Source: https://webdimension.it/internet-roma/protezione-e-privacy/applicazione-assurda-gdpr.php
Timestamp: 2020-07-03 23:17:08+00:00
Document Index: 111434635

Matched Legal Cases: ['art. 28', 'art. 29', 'art. 2', 'art. 29', 'art. 2', 'art. 29', 'art. 2', 'art. 2', 'art. 28', 'art. 25', 'art. 32', 'art. 28']

L'applicazione assurda del Gdpr Webdimension | Webdimension Roma
L'applicazione assurda del Gdpr
Le nomine dei Responsabili del trattamento da parte dei Titolari seguono percorsi che sembrano ispirati al teatro dell’assurdo
Proviamo a fare ordine e a sfatare certe logiche legate alla normativa precedente che invece il legislatore europeo richiede di superare.
Com’è noto, il Regolamento 2016/679/UE all’art. 28 ha delineato la qualifica di Responsabile unicamente in capo a un soggetto esterno all’organizzazione del Titolare, generando inizialmente non pochi dubbi sulle sorti della figura del “Responsabile interno” largamente diffusa in molte realtà in vigenza della precedente versione del D.Lgs. n. 196/2003, la cui formulazione dell’art. 29 – divenuta incompatibile con il GDPR – ammetteva, invece, che la posizione del Responsabile potesse essere interna o esterna all’organizzazione del Titolare, ovviamente per rispondere ad esigenze organizzative diverse nel trattamento dei dati personali. Nella versione modificata dal D.Lgs. n. 101/2018, diversamente, il Codice in materia di protezione dei dati personali sembra nuovamente prevedere figure sostanzialmente simili a quelle finora conosciute come Responsabili interni, in particolare all’art. 2-quaterdecies, comma 1, dove si specifica che il Titolare o il Responsabile del trattamento “possono” prevedere, sotto la propria responsabilità e nell’ambito del proprio assetto organizzativo, che specifici compiti e funzioni connessi al trattamento dei dati personali siano attribuiti a “persone fisiche, espressamente designate, che operano sotto la loro autorità”. A tali soggetti designati, dunque, sembrano potersi attribuire “specifici compiti e funzioni” (anche di coordinamento o gestione delle attività relative al trattamento dei dati personali) ulteriori rispetto alle “istruzioni” che devono – obbligatoriamente – essere impartite agli autorizzati al trattamento, di cui all’art. 29 del GDPR.La finalità della disposizione di cui al comma 1 del citato art. 2-quaterdecies appare, dunque, quella di fornire un’espressa base normativa per quelle figure di responsabilità e di coordinamento interne all’organizzazione del Titolare o del Responsabile, che “possono” essere individuate tramite apposita designazione. Resta inteso, ad ogni modo, che tutti i soggetti che operano sotto l’autorità diretta del Titolare o del Responsabile e che svolgono attività di trattamento, devono essere, necessariamente, autorizzati e istruiti, sulla scorta dell’art. 29 del GDPR, restando al Titolare o al Responsabile la sola facoltà di decidere le modalità più opportune per formalizzare tale autorizzazione e impartire le relative istruzioni al trattamento, come emerge dalla formulazione letterale del secondo comma dell’art. 2-quaterdecies del D.Lgs. n. 196/2003. Di fatto questi commi 1 e 2 dell’art. 2-quaterdecies sembrano ricalcare in modo più sintetico la ratio degli ormai abrogati articoli 29 e 30 del Codice della protezione dei dati personali dedicati rispettivamente ai responsabili e agli incaricati del trattamento dei dati personali.
Si veda quanto sostenuto nel documento del Consiglio Nazionale Forense “Il GDPR e l’Avvocato”, p. 14, elaborato dalla commissione del CNF in materia di privacy e disponibile all’indirizzo https://www.consiglionazionaleforense.it/documents/20182/445621/IL+GDPR+E+L%27AVVOCATO/ef231b75-2066-43df-8d88-570bf0ea98b3.
È quanto si legge nel documento del Ministero dell’Istruzione, dell’Università e della Ricerca dell’agosto 2018, “Esempio di compilazione del Registro delle attività di trattamento per le Istituzioni Scolastiche. Nota metodologica” al par. 4, pag. 5, dove si specifica che “in particolare nel caso in cui l’Istituzione scolastica utilizzi le funzioni del portale SIDI, il MIUR si pone come responsabile esterno del trattamento ln quanto autorità pubblica che attraverso l’applicativo messo a disposizione tratta dati personali per conto del titolare del trattamento che è in via esclusiva l’istituzione scolastica”. In merito, risulta sicuramente arduo immaginare come una singola Istituzione scolastica possa, ad esempio, esercitare nei confronti del MIUR quei poteri di controllo che l’art. 28, par. 3, lett. h), del GDPR assegna al Titolare nei confronti del Responsabile del trattamento.
E molto spesso sembra confondersi, come precisato più avanti, il servizio sviluppato da un fornitore “per conto” di un committente con il trattamento dei dati personali che non è sempre ancillare o correlato allo sviluppo dello stesso servizio, anzi è spesso totalmente autonomo nella determinazione delle sue finalità.
Più precisamente, mentre all’art. 25 del GDPR si menziona l’ambito di applicazione, l’incipit dell’art. 32 fa riferimento all’oggetto del trattamento.
Si veda l’art. 28, par. 10 del Regolamento 2016/679/UE.
Personaggio di cui, nell’omonima opera di Beckett, ogni giorno viene inesorabilmente annunciato l’arrivo per il giorno successivo.
Aenda Digitale