Designazione e posizione dei responsabili della protezione dei dati

Designazione e posizione dei responsabili della protezione dei dati

Il comitato europeo per la protezione dei dati personali pubblica un prezioso documento, che mette in evidenza il ruolo importantissimo che il responsabile della protezione dei dati personali svolge a supporto del titolare del trattamento.

Il responsabile della protezione dei dati personali, pur essendo un organo di staff, può dare un prezioso supporto al titolare, per aiutarlo a rispettare appieno i dettati del regolamento europeo sulla protezione dei dati personali.

Già da qualche tempo erano nate delle perplessità circa il fatto che i titolari avessero ben compreso quale fosse il ruolo fondamentale di questo profilo professionale; questo è il motivo per cui il comitato europeo per la protezione dei dati personali ha ritenuto opportuno pubblicare un documento specifico, che mira a sensibilizzare i titolari sull’importanza del ruolo di questo soggetto: questo ruolo spesso non viene compreso o non viene debitamente apprezzato.

Il comitato europeo ha cominciato ad attivarsi nel marzo 2023, inviando un documento a tutte le autorità nazionali, ed altri soggetti coinvolti, per raccogliere elementi di valutazione circa il corretto inquadramento del responsabile della protezione dei dati nei singoli paesi.

Il documento finale, pubblicato a gennaio 2024, è basato su più di 17.000 risposte, provenienti sia dalle autorità di supervisione nazionali, sia da titolari, sia da responsabili della protezione dei dati; il rapporto mette in evidenza le principali carenze afferenti a questo ruolo, nei vari paesi europei.

Pubblicità

Libri e Manuali - La progettazione delle sale di controllo: la serie ISO 11064 ed altre norme - eBook in pdf Approfondimento della normativa ISO 11064 e altre norme per la progettazione delle sale di controllo, a cura di di Adalberto Biasiotti.

Mancata designazione di un responsabile della protezione dei dati

È bene ricordare che il regolamento europeo obbliga tutte le autorità pubbliche, vale a dire tutti i titolari pubblici, a designare un responsabile della protezione dei dati. Tale responsabile deve essere designato anche qualora l’attività svolta dal titolare, anche privato, abbia caratteristiche di particolare rischio, nei confronti di un corretto e sicuro trattamento dei dati personali.

Insufficienti risorse messe a disposizione del responsabile

Il regolamento esplicitamente prevede che il titolare metta a disposizione del responsabile adeguate risorse, per consentirgli di svolgere al meglio la sua attività; ciò evidentemente fa riferimento alla disponibilità di spazi uso ufficio, attrezzature di supporto, emissione di procedure, che permettano al responsabile di svolgere correttamente la sua attività, e via dicendo.

Mancanza di chiarezza in merito ai ruoli che devono essere svolti dal responsabile della protezione dei dati

È bene ricordare che il responsabile della protezione dei dati è organismo di supporto e di consiglio, e non ha poteri esecutivi. Ciò non toglie che il regolamento preveda esplicitamente che egli possa accedere rapidamente ai vertici dell’associazione, presso la quale presta la sua opera, ove ritenga che siano presenti situazioni di rischio specifico, afferenti al trattamento dei dati personali. Ovviamente queste situazioni devono essere correttamente descritte e gestite in apposite procedure, che in molti casi non sono state elaborate è pubblicate dal titolare.

Conflitto di interesse e insufficiente indipendenza, rispetto alla struttura presso cui il responsabile opera

Come accennato, il responsabile è un consulente terzo, che offre la sua assistenza al titolare, che si assume la piena e completa responsabilità di attuare le raccomandazioni del responsabile, oppure ignorarle. Se il ruolo del responsabile non è stato correttamente chiarito ed inquadrato, possono nascere dei conflitti di interessi che sono dannosi per tutti i soggetti coinvolti.

Accesso diretto al titolare del trattamento

Come accennato in precedenza, il regolamento esplicitamente prevede che il responsabile della protezione dei dati abbia immediato accesso ai vertici dell’ente, presso cui presta assistenza. Dall’esame dei questionari sottoposti dai responsabili della protezione, in tutta Europa, sembra che questo accesso in realtà non abbia affatto le caratteristiche, che vengono chiaramente delineate nel regolamento generale europeo.

Esigenza di un intervento più incisivo delle autorità nazionali, a supporto dei responsabili della protezione dei dati

Il questionario ha messo in evidenza come spesso i responsabili della protezione dei dati, che hanno fatto ricorso ad autorità nazionali per mettere sotto controllo le anomalie principali, sopra illustrate, non sempre abbiano trovato sufficiente ascolto e attivazione di procedure protettive o ingiuntive, da parte delle autorità di supervisione nei confronti dei titolari coinvolti. Ecco perché il documento del comitato europeo per la protezione dei dati esorta le autorità nazionali ad attivarsi in maniera più concreta, perché il responsabile della protezione dei dati possa occupare, in azienda, il ruolo che il regolamento chiaramente delinea. Al proposito, ricordo ai lettori che la nostra autorità garante più volte si è attivata, nei confronti di titolari del trattamento, che avevano scelto come responsabili della protezione dei dati soggetti non sufficientemente qualificati, oppure non debitamente supportati nella loro operatività quotidiana.

Raccomando caldamente a tutti i lettori di leggere il documento allegato, perché esso risulta prezioso non solo per i titolari, che potranno così meglio comprendere i loro obblighi e le loro responsabilità, ma anche per i responsabili della protezione dei dati, che potranno così meglio evidenziare eventuali possibili carenze e limitazioni nello svolgimento della loro attività all’interno dell’azienda.

2023 Coordinated Enforcement Action - Designation and Position of Data Protection Officers - Adopted on 16 January 2024 (PDF)

Adalberto Biasiotti

Licenza Creative Commons