Source: https://www.agendadigitale.eu/sicurezza/nomina-del-data-protection-officer-le-peggiori-pratiche-che-abbiamo-visto/
Timestamp: 2018-09-20 13:38:51+00:00
Document Index: 107102577

Matched Legal Cases: ['art. 288', 'art. 31', 'art. 37', 'art. 39', 'art. 38', 'art. 38']

Nomina del Data Protection Officer, le peggiori pratiche che abbiamo visto | Agenda Digitale
L’individuazione e la nomina del DPO sono considerati gli adempimenti più gravosi tra quelli introdotti dal GDPR, soprattutto se svolti in tutta fretta e in un’ottica di mero adempimento formale. Ecco gli errori più comuni e le indicazioni dei Garanti privacy per evitare di incorrere in problemi e sanzioni
Vediamo alcuni degli errori più frequenti commessi all’atto della individuazione e successiva nomina del Responsabile della Protezione dei Dati personali (RPD, nell’acronimo italiano, o DPO, “data protection officer”, nella versione inglese).
GDPR, quella falsa illusione di un rinvio in extremis
Diciamocelo chiaramente: in un’Italia ormai assuefatta alle proroghe dell’ultimo secondo, si è sperato (almeno fino al 25 maggio) in un rinvio in extremis degli adempimenti e delle novità introdotte dal GDPR (o quantomeno delle conseguenze sanzionatorie previste). Insomma, ci si attendeva una sorta di indulgenza. Tuttavia, da più parti si è evidenziato che per il GDPR nessuna indulgenza sarebbe plausibile, posto che il Regolamento è self-executing (art. 288 TFUE) e il tempo a disposizione, per adeguarsi al cambiamento, era di ben due anni (sin dal 2016, anno di entrata in vigore del GDPR).
Dal punto di vista dell’armonizzazione dell’Ordinamento interno si è assistito allo stesso fenomeno: solo nell’ottobre del 2017 arriva la legge-delega (L. 163/17); la delega sarebbe scaduta il 21 maggio 2018 e si è cercato in modo spasmodico un modo per posticipare l’approvazione del decreto legislativo delegato. Lo strumento per posticipare di tre mesi (al 21 agosto 2018) l’approvazione del decreto legislativo viene individuato nella legge 234/2012 (art. 31, terzo comma): peccato che la norma in questione faccia riferimento alle direttive e non ai regolamenti europei. Ma tant’è.
Quindi, sostanzialmente, è solo dai primi mesi del 2018 che, in Italia, in tanti (Amministrazioni e soggetti privati) entrano in fibrillazione da Bianconiglio per gli adempimenti con scadenza al 25 maggio.
E l’adempimento che, più di tutti, era sentito come impellente e gravoso era, appunto, quello della nomina del Data Protection Officer.
Ma la fretta, si sa, è spesso cattiva consigliera e le cose non sono (sempre) andate nel migliore dei modi.
Ecco, quindi, gli errori più comuni commessi nel processo di individuazione e nomina del DPO
La individuazione e successiva nomina del DPO, pertanto, non può (e non deve) essere intesa quale mero adempimento formale. La scelta, infatti, deve ricadere su un soggetto che sia effettivamente dotato delle qualità professionali imposte dall’art. 37 del GDPR e, in particolare, “della conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati, e della capacità di assolvere i compiti di cui all’articolo 39”. Questa norma – così come le linee-guida stilate dall’Article 29 WG (attualmente Comitato Europeo per la Protezione dei Dati) sul tema del data protection officer e pur in assenza di una specifica esperienza in tal senso – è stata spesso completamente ignorata tanto che, in numerose ipotesi, nella nomina del DPO ci si è concentrati sul risparmio di spesa piuttosto che sulla verifica di una conoscenza specialistica della normativa e delle prassi sulla protezione dei dati e sulla capacità di assolvere i compiti di cui all’art. 39. E ciò è ancor più grave se si consideri che la specifica esperienza deve sussistere non solo all’atto della nomina ma deve proseguire per tutto il periodo dell’incarico (tanto che il GDPR, all’art. 38, prevede che debbano essere fornite al DPO le risorse necessarie per mantenere la propria conoscenza specialistica).
Ed è proprio quest’ultima situazione – ossia la omessa verifica di assenza di conflitti di interesse per i compiti e le funzioni svolte dal DPO – che, nella pratica, si verifica più spesso, contravvenendo così al dettato dell’art. 38, par. 6, del GDPR. In base a tale ultima norma, infatti, il titolare del trattamento o il responsabile del trattamento devono assicurarsi (non solo in fase di individuazione e nomina del DPO ma durante tutta la sua attività) che gli altri compiti e funzioni eventualmente svolti da chi è nominato come DPO non diano adito a un conflitto di interessi. Volendo ulteriormente esplicitare il concetto di “conflitto di interessi” occorre, cioè, che i compiti eventualmente svolti dal DPO non siano direttamente confliggenti con la protezione dei dati per conto del Titolare o del Responsabile. Uno dei primi elementi che porterebbero ad una situazione di conflitto di interessi consisterebbe proprio nel fatto che il DPO possa trovarsi a dover controllare delle situazioni da lui stesso determinate: quelle situazioni in cui, cioè, si trovi, allo stesso tempo, ad essere controllore e controllato. Anche queste situazioni di conflitto di interesse sono in grado di rendere sostanzialmente inefficace l’attività del DPO.
Alle medesime conclusioni, d’altronde, si giungerebbe prendendo a riferimento le figure che possiamo considerare omologhe al DPO (in quanto gli impianti normativi che li prevedono si occupano, allo stesso modo del GDPR, della prevenzione di un rischio) ossia (tra le tante) quella del Responsabile per la Prevenzione della Corruzione e Trasparenza (RPCT) nella disciplina anticorruzione o, ancora, dell’Organismo di Vigilanza (OdV) del D.Lgs. 231/2001. Con riferimento, infatti, ad un’ipotesi relativa alla posizione dell’OdV hanno avuto modo di pronunciarsi le Sezioni unite della Cassazione penale (sent. 38343/2014) statuendo che “la composizione dell’organismo di vigilanza è essenziale perché il modello possa ritenersi efficacemente attuato. Esso deve essere dotato di autonomi poteri di iniziativa e controllo. Ciò significa che deve sempre essere garantita l’autonomia dell’iniziativa di controllo da ogni forma di interferenza o di condizionamento […] Pertanto, le verifiche avrebbero riguardato l’operato di un dirigente chiamato ad essere il giudice di sé stesso e dotato di poteri disciplinari. L’accettazione di tale conflitto di interessi di cui si rese conto lo stesso ing. Tizio denota la propensione verso la configurazione del modello dell’organo di controllo in termini burocratici e di facciata e non di effettiva prevenzione dei reati”.
In una situazione governata dalla relativa novità e dall’incertezza derivante dalla mancata pubblicazione del decreto legislativo di armonizzazione delegato dalla L. 163/2017 (decreto che peraltro poco o nulla potrà incidere sugli artt. 37 e ss. del GDPR), può comprendersi che non siano rari i casi in cui la nomina del DPO non sia stata perfettamente aderente allo spirito e ai principi del GDPR o alle linee-guida del Garante o dell’Art29 WP. Ciò nonostante ritengo che l’opera informativa del Garante e, in seguito, i suoi provvedimenti (anche sanzionatori) relativi alle nomine illegittime, condurranno a una “normalizzazione” applicativa e a un sempre più rigoroso stato di applicazione delle norme e dei principi a tutela degli interessi fondamentali.
di Giuseppe Vaciago e Stefano Leucci