Scenario illustrativo: persone e organizzazioni sono ipotetiche. Non è un incarico o un risultato attribuito allo studio.
LA RISPOSTA IN BREVE
Per i soggetti privati l’obbligo va valutato soprattutto rispetto alle attività principali e ai trattamenti indicati dall’articolo 37. Numero dei dipendenti e fatturato, da soli, non sono una risposta. Anche una struttura piccola può gestire trattamenti rilevanti.
La situazione.
Scenario illustrativo inventato. Una società con dodici addetti offre un servizio digitale che segue continuativamente il comportamento di molti utenti. Un consulente propone un DPO perché l’azienda usa dati personali; un altro lo esclude perché i dipendenti sono pochi. La direzione non ha ancora descritto volume, durata, diffusione geografica e natura del monitoraggio svolto dal servizio.
PRIMA DI DECIDERE
Tre fatti da mettere a fuoco.
- 01
Il monitoraggio degli utenti è parte dell’attività principale, non una funzione amministrativa accessoria.
- 02
La scala del trattamento riguarda anche persone coinvolte, quantità di dati, durata ed estensione geografica.
- 03
L’eventuale designazione deve garantire competenze, indipendenza, risorse e assenza di conflitti di interessi.
Valuta insieme questi elementi prima di scegliere le azioni.
Come impostare la valutazione.
L’articolo 37 identifica casi di designazione obbligatoria, inclusi quelli in cui le attività principali richiedono monitoraggio regolare e sistematico su larga scala oppure trattamento su larga scala di categorie particolari di dati o dati relativi a condanne e reati. Le indicazioni del Garante aiutano a interpretare questi concetti. Non esiste una conclusione affidabile basata soltanto sul numero degli addetti: nel caso descritto occorre studiare il servizio effettivo.
Se l’obbligo non ricorre, l’impresa deve comunque adempiere al GDPR. Può organizzare un presidio interno o valutare una designazione volontaria; quando si designa formalmente un DPO, il ruolo deve rispettare i requisiti pertinenti. Il DPO informa, consiglia e sorveglia, ma non sostituisce il titolare nelle decisioni e non certifica automaticamente la conformità. Un incarico simbolico, privo di accesso alle informazioni e alla direzione, non risponde alla funzione prevista.
Cosa fare, in pratica.
- 01
Descrivere le attività principali. Distinguere il servizio offerto dalle attività accessorie, indicando come e perché vengono osservate le persone.
- 02
Analizzare la scala con elementi concreti. Raccogliere numero di interessati, categorie e quantità di dati, durata dei trattamenti e copertura geografica.
- 03
Motivare la decisione. Conservare una valutazione dell’articolo 37 e prevederne il riesame quando il servizio cresce o cambia.
- 04
Selezionare una figura adeguata quando serve. Valutare competenze, conoscenza del settore, disponibilità e possibili conflitti con incarichi decisionali.
- 05
Rendere operativo il ruolo. Definire risorse, coinvolgimento tempestivo, accesso alla direzione e canali di contatto; gestire pubblicazione e comunicazioni previste.
L’errore da evitare.
Acquistare una nomina standard pensando che il DPO assorba tutte le responsabilità aziendali oppure escludere l’obbligo contando soltanto i lavoratori.
Tre verifiche da portare con te.
- Sono descritti attività principali e criteri di larga scala?
- La decisione viene riesaminata quando cambiano i servizi?
- L’eventuale DPO dispone di indipendenza e risorse effettive?
La decisione deve partire dai trattamenti e dalla funzione richiesta. Una valutazione documentata è più utile di una formula commerciale uguale per tutti.
Fonti e riferimenti.
Collegamenti alle fonti istituzionali utilizzate per il quadro di riferimento. Controlla versione, ambito e regole complementari applicabili.