In qualità di titolare del trattamento dati, l’intermediario assicurativo deve predisporre un organigramma privacy in materia di protezione dei dati personali, un adempimento che rappresenta uno degli elementi cardine del modello organizzativo privacy.
In particolare, gli iscritti nella sezione A, B, D del R.U.I. sono tenuti a inquadrare correttamente tutti i soggetti interni ed esterni che trattano i dati personali.
GDPR e distribuzione assicurativa: ecco le cose da sapere sul registro dei trattamenti
Indice degli argomenti
L’organigramma privacy dell’intermediario assicurativo
Si pensi, per esempio, ai dipendenti e/o ai collaboratori ai quali i clienti comunicano i propri dati personali (per esempio, i dati anagrafici e di contatto) oppure ai professionisti e/o ai fornitori di servizi che si trovano nella condizione di trattare i dati personali anagrafici, di contatto e, in talune ipotesi, anche i dati c.d. particolari degli assicurati o del personale dipendente dell’intermediario.
I collaboratori, i dipendenti, i fornitori e i consulenti esterni dovranno essere informati e istruiti dall’intermediario assicurativo tramite specifici atti di nomina (ad autorizzati/ referenti interni/responsabili esterni) nei quali sarà necessario descrivere puntualmente le operazioni e i compiti connessi al trattamento dei dati.
Disegnare l’organigramma privacy: istruzioni pratiche
Di seguito un esempio di quelli che potrebbero essere i compiti e le responsabilità delineate nel contesto dell’organigramma privacy della struttura distributiva.
Responsabile della protezione dei dati (RPD/DPO)
Tenuto conto delle dimensioni della propria struttura distributiva, delle attività svolte e dei trattamenti posti in essere, qualora sussistano i presupposti di cui all’art. 37 del GDPR, l’intermediario dovrà procedere con la designazione del responsabile della protezione dei dati, definendo puntualmente i compiti ad esso attribuiti, la durata e la remunerazione prevista per l’esecuzione dell’incarico.
In particolare, è necessario che nell’incarico sia disciplinato l’obbligo dell’intermediario di:
- mettere a disposizione del DPO specifiche risorse al fine di consentire l’ottimale svolgimento dei compiti e delle funzioni assegnate;
- non rimuovere o penalizzare il DPO in ragione dell’adempimento dei compiti affidati nell’esercizio delle sue funzioni;
- garantire che il DPO eserciti le proprie funzioni in autonomia e indipendenza e, in particolare, non assegnando allo stesso attività o compiti che risultino in contrasto o conflitto di interesse.
“Soggetti designati” o “referenti interni”
La figura del “soggetto designato” è stata introdotta dall’art. 2-quaterdecies del nuovo Codice (rubricato “Attribuzione di funzioni e compiti a soggetti designati”) al fine di “recuperare” i contenuti dell’art. 29 del testo previgente del Codice, nella misura in cui prevede che “Il titolare o il responsabile del trattamento possono prevedere, sotto la propria responsabilità e nell’ambito del proprio assetto organizzativo, che specifici compiti e funzioni connessi al trattamento di dati personali siano attribuiti a persone fisiche, espressamente designate, che operano sotto la loro autorità” (’art. 2-quaterdecies, comma 1)[1].
Nell’organigramma privacy, gli intermediari potranno, quindi, stabilire che all’interno della propria struttura distributiva determinate attività e/o compiti siano attribuiti a persone fisiche espressamente designate (i c.d. “designati” al trattamento o “referenti interni”).
Gli atti di designazione in parola dovranno indicare puntualmente le specifiche funzioni e i compiti assegnati in ossequio principio di “accountability”.
Si pensi, per esempio, a quelle figure che ricoprono il ruolo di coordinatore e/o di referente di determinati aree/uffici (ufficio marketing, IT, risorse umane) e alle quali sono attribuite le responsabilità di presiedere e “supervisionare” la corretta applicazione delle regole in materia all’interno delle rispettive aree organizzative.
Autorizzati al trattamento (“ex incaricati”)
Ulteriormente, nel contesto dell’organigramma “data protection”, assume una notevole rilevanza il ruolo delle persone autorizzate al trattamento dei dati che anche il nostro Garante ha richiamato nella versione aggiornata della “Guida all’applicazione del Regolamento europeo in materia di protezione dei dati personali” (pag. 26).
Al riguardo, mette conto precisare che, pur non prevedendo espressamente la figura dell’“incaricato” del trattamento (ai sensi dell’art. 30 del Codice), il GDPR richiama espressamente le “persone autorizzate al trattamento dei dati personali sotto l’autorità diretta del titolare o del responsabile” (art. 4, par. 1, n. 10)[2].
Da ciò ne consegue che gli intermediari dovranno impartire istruzioni[3] di tipo pratico-organizzativo alle persone fisiche che trattano dati personali ai fini dello svolgimento delle proprie mansioni e attività all’interno della struttura distributiva (si pensi, ai dipendenti e/o ai collaboratori, iscritti e/o non iscritti nella sezione E del R.U.I. oppure agli stagisti e ai tirocinanti).
Nelle istruzioni, a titolo meramente esemplificativo, il distributore dovrà individuare in modo puntuale (e non generico):
- gli elementi essenziali delle operazioni che l’autorizzato potrà compiere e l’indicazione delle categorie di dati a cui l’autorizzato potrà accedere;
- gli obblighi di riservatezza da rispettare in costanza e alla cessazione del rapporto di lavoro e/o collaborazione;
- la determinazione delle attività da eseguire, per esempio, nel contesto dell’utilizzo degli strumenti informatici aziendali, della posta elettronica in uso e di internet attenendosi alle policy aziendali in materia;
- il contenuto delle istruzioni in punto segnalazione di violazioni di dati personali e ricezione delle richieste di esercizio dei diritti avanzate dagli interessati.
Ai fini del rispetto del principio di “responsabilizzazione”, la forma scritta potrà agevolare il puntuale adempimento dell’obbligo di documentare l’avvenuta ricezione e presa visione delle istruzioni da parte del destinatario.
Responsabili e sub-responsabili del trattamento
Nell’organigramma privacy, poi, l’intermediario dovrà disciplinare correttamente attraverso un contratto o un atto giuridico di altra natura, nei termini descritti dall’art. 28 del Regolamento (responsabile)[4] i rapporti con i soggetti che, per esempio, accedono ai dati dei clienti o del personale aziendale — nel contesto dell’esecuzione di un contratto e/o di un incarico professionale sottoscritto con il distributore — che assumono il ruolo di responsabili del trattamento.
A titolo di esempio, si pensi alle software house/società operanti nel settore IT che concedono in licenza d’uso un software cloud all’intermediario per la gestione dei rapporti con la clientela o per la digitalizzazione dei processi HR; ai consulenti/professionisti esterni deputati alla predisposizione delle buste paga del personale; agli intermediari c.d. emittenti nel contesto delle collaborazioni reciproche orizzontali; ai collaboratori costituiti in forma societaria operanti all’esterno dei locali dell’intermediario (per esempio, i soggetti iscritti nella sezione E del R.U.I.).
È bene notare ulteriormente che l’intermediario dovrà avvalersi unicamente di responsabili che presentino garanzie sufficienti per l’attuazione di misure tecniche e organizzative adeguate, in modo tale che il trattamento soddisfi i requisiti del GDPR.
Per esempio, il distributore dovrà considerare le competenze tecniche in materia di misure di sicurezza e di violazione dei dati, il grado di affidabilità e le risorse di cui dispone il fornitore di servizi o il consulente esterno.
Si tenga conto poi che il responsabile potrà ricorrere a un altro responsabile (“sub-responsabile”) per “l’esecuzione di specifiche attività di trattamento per conto del titolare del trattamento” (art. 28, par. 4, cit.) solo in presenza di un’autorizzazione scritta dell’intermediario; detta autorizzazione può essere generale oppure specifica.
Amministratore di sistema
Deve essere richiamata, infine, la figura dell’amministratore di sistema (“Ads”), vale a dire il soggetto che svolge funzioni di gestione e manutenzione dei sistemi informatici.
Tale nozione ricomprende anche altre categorie di figure professionali quali gli amministratori di banche dati, di reti e apparati di sicurezza e di sistemi di software complessi.
Tale figura era stata specificatamente disciplinata dal provvedimento del 27 novembre 2008, in G.U. n. 300 del 24 dicembre 2008 e poi modificato dal provvedimento del 25 giugno 2009.
Sul tema, il Garante aveva chiarito che non rientravano nella definizione di amministratore di sistema quei soggetti che solo occasionalmente intervengono sui sistemi di elaborazione e sui sistemi software (ad esempio, per scopi di manutenzione a seguito di guasti o malfunzioni)[5]. Alla luce del principio di “accountability” e stante l’obbligo “di mettere in atto misure tecniche per garantire un livello di sicurezza adeguato al rischio” (art. 32 del Regolamento), deve osservarsi come i compiti e le funzioni assegnate all’amministratore di sistema (interno od esterno) possano essere ricomprese nel contesto delle istruzioni impartite alle persone autorizzate al trattamento ai sensi dell’art. 29 del GDPR o dei soggetti designati cui all’art. 2-quaterdecies del Codice novellato.
Ad esempio, si pensi ad un profilo interno alla struttura distributiva preposto alla gestione dei sistemi IT di proprietà dell’intermediario assicurativo.
Diversamente, qualora le attività di gestione e manutenzione degli applicativi informatici in parola siano affidate a terzi in “outsourcing”, i soggetti in parola potranno rivestire il ruolo di responsabili del trattamento nei termini cui all’art. 28 del Regolamento.
Conclusioni
Alla luce di quanto fin qui esposto, si rappresenta che – come recentemente evidenziato dal nostro Garante nella versione aggiornata della “Guida all’applicazione del Regolamento europeo in materia di protezione dei dati personali” – le “best practices” individuate dall’EDPB nelle “Guidelines 07/2020 on the concepts of controller and processor in the GDPR. Version 2.0.” (adottate il 7 luglio 2021) costituiscono una “bussola” essenziale per orientare le scelte di “accountability” dei player della distribuzione assicurativa e così disciplinare in modo “compliant” i rapporti e i profili di responsabilità nel contesto della propria struttura organizzativa.
Ecco, che, quindi, ai fini della puntuale definizione dell’organigramma GDPR e dell’identificazione degli attori “data protection”, gli intermediari assicurativi di primo livello dovranno partire da una preliminare attività di “risk assessment” in conformità con il principio di “responsabilizzazione”, mappando tutti i soggetti interni ed esterni a cui sono demandate specifiche attività di trattamento.
NOTE
La relazione illustrativa al D.Lgs. n. 101 del 10 agosto 2018 aveva sottolineato che la suddetta disposizione “prevede il potere di titolare e responsabile, di delegare compiti e funzioni a persone fisiche che operano sotto la loro autorità e che, a tal fine, dovranno essere espressamente designati. Tale disposizione permette di mantenere le funzioni e i compiti assegnati a figure interne all’organizzazione che, ai sensi del previgente codice in materia di protezione dei dati personali ma in contrasto con il regolamento, potevano essere definiti, a seconda dei casi, responsabili o incaricati”. Cfr. Relazione illustrativa dello schema di decreto legislativo recante disposizioni per l’adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 2016/ 679 (pag. 12). ↑
In particolare, l’art. 29 dispone che chiunque agisca sotto l’autorità del titolare o del responsabile del trattamento e che abbia accesso a dati personali non può trattare tali dati se non è istruito in tal senso dal titolare del trattamento, salvo che lo richieda il diritto dell’Unione o degli Stati membri. Questo concetto è richiamato anche dall’art. 32, par. 4, cit., a mente del quale “il titolare e il responsabile fanno sì che chiunque agisca sotto la loro autorità e abbia accesso a dati personali non tratti tali dati se non è istruito in tal senso dal titolare del trattamento (…)”. Le persone autorizzate sono citate, inoltre, anche nel contesto degli obblighi del responsabile cui all’art. 28, par. 3, lett. b) del GDPR, il quale deve garantire “che le persone autorizzate al trattamento dei dati personali si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza”. ↑
Il Regolamento non descrive il contenuto minimo delle istruzioni; sarà, pertanto, l’intermediario assicurativo a individuare concretamente le indicazioni di tipo pratico-organizzativo da impartire ai propri dipendenti e/o collaboratori tenuto conto delle specifiche attività e sulla base del singolo profilo di ogni soggetto autorizzato. In particolare, sarà fondamentale l’individuazione puntuale (e non generica) degli elementi essenziali delle operazioni che l’autorizzato potrà compiere, e quindi, l’indicazione delle categorie di dati accessibili e la determinazione delle attività da eseguire, per esempio, nel contesto dell’utilizzo degli strumenti informatici o relativamente ai documenti cartacei. ↑
L’art. 4, par. 1, n. 8 del Regolamento definisce come “responsabile del trattamento” (“processor), “la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che tratta dati personali per conto del titolare del trattamento”. Due sono i requisiti per la ricorrenza della sua qualifica secondo il Comitato Europeo per la protezione dei dati (par. 76 delle Linee guida 07/2020): “a) essere un soggetto distinto rispetto al titolare del trattamento; b) trattare i dati personali per conto del titolare del trattamento”. Come chiarito dall’EDPB, “Un soggetto distinto significa che il titolare del trattamento decide di delegare tutte o parte delle attività di trattamento a un soggetto esterno” (par. 77 cit.). Il trattamento di dati personali per conto del titolare comporta prima di tutto — secondo i Garanti privacy europei — che il soggetto distinto tratti i dati personali a beneficio del titolare del trattamento e in secondo luogo, che il trattamento deve essere effettuato per conto di un titolare (par. 79 cit.). ↑
Al riguardo, mette conto precisare come tale figura non sia menzionata né dal Regolamento, né dal D.Lgs. n. 101/2018 (il quale, è bene notare, all’art. 22, comma 4, precisa che “a decorrere dal 25 maggio 2018, i provvedimenti del Garante continuano ad applicarsi, in quanto compatibili con il Regolamento e con le disposizioni del decreto”) e dal Codice novellato. ↑
