Il Regolamento Generale sulla Protezione dei Dati (GDPR) stabilisce un chiaro legame tra l’obbligo di condurre una Valutazione d’Impatto sulla Protezione dei Dati (DPIA) e la necessità di nominare un Responsabile della Protezione dei Dati (DPO) in determinati contesti.
Questo rapporto è sancito principalmente negli articoli 35 e 37 del GDPR, i quali delineano rispettivamente le condizioni che richiedono una DPIA e quelle che rendono obbligatoria la nomina di un DPO.

L’analisi di questa relazione è essenziale per garantire la conformità normativa, minimizzare i rischi di violazione dei dati e assicurare il rispetto dei diritti e delle libertà fondamentali degli interessati.

1. DPIA: Quando è obbligatoria secondo l’articolo 35 GDPR

L’articolo 35 del GDPR prevede che il titolare del trattamento sia obbligato a condurre una Valutazione d’Impatto sulla Protezione dei Dati (DPIA) quando il trattamento dei dati personali può comportare un rischio elevato per i diritti e le libertà delle persone fisiche.

Il GDPR non fornisce un elenco esaustivo dei trattamenti che richiedono una DPIA, ma stabilisce che essa è necessaria in particolare nei seguenti casi:

  • Uso di tecnologie innovative che possano avere un impatto significativo sui diritti degli interessati (es. riconoscimento facciale, intelligenza artificiale, machine learning).
  • Monitoraggio sistematico degli interessati su larga scala, in particolare in spazi accessibili al pubblico (es. videosorveglianza intelligente, tracciamento di comportamenti online).
  • Trattamento su larga scala di categorie particolari di dati personali (art. 9 GDPR), come dati sanitari, biometrici, genetici, relativi all’orientamento sessuale, alle convinzioni religiose o politiche.
  • Trattamento su larga scala di dati relativi a condanne penali e reati (art. 10 GDPR).
  • Elaborazione automatizzata di dati personali che producono effetti giuridici sugli interessati o che influenzano significativamente le loro vite (es. scoring creditizio, sistemi di selezione automatizzata del personale).

Le linee guida WP 248 dell’EDPB hanno ampliato l’elenco dei trattamenti per cui è raccomandata una DPIA, fornendo criteri aggiuntivi per determinare quando un trattamento sia ad alto rischio.

Il titolare del trattamento deve condurre una DPIA preventiva, valutando gli impatti e definendo misure di mitigazione.

Se i rischi non possono essere mitigati in modo adeguato, deve consultare l’Autorità Garante prima di procedere al trattamento (art. 36 GDPR).

2. Nomina del DPO: Quando è obbligatoria secondo l’articolo 37 GDPR

L’articolo 37 del GDPR impone l’obbligo di nominare un DPO in tre specifiche situazioni:

  1. Se il trattamento è effettuato da un’autorità pubblica o un organismo pubblico (eccetto le autorità giurisdizionali nell’esercizio delle loro funzioni).
  2. Se le attività principali del titolare o del responsabile del trattamento consistono in operazioni di trattamento che richiedono un monitoraggio regolare e sistematico degli interessati su larga scala.
  3. Se le attività principali del titolare o del responsabile del trattamento consistono nel trattamento su larga scala di categorie particolari di dati personali o di dati relativi a condanne penali e reati.

Definizione di concetti chiave:

Monitoraggio regolare e sistematico → Rientrano in questa categoria le attività di tracciamento continuo, come il targeting pubblicitario, la profilazione degli utenti, il monitoraggio di flussi di traffico o la videosorveglianza estesa.

Trattamento su larga scala → Si valuta considerando il numero di soggetti interessati, la quantità di dati, la durata del trattamento e l’area geografica coinvolta.

Esempi di aziende obbligate a nominare un DPO:
– Banche e istituti di credito (monitoraggio transazioni finanziarie);
– Aziende che forniscono servizi di marketing e pubblicità online (profilazione comportamentale su larga scala);
– Piattaforme di social media e motori di ricerca (monitoraggio sistematico degli utenti);
– Ospedali, cliniche e laboratori di analisi (trattamento di dati sanitari su larga scala);
– Società di vigilanza e investigazione privata (trattamento di dati su casellari giudiziari).

Importante: La nomina di un DPO è obbligatoria indipendentemente dalla necessità di una DPIA. Tuttavia, nei casi in cui un’azienda debba condurre una DPIA, la presenza di un DPO diventa spesso essenziale per garantire una corretta valutazione e gestione del rischio.

3. Il Nesso tra DPIA e Nomina del DPO

Il collegamento tra l’obbligo di DPIA e la nomina del DPO emerge chiaramente da due aspetti fondamentali:

Il DPO deve essere coinvolto nella DPIA
L’articolo 35(2) GDPR prevede espressamente che il titolare del trattamento debba consultare il DPO nel processo di valutazione d’impatto. Il DPO ha il compito di:

Valutare se la DPIA è necessaria.

Fornire consulenza sulle metodologie da adottare.

Assicurarsi che siano implementate misure adeguate per mitigare i rischi.

Verificare che la DPIA sia documentata correttamente.

I contesti in cui è richiesta la DPIA spesso rientrano nei criteri di nomina obbligatoria del DPO
Le organizzazioni che devono condurre frequentemente DPIA sono spesso quelle che trattano dati ad alto rischio o che effettuano monitoraggio sistematico su larga scala. Queste stesse condizioni sono tra i criteri che rendono obbligatoria la nomina di un DPO.

La DPIA come strumento di supporto per il DPO
Il DPO, in qualità di supervisore della conformità al GDPR, può utilizzare la DPIA come uno strumento di governance per monitorare i trattamenti aziendali e individuare potenziali criticità.

4. Conclusione

L’obbligo di effettuare una DPIA e la nomina del DPO sono due strumenti interconnessi nel GDPR, finalizzati a garantire una gestione proattiva dei rischi legati alla protezione dei dati.

Principi chiave:
– Se un’azienda effettua trattamenti ad alto rischio, deve condurre una DPIA per valutarne l’impatto.
– Se l’azienda effettua trattamenti sistematici su larga scala o gestisce dati sensibili su larga scala, è obbligata a nominare un DPO.
– Il DPO deve essere coinvolto nella DPIA, fornendo consulenza e monitorando l’attuazione delle misure di sicurezza.

In sintesi:
laddove un’organizzazione sia tenuta a effettuare ripetutamente DPIA, è molto probabile che rientri anche nei criteri per la nomina obbligatoria di un DPO, rendendo quest’ultimo una figura strategica per la governance della protezione dei dati.

 

Fonte: Ius Privacy by WRP s.r.l.