Atto di nomina del responsabile della protezione dei dati personali (RPD o DPO)

L'atto di nomina del responsabile della protezione dei dati personali (RPD) o, in inglese e più conosciuto, Data Protection Officer (DPO), è un atto attraverso il quale un'azienda nomina il suo responsabile della protezione dei dati personali, secondo quanto previsto dall'art. 37 del GDPR regolamento UE 2016/679.

Secondo il citato articolo, infatti, non tutte le aziende sono obbligate a nominare un RPD o DPO. Non vi è una lista di quali sono le aziende che devono nominarlo, ma si può evincere analizzando l'articolo. Il presente documento non va confuso con la informativa privacy nei confronti dell'utente, e neanche con l'informativa privacy per il dipendente di lavoro.

Aziende obbligate alla nomina di un DPO o RPD: A titolo esemplificativo e non esaustivo, sono state individuate le seguenti categorie di soggetti certamente tenuti alla nomina di un DPO o RPD:

• istituti di credito; imprese assicurative; sistemi di informazione creditizia; società finanziarie; società di informazioni commerciali; società di revisione contabile; società di recupero crediti; istituti di vigilanza; partiti e movimenti politici; sindacati; caf e patronati; società operanti nel settore delle "utilities" (telecomunicazioni, distribuzione di energia elettrica o gas); imprese di somministrazione di lavoro e ricerca del personale; società operanti nel settore della cura della salute, della prevenzione/diagnostica sanitaria quali ospedali privati, terme, laboratori di analisi mediche e centri di riabilitazione; società di call center; società che forniscono servizi informatici; società che erogano servizi televisivi a pagamento.

Aziende non obbligate alla nomina di un DPO o RPD: In tutti gli altri casi, diversi da quelli indicati sopra, la nomina non è obbligatoria, ed in particolare per:

• i trattamenti effettuati da liberi professionisti operanti in forma individuale; agenti, rappresentanti e mediatori operanti non su larga scala; imprese individuali o familiari; piccole e medie imprese, con riferimento ai trattamenti dei dati personali connessi alla gestione corrente dei rapporti con fornitori e dipendenti.

Anche se non obbligae, avere un DPO in azienda può sicuramente essere importante per far si che l'azienda agisca in rispetto ai principi che governano il GDPR. È altresì possibile che un gruppo imprenditoriale possa scegliere un unico DPO o RPD, purché sia facilmente raggiungibile da ciascuno ed in grado di comunicare in modo efficace con gli interessati e di collaborare con le autorità di controllo.

Chi è il DPO o RPD?

Abbiamo visto per ora quali sono le aziende che sono obbligate o meno alla nomina di un DPO o RPD, vediamo quindi ora chi è questa figura. Il DPO o RPD è designato per assolvere a funzioni di supporto e controllo, nonché consultive, formative e informative, relativamente all'applicazione del GDPR. Coopera con l'Autorità Garante ed è anche il punto di contatto, anche nei confronti degli utenti, per tutte quelle questioni che concernono il trattamento dei dati personali.

Il Garante ha chiarito che, non esistono specifiche attestazioni formali per diventare DPO o RPD, né è possibile l'iscrizione in appositi albi. Questa precisazione si è resa necessaria perché si sono diffuse numerose proposte di corsi di formazione che offrono, a conclusione dell'iter formativo, una certificazione della qualifica di DPO.

Il Garante ha quindi spiegato che, queste certificazioni rappresentano, al massimo uno strumento per verificare il possesso di un livello minimo di conoscenza della disciplina, "ma non implicano alcuna abilitazione, né equivalgono ad una certificazione all'assunzione del ruolo di DPO, né sono idonee a sostituire il giudizio, rimesso al titolare, nella valutazione dei requisiti necessari per la scelta del DPO".

Il Data Protection Officer è una figura professionale, che deve avere una profonda conoscenza della normativa e delle prassi in materia di privacy, ma anche delle norme e delle procedure amministrative che caratterizzano lo specifico settore in cui agisce, al fine di poter garantire offrire la consulenza necessaria per progettare, verificare e mantenere un sistema organizzato di gestione dei dati personali, nel rispetto della nuova normativa.

Per avere più informazioni riguardo alla nomina del DPO e del GDPR in generale, si consiglia di leggere la nostra guida sui punti chiave per essere conformi al GDPR e al nuovo regolamento privacy

 

Come utilizzare il documento:

Attraverso questo documento si potrà indicare:

• il nome dell'azienda obbligata a nominare il DPO o RPD;

• se il DPO o RPD è una persona fisica o una persona giuridica;

• se vi siano da assolvere più compiti rispetto a quelli previsti dalla legge;

• quali strumenti verranno messi a disposizione del DPO o RPD per assolvere le sue funzioni.

Una volta effettuata la presente nomina, questa si dovrà comunicare presso il sito del garante privacy e nel sito internet della società, indicando il nome e i contatti del DPO e RPD nominato da parte della società.

Normativa applicabile

Artt. 37 - 39 Regolamento UE GDPR 2016/679

Assistenza di un avvocato

Potrai scegliere di consultare un avvocato se avrai bisogno di aiuto.

L'avvocato potrà rispondere alle tue domande o assisterti negli adempimenti opportuni. Questa opzione ti sarà proposta alla fine del documento.

Come modificare il modello?

Compili un modulo. Il documento viene redatto sotto i tuoi occhi man mano che inserisci le tue risposte.

Al termine, lo ricevi nei formati Word e PDF. Puoi modificarlo e riutilizzarlo.