Source: https://www.lexology.com/library/detail.aspx?g=2bc6ec79-9864-4713-b648-4858b923aa7c
Timestamp: 2018-09-21 16:05:15+00:00
Document Index: 5057513

Matched Legal Cases: ['art. 30', 'art. 37', 'art. 38', 'art. 38', 'art. 33', 'art. 38']

Il garante privacy da' indicazioni per la nomina del dpo - Lexology
Il garante privacy da' indicazioni per la nomina del dpo
Italy January 17 2018
A poco meno di 5 mesi per la piena implementazione del nuovo Reg. 2106/679 sulla data protection, ASL ed ospedali hanno cominciato a muovere i primi passi: in particolare la compilazione del Registro del Trattamenti (art. 30) e la nomina del Responsabile della Protezione dei Dati - RPD (meglio noto con l’acronimo DPO - Data Protection Officer) (art. 37). Quest’ultimo è, tra l’altro, uno dei punti più controversi dell’implementazione del nuovo reg. UE 2016/679.
Si tratta infatti di una sorta di “poliziotto buono” - designato dal Titolare e Responsabile in alcuni casi specifici (ma sempre obbligatorio per strutture sanitarie pubbliche e private), con il compito di assistere e vigilare internamente sul trattamento dei dati, interfacciandosi altresì all’esterno in via diretta con tutte le autorità di controllo. Chiaro quindi che si tratta di una figura chiave (e totalmente nuova in questa funzione) sulla quale tutti i titolari - sia pubblici che privati - si stanno interrogando. Anche perchè la nomina - obbligatoria entro il 25 maggio 2018 - sarebbe comunque opportuna già da ora in fase di implementazione del Regolamento.
Qui una sintesi delle domande e relative risposte del Garante che appaiono rilevanti per l’area sanitaria (In allegato alle FAQ anche alcuni modelli operativi sotto richiamati).
a) Nel caso in cui il RPD sia un dipendente dell'autorità pubblica o dell'organismo pubblico, quale qualifica deve avere?
Occorre in primo luogo valutare se il ruolo del RPD sia compatibile o meno con le mansioni svolte in qualità di dipendente. Il Garante ricorda infatti che
il RPD non deve ricevere alcuna istruzione circa l’esecuzione dei suoi compiti (art. 38, par. 3)
deve poter agire in maniera indipendente (considerando 97)
riferisce sempre al vertice gerarchico (art. 38, par. 3): tale rapporto diretto garantisce, in particolare, che il vertice amministrativo venga a conoscenza delle indicazioni e delle raccomandazioni fornite dal RPD nell'esercizio delle funzioni di informazione e consulenza a favore del titolare o del responsabile.
b) Quali certificazioni risultano idonee a legittimare il RPD nell'esercizio delle sue funzioni, ai sensi degli artt. 42 e 43 del RGPD?
Il RPD è una "professione non regolamentata”: quindi le eventuali certificazioni che lo stesso possa vantare pur rappresentando un valido strumento ai fini della verifica del possesso di un livello minimo di conoscenza della disciplina, tuttavia non sono una "abilitazione" allo svolgimento del ruolo di RPD
se il RPD è interno occorre un apposito atto di designazione a "Responsabile per la protezione dei dati".
se il RPD è un soggetto esterno all'ente, la designazione sarà parte del contratto di servizi che regola il rapporto (per agevolare gli enti, in allegato alle Faq, è riportato uno schema di atto di designazione).
Nell’ipotesi di attività di team o di incarico ad una società, occorre comunque che sia individuato in maniera inequivocabile un soggetto che specificamente opererà come RPD, riportandone espressamente le generalità. E’ poi necessario che nell'atto di designazione o nel contratto di servizi risultino indicate, seppur succintamente, le motivazioni che hanno indotto l'ente a scegliere quel soggetto per svolgere la funzione di RPD. In sostanza occorre motivare la scelta.
Individuato il RPD occorre
comunicare il nominato al Garante per agevolare i contatti con l'Autorità (anche in questo caso, in allegato alle Faq, è riportato un modello di comunicazione al Garante).
indicarlo nella nell'informativa fornita agli interessati,
pubblicare il nominativo sul sito web nella sezione "amministrazione trasparente", oltre che nella sezione "privacy" eventualmente già presente.
comunicare il nominativo agli interessati in caso di violazione dei dati personali (art. 33, par. 3, lett. b)(7).
Ne discende che, in relazione alla complessità (amministrativa e tecnologica) dei trattamenti e dell'organizzazione, occorrerà valutare attentamente se una sola persona possa essere sufficiente a svolgere il complesso dei compiti affidati al RPD oppure se lo stesso necessità di supporti interno o esterni. All'esito di questa analisi si potrà valutare quindi l'opportunità/necessità di istituire un apposito ufficio al quale destinare le risorse necessarie allo svolgimento dei compiti stabiliti. Resta sempre l’obbligo di individuare la persona fisica che riveste il ruolo di RPD.
Nessun problema ad identificare figure di supporto, con riferimento a settori o ambiti territoriali diversi, a patto che facciano però riferimento a un unico RPD. L’art. 38 permette di assegnare al RPD ulteriori compiti e funzioni.
A due condizioni , a patto che
Sul questo punto il Garante ritiene che l’affidamento di ulteriori compiti non sia opportuno per soggetti i molto complessi per attività e dimensione (es ospedali di ampie dimensioni). A titolo di esempio il Garante precisa che il Responsabile per la prevenzione della corruzione e per la trasparenza, vista la rilevante mole di lavoro, non dovrebbe essere nominato RPD in quanto l’eccessivo cumulo di lavoro potrebbe essere tale da incidere negativamente sull'effettività dello svolgimento dei compiti che il Regolamento attribuisce al RPD.
Anche nell’ipotesi di RPD esterno occorre verificare che lo stesso non svolga ulteriori compiti che comportino situazioni di conflitto di interesse oppure non essere in grado di adempiere in modo efficiente alle sue funzioni. In questi casi, nell'atto di designazione o nel contratto di servizio, il RPD dovrà fornire opportune garanzie per favorire la correttezza nei rapporti e prevenire conflitti di interesse.
Dal garante privacy: ecco come applicare il nuovo regolamento UE * - European Union