Negli ultimi mesi il ruolo del Responsabile per la protezione dei dati (di seguito “RPD” o “DPO”) è stato oggetto dell’attenzione sia dell’EDPB, tramite l’avvio a marzo dell’azione coordinata sul ruolo e la posizione dei DPO, sia del Garante italiano.
Quest’ultimo ha comunicato[1] di aver avviato un’indagine nei confronti di grandi Enti locali per verificare il rispetto dell’obbligo di comunicazione dei dati di contatto del DPO.
PA senza DPO, ora basta: scattano i controlli del Garante Privacy
Indice degli argomenti
L’importanza del DPO. Il contesto generale
In breve, le indicazioni del Garante ribadiscono l’importanza del ruolo del DPO, il quale ha anche la funzione di punto di contatto tra il titolare del trattamento e l’Autorità stessa. Pertanto, è necessario che quest’ultima sia messa nella condizione di poter raggiungere facilmente il DPO degli Enti pubblici.
Non è la prima volta che il Garante pone al centro dell’attenzione l’importanza della tempestiva e corretta comunicazione dei dati di contatto del DPO.
Già nel “Documento di indirizzo su designazione, posizione e compiti del Responsabile della protezione dei dati in ambito pubblico”[2], l’Autorità ha evidenziato l’importanza di essere aggiornata dal Titolare anche in caso di modifica dei dati o di sostituzione del soggetto designato.
Infatti, la presenza di dati non esatti o non aggiornati presso l’Autorità potrebbe comportare l’inoltro di comunicazioni a soggetti che non sono (o non sono più) RPD, mettendoli in questo modo (impropriamente) a parte di informazioni riservate connesse all’esercizio delle funzioni istituzionali.
La comunicazione del Garante offre lo spunto per affrontare le problematiche principali legate alla figura del DPO in ambito pubblico e per provare a proporre delle soluzioni che siano in linea con la normativa, con le indicazioni fornite dalle Autorità[3] e che tengano in considerazione le peculiarità della pubblica amministrazione.
Il ruolo del Responsabile della protezione dei dati nel pubblico
L’art.37 del GDPR pone l’obbligo di nominare un DPO se «il trattamento è effettuato da un’autorità pubblica o da un organismo pubblico, eccettuate le autorità giurisdizionali quando esercitano le loro funzioni giurisdizionali».
L’attenzione posta nell’ultimo periodo sia dal Garante sia dal Board delle Autorità europee è comprensibile alla luce dell’importanza del ruolo del DPO. Infatti, in un contesto sempre più complesso come quello attuale, il DPO deve poter essere un valido punto di riferimento per il Titolare, per gli interessati e per l’Autorità.
Pertanto, non si può pensare di limitarsi a un mero adempimento formale, bensì è necessario un cambio di prospettiva per poter creare le basi culturali affinché una competenza così delicata sia allocata a soggetti professionalmente pronti e preparati. Infatti, un DPO competente è una risorsa importante e può aggiungere valore all’operato dell’Ente.
Servizi cloud PA, ecco le linee guida EDPB per la conformità privacy: quale lezione
Possibili soluzioni
Affinché il ruolo sia svolto nel rispetto della normativa, tenendo in considerazione anche le indicazioni del Garante nel “Documento di indirizzo su designazione, posizione e compiti del Responsabile della protezione dei dati (RPD) in ambito pubblico” (sopra richiamato), è necessario che il DPO:
- presenti un profilo professionale e delle competenze ed esperienze idonee al ruolo e alla complessità dell’Ente. Non è pensabile, infatti, che sia incaricato un soggetto privo di competenze adeguate. Sul punto, l’Autorità ha affermato che al fine di valutare le qualità professionali e specialistiche del soggetto a cui affidare l’incarico, l’ente deve tenere in considerazione: la complessità dei trattamenti, la quantità e qualità dei dati trattati, l’esistenza di trasferimenti di dati fuori dall’Unione europea, la conoscenza della normativa e delle prassi europee in materia di protezione dei dati personali, la conoscenza delle norme e delle procedure amministrative;
- sia in grado di svolgere la propria funzione con il giusto commitment. In particolare, il DPO deve essere messo nella condizione di dialogare con i vertici affinché le sue indicazioni possano tradursi in un intervento concreto laddove sia necessario;
- sia dotato di adeguate risorse economiche. Se interno, il DPO dovrebbe essere messo nella condizione di poter fare affidamento su risorse economiche adeguate allo svolgimento del proprio compito e, se necessario, disporre di un team. Rispetto alla possibilità di nominare un DPO esterno, il Garante ha già rilevato in passato che, in molti casi, i bandi di gara per l’affidamento dell’incarico di DPO prevedevano compensi molto bassi. Il Garante ha, pertanto, evidenziato che un eccessivo ribasso può comportare un duplice effetto negativo: a) consentire l’aggiudicazione in favore di soggetti che non abbiano una formazione specifica e idonea; b) spingere i DPO ad accumulare un elevato numero di incarichi.
Sulla base di quanto sopra evidenziato, laddove non sia possibile reperire all’interno dell’Ente dei soggetti con le caratteristiche idonee a ricoprire un ruolo delicato come quello DPO, non è da escludere la possibilità di rivolgersi al mercato per affidare l’incarico ad un soggetto esterno.
Il Garante ha evidenziato che quando l’ente si rivolge ad un soggetto esterno è necessario che sia individuata, in maniera inequivocabile, la persona fisica o giuridica che opererà come DPO e dovrà essere giustificata la scelta per consentire la verifica del rispetto dei requisiti di cui all’art. 37, paragrafo 5, del GDPR[4].
Considerata la limitazione delle risorse economiche che spesso gli enti locali si trovano a disposizione, un ultimo aspetto a cui prestare particolare attenzione riguarda la possibilità per gruppi di enti locali di limitate dimensioni di nominare un unico DPO.
L’art. 37, paragrafo 3, del GDPR dispone che «qualora il titolare del trattamento o il responsabile del trattamento sia un’autorità pubblica o un organismo pubblico, un unico responsabile della protezione dei dati può essere designato per più autorità pubbliche o organismi pubblici, tenuto conto della loro struttura organizzativa e dimensione».
Sul punto si è espressa anche l’Autorità affermando che la disposizione citata ammette la possibilità per gli enti pubblici con struttura organizzativa e dimensioni limitate, i quali hanno altresì limitate risorse economiche, di dotarsi di un unico DPO; in ogni caso, il DPO incaricato da più titolari deve necessariamente tenere conto della possibilità di prestare il necessario supporto a ognuno di essi.
Scopriamo i master dove imparare a difendere i dati personali
Conclusioni
Sulla base delle indicazioni già fornite dal Garante, è importante per gli enti locali tenere in considerazione, nella scelta del DPO, i requisiti sopra individuati.
Ciò non solo al fine di evitare eventuali sanzioni da parte dell’Autorità ma anche per poter avviare un processo che porti ad una maggior consapevolezza in materia di protezione dei dati personali, che consenta di svolgere con maggiore serenità i compiti affidati all’ente in un contesto che vede crescere l’importanza dei dati personali anche all’interno della pubblica amministrazione.
Quello del DPO è un ruolo chiave nell’impianto normativo e deve essere svolto nel rispetto delle indicazioni del Garante.
Infatti, la recente comunicazione relativa alla verifica del rispetto dell’obbligo di comunicazione dei dati di contatto riguarda solo uno degli aspetti da considerare (l’ultimo in ordine cronologico) nel processo di nomina del DPO.
NOTE
Newsletter 26/05/23 – Enti locali: indagine del Garante Privacy sui Responsabili protezione dati, qui. ↑
Documento di indirizzo su designazione, posizione e compiti del Responsabile della protezione dei dati (RPD) in ambito pubblico, Documento allegato al provvedimento del 29 aprile 2021 n. 186. ↑
Cfr. anche WP 29 “Linee guida sui responsabili della protezione dei dati”, Versione emendata e adottata in data 5 aprile 2017 e Faq del Garante sul Responsabile della Protezione dei dati (RPD) in ambito pubblico. ↑
In particolare, il Garante afferma che «gli enti pubblici, nel momento in cui decidono di affidare l’incarico di RPD a un soggetto esterno alla propria struttura, al fine di prevenire la possibilità di ricevere una assistenza inadeguata, dovrebbero poter tenere in considerazione, ad esempio, i seguenti elementi: a) il numero di incarichi già ricoperti dalla società o dal professionista al quale si intende affidare l’incarico; b) l’eventuale specializzazione in ragione delle particolari tipologie di trattamenti effettuati dai soggetti per i quali tale soggetto svolge il ruolo di RPD (ad esempio, il fatto che si tratti prevalentemente di Comuni, o di Istituti scolastici, o di Aziende sanitarie, o di società commerciali, ecc.); c) in caso di società, la disponibilità di adeguate risorse a sostegno del referente persona fisica, compresa la possibilità di ricorrere, se del caso, a collaboratori in possesso di particolari competenze». ↑
