DPO in pratica: ecco come gestire il rapporto con gli interessati

Le Linee guida sui responsabili della protezione dei dati WP242 descrivono il DPO come una funzione deputata non solo a favorire l’osservanza della normativa in materia di protezione dei dati personali attraverso strumenti di accountability, ma anche come interfaccia fra autorità di controllo, interessati e divisioni operative all’interno di un’azienda o di un ente.

Sebbene la norma preveda espressamente^[1] che il DPO sia il punto di contatto per l’autorità di controllo per fornire informazioni e documenti, agevolare attività istruttorie e ricerche di riscontri, ci si può chiedere se tale aspetto possa (o meglio: debba) essere tenuto in considerazione anche nei confronti degli interessati.

DPO in pratica: best practice per la gestione dei fornitori

DPO come punto di contatto e “facilitatore” per gli interessati

La conferma a tale riguardo è desumibile dall’obbligo relativo ai dati di contatto del DPO designato, i quali non solo devono essere comunicati all’autorità di controllo ma anche pubblicati^[2] e inseriti all’interno delle informative proprio nell’ottica di fornire un punto di contatto diretto a tutti gli interessati per tutte le questioni connesse alle attività di trattamento dei dati personali svolte dall’organizzazione.

Volendo ragionare ulteriormente su tale punto, si può considerare che la previsione di accessibilità^[3] della funzione nel caso di nomina da parte di un gruppo imprenditoriale può essere letta nell’ottica di garantire non solo una facile comunicazione interna ma anche l’effettiva possibilità per gli interessati di poter disporre di un facile contatto prossimo.

È bene però porre in questo caso alcune distinzioni rispetto all’interfaccia che il DPO assume con l’autorità di controllo dal momento che a tale riguardo sussiste anche un dovere di cooperazione.

Se nelle ipotesi di richieste avanzate da parte dell’autorità di controllo c’è un carattere di assoluta perentorietà ed urgenza, richiedendo di conseguenza un riscontro diretto, nel caso degli interessati deve essere applicato un filtro.

Nello svolgimento dei propri compiti il DPO segue infatti un approccio risk-based^[4] e quindi deve essere in grado di definire ed attribuire un ordine di priorità a tutte le questioni che sono sottoposte all’attenzione del proprio ufficio, gradando così il proprio intervento entro i limiti delle proprie attribuzioni e senza incorrere in situazioni di conflitto d’interesse.

Nel caso specifico della ricezione di una richiesta da parte dell’interessato, innanzitutto occorre qualificare la stessa e dunque scegliere se agire in modo diretto, fornendo una risposta all’interessato o altrimenti in modo indiretto, inoltrando la comunicazione ad un referente interno o ai vertici dell’organizzazione e fornendo un parere a riguardo.

Nel caso in cui il DPO scelga l’opzione di non riscontrare direttamente la richiesta, è buona prassi che ne tenga comunque traccia in modo tale da segnalare le eventuali inerzie dell’organizzazione qualora dalle stesse possa derivare una violazione della normativa in materia di protezione dei dati personali.

Per quanto riguarda il ruolo di facilitatore nei confronti degli interessati, tale aspetto emerge in modo emblematico sia con l’attività di sorveglianza per il riscontro del principio di trasparenza in relazione alle comunicazioni dell’organizzazione e alle informazioni rese con l’attività di raccolta dei dati personali, sia con l’intervento all’interno di processi e procedure che coinvolgono in modo significativo gli interessati.

Contribuire in questo modo all’adozione di quella “forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro, in particolare nel caso di informazioni destinate specificamente ai minori” prescritta dalla norma^[5] costituisce infatti il presupposto essenziale per consentire agli interessati innanzitutto di essere consapevoli circa le attività di trattamento svolte sui propri dati personali e di avere una piena garanzia in ordine all’di esercizio pieno ed effettivo dei diritti garantiti dal GDPR.

Le richieste di esercizio dei diritti

Il titolare del trattamento ha il dovere di agevolare l’esercizio dei diritti dell’interessato^[6] ma può essere libero di definire quali misure – ivi incluse procedure e tecnologie – siano adeguate a garantire un riscontro tempestivo ed efficace alle richieste pervenute alla sua attenzione. Non solo: deve essere in grado di coinvolgere adeguatamente il DPO e dare la dovuta considerazione al suo parere sia in relazione alle singole richieste che, più in generale, sul sistema di gestione che ha scelto di predisporre.

Oltre all’effettivo coinvolgimento, dunque, uno dei primi parametri di controllo riguarda il rispetto della tempistica prescritta di un mese^[7] a far data dalla ricezione della richiesta per fornire una risposta all’interessato. In questo caso, poiché si tratta di un termine indicato direttamente dalla norma, il DPO deve tenere traccia della richiesta e sollecitare il tempestivo riscontro segnalando il rischio di non conformità direttamente ai vertici dell’organizzazione e al soggetto interno cui è attribuita la responsabilità dell’attività.

Per quanto riguarda il contenuto della risposta, questa può consistere in:

1. conferma del buon esito dell’esercizio del diritto con relative informazioni a riguardo;
2. diniego della richiesta, con indicazione dei motivi e della possibilità di proporre reclamo presso l’autorità di controllo o ricorso giurisdizionale;
3. richiesta di ulteriori informazioni per confermare l’identità dell’interessato, individuare i dati oggetto del diritto esercitato o precisare l’azione da intraprendere;
4. comunicazione dei motivi per cui occorre prorogare il termine fino ad ulteriori due mesi;

e dunque a livello di sistema, il parere del DPO deve riguardare inoltre la capacità di rendicontare in modo coerente e conforme al GDPR tali esiti in un processo decisionale. Per quanto riguarda le decisioni assunte in relazione alle richieste di esercizio dei diritti da parte degli interessati, il DPO interviene con il proprio parere nelle singole fasi processo di valutazione^[8] del titolare:

1. l’analisi del contenuto della richiesta;
2. la corretta identificazione dell’interessato;
3. l’individuazione dei dati e dei trattamenti cui la richiesta è riferita;
4. il riscontro e le azioni intraprese;

confermandole, suggerendo ulteriori spunti o altrimenti indicando le non conformità rispetto a norma e divergenze rispetto a buone pratiche attuative. In questo ambito il titolare deve essere in grado di dimostrare puntualmente e tramite evidenze il fatto di aver richiesto e considerato il parere del DPO, motivando soprattutto la scelta di aver voluto intraprendere un’azione difforme.

La capacità di rendicontazione assume particolare rilevanza soprattutto nel caso di una richiesta di informazioni o di esibizione di documenti formulata dall’autorità di controllo, ad esempio nel caso di apertura di un’istruttoria preliminare in seguito ad un richiamo o una segnalazione e può avere un valore determinante per l’archiviazione.

La comunicazione di data breach agli interessati

L’attività di gestione di una violazione di dati personali può comportare per le ipotesi di rischio elevato per i diritti e libertà delle persone fisiche l’obbligo di provvedere a fornire una comunicazione agli interessati^[9]. Anche in questo caso, il controllo e l’intervento del DPO si collocano sia ad un livello di sistema che in relazione al singolo caso.

Il parere che deve essere reso in relazione alla valutazione di rischio di una violazione può avere come esito:

1. conferma della valutazione;
2. indicazione di ulteriori parametri di cui dover tenere conto;
3. indicazione degli eventuali errori di metodo o di computo del valore di rischio;

mentre, a livello di sistema, deve riscontrare un metodo di valutazione (qualitativo, quantitativo o semiquantitativo) coerente con il modello organizzativo adottato, non contraddittorio e adeguato nei parametri prescelti.

Per quanto riguarda la comunicazione, invece, i criteri di valutazione cui deve ricorrere il DPO sono invece tempestività, completezza e adeguatezza.

La tempestività è resa dal parametro normativo del “senza ingiustificato ritardo” e deve essere letta tenendo conto che obiettivo della comunicazione è fornire agli interessati coinvolti dalla violazione tutte le informazioni specifiche al fine di consentire agli stessi di prendere le precauzioni necessarie e attenuare i potenziali effetti negativi^[10].

Per tale motivo il DPO deve essere in grado, se del caso, di sollecitare l’esigenza di anticipare la comunicazione agli interessati rispetto alle 72 ore richieste per la notifica di violazione.

Per quanto riguarda la completezza della comunicazione, i parametri di controllo sono forniti direttamente dall’art. 34 par. 2 GDPR che ne prescrive il contenuto minimo ed essenziale:

1. comunicare il nome e i dati di contatto del responsabile della protezione dei dati o di altro punto di contatto presso cui ottenere più informazioni;
2. descrivere le probabili conseguenze della violazione dei dati personali;
3. descrivere le misure adottate o di cui si propone l’adozione da parte del titolare del trattamento per porre rimedio alla violazione dei dati personali e anche, se del caso, per attenuarne i possibili effetti negativi.

L’adeguatezza della comunicazione fa invece riferimento all’adozione di una forma chiara e trasparente e a metodi in grado di raggiungere gli interessati coinvolti sia per accessibilità che per la selezione dei canali di contatto più appropriati.

La raccolta delle opinioni degli interessati nella DPIA

Nella conduzione di una valutazione di impatto sulla protezione dei dati, il titolare deve seguire alcuni passaggi individuati dalla norma che per ampiezza e profondità devono essere adattati al contesto operativo in cui le attività di trattamento troveranno il proprio svolgimento.

Come garanzia di effettività la stessa norma^[11] prevede uno specifico adempimento riguardante il coinvolgimento degli interessati: “Se del caso, il titolare del trattamento raccoglie le opinioni degli interessati o dei loro rappresentanti sul trattamento previsto, fatta salva la tutela degli interessi commerciali o pubblici o la sicurezza dei trattamenti.”.

Dal momento che il DPO ha il compito di rendere un parere e sorvegliare la conduzione della valutazione d’impatto, dovrà esprimersi anche sulla decisione di procedere o meno a tale attività di raccolta di opinioni, sulle modalità di svolgimento e di conseguenza sulla validità della base giuridica selezionata oltre che il rispetto del principio di privacy by design, chiedendo al titolare di motivare tutte le proprie scelte a riguardo.

Nel caso in cui sono svolte valutazioni d’impatto su trattamenti che coinvolgono i lavoratori, il ruolo del DPO come punto di contatto può evitare gli effetti distorsivi che altrimenti potrebbe provocare una raccolta delle opinioni svolta direttamente da un superiore gerarchico. In tutti i casi in cui sono coinvolti interessati vulnerabili è particolarmente importante che il DPO – sia con la propria attività di consulenza che di sorveglianza – possa garantire una partecipazione sostanziale e non meramente formale degli stessi o dei loro rappresentanti.

NOTE

1. Art. 39 par. 1 lett. e) GDPR. ↑

2. “Il titolare del trattamento o il responsabile del trattamento pubblica i dati di contatto del responsabile della protezione dei dati e li comunica all’autorità di controllo.” (art. 37 par. 7 GDPR) ↑

3. “Un gruppo imprenditoriale può nominare un unico responsabile della protezione dei dati, a condizione che un responsabile della protezione dei dati sia facilmente raggiungibile da ciascuno stabilimento.” (art. 37 par. 2 GDPR). ↑

4. Come da art. 39 par. 2 GDPR. ↑

5. Come da art. 12 par. 1 GDPR. ↑

6. Come da art. 12 par. 2 GDPR. ↑

7. Come da art. 12 par. 3 GDPR. ↑

8. Conformemente alle indicazioni fornite dall’EDPB con le Guidelines 01/2022 on data subject rights – Right of access. ↑

9. Come da art. 34 par. 1 GDPR. ↑

10. Come da considerando n. 86 GDPR. ↑

11. Art. 35 par. 9 GDPR. ↑