titolare autonomo viene messa in relazione con quella del Titolare del trattamento. Questi sì che è chiaramente identificato, all’art. 4, § 1, punto 7), come la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali. Così come sono chiaramente definite altre figure contemplate dal GDPR come quella del Rappresentante del Titolare (o del Responsabile), del Contitolare, del Responsabile del trattamento e del Responsabile della protezione dei dati e ancora dei Terzi, dei Destinatari e delle Persone autorizzate. Come si può constatare, non vi è traccia del Titolare autonomo.
La suddetta relazione, di per se stessa, già riconosce l’esistenza di rapporti fra 2 soggetti, il Titolare ed il Titolare autonomo (?), per i quali il secondo effettua, nei confronti del primo, uno o più trattamenti di dati personali. E se c’è questa relazione, come si può parlare di Titolare autonomo?
Facciamo un passo indietro. Chiunque, fatte le debite eccezioni, nello svolgimento della propria attività professionale, in presenza di trattamenti di dati personali di persone fisiche è, per definizione, Titolare del trattamento. Poi succede che fra i due soggetti nasce una relazione che, rivelandosi particolarmente significativa dal punto di vista del trattamento dei dati personali, pone in essere la necessità di una specifica nominalizzazione ed attribuzione di responsabilità in capo ai due soggetti.
Vi si riconoscono, quindi, i rapporti fra:
Titolare e Rappresentante che viene designato laddove il titolare del trattamento non è stabilito nell’Unione;
Titolare e Contitolare qualora, insieme, determinano congiuntamente le finalità e i mezzi del trattamento;
Titolare e Responsabile del trattamento a cui, il primo, ricorre per un trattamento che deve essere effettuato per suo conto;
Titolare e Responsabile della protezione dei dati in presenza dei presupposti per la sua designazione obbligatoria;
Titolare e Terzi con riferimento ai soggetti nominativamente richiamati;
Titolare e Destinatari ai quali si comunicano i dati personali e, infine,
Titolare e Persone autorizzate al trattamento dei dati personali sotto la propria autorità.
Non vi è relazione, fra soggetti, che non sia specificatamente definita. Non si può parlare, quindi, di Titolare autonomo perché autonomo non è colui che si rapporta con il Titolare, in presenza di una relazione. La relazione va riconosciuta e definita fra quelle sopra elencate in modo da dare certezza al principio di accountability con individuazione delle rispettive responsabilità.
Parlare di Titolare autonomo significherebbe, fra l’altro, disconoscere l’esistenza di una relazione.
Ho inteso, fra le righe, che non tutti i fornitori hanno motivo di essere identificati. Certo, coloro con i quali io, come Titolare ex art. 4, § 1 punto 7), ho rapporti significativi in termini di trattamento dei dati personali devo necessariamente identificarli come Contitolari o Responsabili del trattamento; non come Titolari autonomi. Perché autonomi rispetto a me Titolare se sussiste una relazione significativa?
Esemplificando. La società XY Spa é Titolare del trattamento. Questa, ai fini privacy, ha relazioni, ovvero rapporti significativi, con il Medico competente, l’Organismo di Vigilanza, il Collegio sindacale, i Revisori legali, ecc.
Non mi soffermo, in questa sede, per stabilire o esprimere un parere sull’etichetta, sulla figura da attribuire a questo o quel soggetto che si rapporta con il Titolare, la società XY Spa. Resto nella semplice convinzione che questi soggetti non possono essere Titolari autonomi rispetto a XY Spa in presenza di una relazione … e nemmeno Titolari.
La loro esistenza, infatti, è strettamente collegata alla relazione imposta dalle differenti disposizioni di legge nei confronti del Titolare XY Spa.
Il medico competente, il Collegio sindacale, l’Organismo di Vigilanza, e così via, ci sono esclusivamente in funzione della relazione con il Titolare; non hanno una propria ed indipendente identità.
In presenza di siffatto legame faccio molta fatica a riconoscere una qualsiasi autonoma titolarità.
Inoltre, il § “10.” dell’art. 28/679/2016, recita: <<Fatti salvi gli articoli 82, 83 e 84, se un responsabile del trattamento viola il presente regolamento, determinando le finalità e i mezzi del trattamento, è considerato un titolare del trattamento in questione>>.
Il disposto normativo in discorso, pone in essere 2 possibili situazioni. La prima è quella per cui:
assumo, come premessa, il fatto che già mi rivolgo ad un responsabile in quanto a lui ricorro per un trattamento, per mio conto, di dati personali. Dati:
– di cui io, come Titolare, determino le finalità ed i mezzi di trattamento,
– per il cui trattamento il Responsabile è tenuto all’osservanza dei requisiti ex art. 28;
se il Responsabile viola il presente regolamento assumendo, a dispetto delle mie istruzioni documentate, una posizione di autodeterminazione delle finalità e dei mezzi di trattamento, allora, per il trattamento in questione, cioè per il trattamento per il quale l’ho designato, assume le responsabilità di Titolare alla stessa stregua per cui il Responsabile è Titolare dei propri trattamenti.
La seconda ipotesi è quella per cui il responsabile (fornitore) che si sottrae alla sottoscrizione della nomina da parte del Titolare (cliente) diventa, a sua volta, Titolare [ex art. 4, § 1 punto 7)] per il trattamento dei dati effettuato per conto del cliente.
Così è, per esempio, per i professionisti iscritti a Ordini e Collegi o per i consulenti informatici che, pur trattando a vario titolo i dati personali riconducibili al Titolare, si considerano dei Titolari autonomi (???).
Ne consegue, per quanto sopra, che anche qui siamo ben lontani dal poter parlare di Titolare autonomo.
Ah, un’altra cosa. Si badi bene che quando parlo di determinazione di finalità e mezzi di trattamento il contesto è quello della protezione dei dati personali senza riferimento alcuno alla libertà organizzativa del proprio lavoro da parte del professionista.
Categorie Colaianni, colaianni consulting, Collegio sindacale, comitato di sorveglianza, Comitato per il Controlllo Interno, Consulente, Consulenza, corporate privacy, Data Protection Officer, DP Auditor, DPO, GDPR, Gestione del rischio, ISDP 10003:2018 Scheme, Manager privacy, Marcello, Marcello Colaianni, MC, medico competente, normativa cogente, normativa volontaria, OdV, Organismo di Vigilanza, Organizzazione, persone, Privacy, Rappresentante, Reg. UE 679/2016, Regolamento UE, Relazione, Responsabile della Protezione dei Dati, Risk manager, Risk Mgmt, RPD, RTDP, Valutatore Privacy
Il Medico competente: Responsabile del trattamento o Contitolare?
Pubblicato 12 febbraio 2019 18 luglio 2019 da marcellocolaianni62
Il recente chiarimento del Garante Privacy che sancisce che i Consulenti del lavoro – “nonché coloro che siano iscritti negli albi degli avvocati […], dei dottori commercialisti, dei ragionieri e periti commerciali” (v. legge n. 12/1979 cit.)” – sono da considerarsi Responsabili del trattamento, mi fa riflettere circa la figura del medico competente prevista dal D. Lgs. 81/08 e smi.
Siamo in presenza di un mandato con cui il Datore di lavoro (e il dirigente) nomina il medico competente per l’effettuazione della sorveglianza sanitaria.
Appare chiaro che il medico competente sussiste in quanto a lui l’Organizzazione ricorre per l’effettuazione di trattamenti per proprio conto annoverandosi, così, fra i Responsabili del trattamento ex art. 28/679/2016.
Occorre ricordare, però, che l’elemento fondante del regolamento è la protezione delle persone fisiche con riguardo al trattamento dei dati personali e non la sussistenza di un rapporto contrattuale, o altro atto giuridico, fra le parti. Ciò che prevale, nella corretta attribuzione dei ruoli in ambito data protection, è l’oggetto del trattamento, nella fattispecie, il dato particolare.
Sebbene il medico competente sia in azienda a svolgere i propri compiti in quanto nominato dal Titolare, prevale il fatto che questi non si limita a raccogliere i dati personali dei dipendenti che gli sono stati forniti bensì che estrae (in occasione delle visite mediche), organizza e struttura dati relativi alla salute. Il medico competente effettua trattamenti di dati necessari per finalità di medicina del lavoro, per la valutazione della capacità lavorativa del dipendenti. E questi sono dati che il Titolare non è legittimato a trattare.
Il medico competente tratta questi dati non per conto del Titolare ma per disposizione legislativa.
Il rapporto contrattuale con il Titolare e l’esclusiva nel trattamento di dati particolari in capo al medico competente consente allora di identificare quest’ultimo contitolare ex art. 26/679/2016. Siamo in presenza di Contitolari che determinano congiuntamente le finalità e i mezzi del trattamento. Essi determinano in modo trasparente, mediante un accordo interno, le rispettive responsabilità in merito all’osservanza degli obblighi derivanti dal regolamento con particolare riguardo all’esercizio dei diritti dell’interessato. Accordo di cui l’interessato deve essere debitamente edotto.
E quando il medico competente è un dipendente del datore di lavoro? È un Responsabile? No. È sempre un contitolare.
Sebbene i dipendenti rientrino ragionevolmente nella definizione di persone autorizzate di cui all’art. 29/679 in quanto agiscono sotto l’autorità del Titolare del trattamento, il medico competente non effettua il trattamento dei dati particolari sotto l’autorità del Titolare bensì in ottemperanza alle specifiche disposizioni di legge che ne disciplinano il ruolo e i compiti.
Il medico competente tratta dati personali particolari in quanto lo richiede il diritto dello Stato membro e non il Titolare.
Se quella sopra enunciata è la prospettiva da prendere in considerazione c’è da chiedersi quanto ne siano a conoscenza, i medici competenti.
In termini di responsabilità non cambia molto, rispetto al ruolo di Responsabile, vigendo il disposto ex art. 82/679. Rispetto al ruolo di persona autorizzata, però, si; eccome!
C’è poi il fatto che il medico competente, quale contitolare e con riferimento esclusivo alle sue finalità e i mezzi del trattamento, deve essere pronto all’interazione diretta con gli interessati e rispondere ai diritti che questi volessero esercitare nei suoi confronti.
Nulla di nuovo rispetto al Responsabile, ma per il resto?
Certified DPO UNI11697
Certified Privacy Auditor UNI11697
Certified DP Auditor ISDP10003 Scheme
Categorie 22301, Auditor, colaianni consulting, Consulente, Consulenza, corporate privacy, D. Lgs. 196/03 e smi, Data Protection Officer, DP Auditor, DPO, GDPR, Marcello Colaianni, MC, medico competente, normativa cogente, Organizzazione, Privacy, Reg. UE 679/2016, Regolamento UE, Responsabile della Protezione dei Dati, rspp, Sicurezza sul lavoro, SPP, Valutatore Privacy•Tags 22301, 81/08, Auditor, Colaianni consulting, Consulente, Consulenza, corporate privacy, D. Lgs. 196/03, Data Protection Officer, DPO, GDPR, Marcello Colaianni, Marcelo Colaianni, MC, medico competente, normativa cogente, Organizzazione, Privacy, Reg. UE 679/2016, Regolamento UE, Responsabile della Protezione dei Dati, rspp, sicurezza sul lavoro, spp, Valutatore Privacy
Categorie Seleziona una categoria 14001 17021 17065 18001 20000-1 22301 231 27001 27018 81/08 e smi 9001 9004 accademia Affiatamento aggregazioni laicali Amministratore Amore Amplesso anticorruzione ASPP Assemblea attività pericolosa Auditor Autostima bene Benessere Buddismo Zen Business Coach Business Coaching Business school Chiesa cattolica Coach Coaching coaching coaching team Codice dell’Amministrazione Digitale Colaianni colaianni consulting Collegio sindacale comitato di sorveglianza Comitato per il Controlllo Interno Concentrazione confederazioni sindacali Consulente Consulenza Coppia Corpi corporate Corporate Coach corporate privacy Corruzione Culpa in eligendo culpa in vigilando cuore D. Lgs. 152/2006 D. Lgs. 196/03 e smi D. Lgs. 235/2012 D. Lgs. 33/2012 D. Lgs. 38/2017 D. Lgs. 39/2013 D. Lgs. 82/2005 Data Privacy Officer Data Protection Officer Digital Preservation Officer DP Auditor DPCM 3/XII/2013 DPO DPR 62/2013 enti enti di formazione enti ecclesiastici Executive coaching Facilitatore fedeli Formatore Formazione GDPR Gestione Gestione del rischio gruppo di imprese gusto Holding igiene IMPRESA Inclusione ISDP 10003:2018 Scheme L 134/2012 L. 179/2017 l. 190/2012 L. 21 dicembre 2018 n. 171 lavoro Legge federale della Protezione dei Dati Life Coach Life Coach Life Coaching LPD Manager privacy Marcello Marcello Colaianni Marcello Colaianni Coach MC medico competente Meditazione Mentore Mentoring Mindfulness MOG normativa cogente normativa volontaria OdV olfatto onere della prova Organigramma aziendale Organigramma per la data protection Organigramma per la privacy Organismo di Vigilanza Organizzazione Organizzazione religiosa Orgasmo Outplacement outsourcing partiti partito Partnership coaching pelle Personal Coach Personal Coaching Personal coaching persone persone dei fedeli Positività positivo priorità Privacy Qualità Rappresentante Rappresentanti reati 231 Reg. EIdAS 910/2014 Reg. UE 679/2016 Regolamento UE Relazione Relazione amorosa Relazione sessuale Resilienza Respirazione consapevole Responsabile della Protezione dei Dati RESPONSABILITA’ SOCIALE ricerca di lavoro Risk manager Risk Mgmt RPD rspp RSU RTDP SA8000 Safety Coach salute sapore SCI scuola scuola privata scuola pubblica scuole scuole di direzione aziandale selezione Sensi Sensualità Senza categoria servizio di prevenzione e protezione Sesso Sessualità sicurezza delle informazioni Sicurezza sul lavoro sindacati sistemi di controllo interno Sistemista Somministrazione di lavoro Specialista privacy Spettacolare SPP Stupefacente Team Coach Team coaching Titolare Trainer udito UNI EN ISO 45001 UNI ISO 26000 UNI ISO 31000 UNI ISO 37001 università Valutatore Privacy vista Yoga Zen
Archivi Seleziona mese ottobre 2019 settembre 2019 luglio 2019 giugno 2019 Mag 2019 marzo 2019 febbraio 2019 dicembre 2018 novembre 2018 ottobre 2018 settembre 2018 agosto 2018 luglio 2018 giugno 2018 febbraio 2018 gennaio 2018 dicembre 2017 novembre 2017 ottobre 2017 agosto 2017 luglio 2017 giugno 2017 Mag 2017 aprile 2017 marzo 2017 febbraio 2017 gennaio 2017 novembre 2016 giugno 2016 aprile 2016 novembre 2015 ottobre 2015 settembre 2015 agosto 2015 Mag 2015 marzo 2015 gennaio 2015 novembre 2014 settembre 2013 ottobre 2012 settembre 2012
Il DPO fra attività di consulenza e compiti di sorveglianza 18 luglio 2019
Titolare del trattamento, Titolare autonomo e Titolare indipendente. Chi più ne ha più ne metta. 17 luglio 2019
L’istituto della Certificazione in Svizzera alla luce del GDPR e della Legge federale sulla protezione dei dati (LPD). 19 giugno 2019