TL;DR
Il DPO è obbligatorio nelle tre ipotesi dell'art. 37, par. 1 GDPR e, in più, nei sedici casi dell'art. 34, comma 1 LOPDGDD. La nomina volontaria del comma 2 assoggetta comunque l'ente al medesimo regime del GDPR. In entrambi i casi — obbligatoria e volontaria — nomine e cessazioni vanno comunicate all'AEPD entro dieci giorni (comma 3), e l'elenco dei delegati è pubblico e accessibile per via elettronica (comma 4).
Due elenchi che si sommano, non fra cui scegliere
L'art. 37, par. 1 GDPR impone il DPO in tre situazioni: trattamento effettuato da un'autorità o da un organismo pubblico; attività principali che consistono in trattamenti che richiedono il monitoraggio regolare e sistematico degli interessati su larga scala; attività principali che consistono nel trattamento su larga scala di categorie particolari dell'art. 9 o di dati dell'art. 10. L'art. 34, comma 1 LOPDGDD richiama quella norma e aggiunge «e, in ogni caso, quando si tratti dei seguenti enti». La congiunzione conta: non sono sedici ipotesi al posto delle tre, sono sedici in aggiunta alle tre. Un ente che non compaia in nessuna delle lettere può restare obbligato in forza dell'art. 37, e viceversa.
Le sedici lettere
- a) Ordini professionali e loro consigli generali. b) Istituti di istruzione di qualunque grado e università pubbliche e private.
- c) Operatori di reti e servizi di comunicazione elettronica, quando trattino abitualmente e sistematicamente dati su larga scala. d) Prestatori di servizi della società dell'informazione che elaborino su larga scala profili degli utenti.
- e) Enti dell'art. 1 della Ley 10/2014 (enti creditizi). f) Istituti finanziari di credito. g) Imprese di assicurazione e riassicurazione. h) Imprese di servizi di investimento.
- i) Distributori e venditori di energia elettrica e di gas naturale. j) Titolari di archivi comuni sulla solvibilità patrimoniale e sul credito, o di prevenzione delle frodi, compresi quelli antiriciclaggio.
- k) Imprese di pubblicità e prospezione commerciale che trattino preferenze o elaborino profili. l) Strutture sanitarie tenute alla conservazione delle cartelle cliniche — con l'eccezione espressa del professionista sanitario che esercita in forma individuale.
- m) Enti che emettono informazioni commerciali riferite a persone fisiche. n) Operatori di gioco su canali elettronici. ñ) Imprese di sicurezza privata. o) Federazioni sportive quando trattano dati di minori.
La nomina volontaria non è un gesto di buona volontà
Il comma 2 dice che chi non è obbligato «potrà designare volontariamente» un delegato, «che resterà soggetto al regime stabilito dal Regolamento (UE) 2016/679 e dalla presente legge organica». Cioè: indipendenza, assenza di conflitto di interessi, risorse, divieto di sanzionarlo per l'esercizio delle sue funzioni, riporto al vertice. E il comma 3 impone di comunicare la nomina all'AEPD entro dieci giorni «tanto nei casi in cui la designazione sia obbligatoria quanto quando sia volontaria». Scrivere «DPO» nella firma di posta di qualcuno senza comunicarlo è un inadempimento che si accerta in un minuto.
Il comma 4 va letto accanto al precedente: l'AEPD e le autorità autonome tengono un elenco aggiornato dei delegati accessibile per via elettronica. La conseguenza pratica è che l'affermazione «abbiamo il DPO» è verificabile da chiunque, incluso un cliente che sta valutando se affidarsi e un concorrente che sta preparando un reclamo. Non è un registro interno: è pubblico.
Il comma 5, infine, consente l'impegno a tempo pieno o parziale in funzione, fra gli altri criteri, del volume dei trattamenti, delle categorie particolari trattate e dei rischi per gli interessati. Non è un'autorizzazione generica al minimo sindacale: è un criterio da motivare e da lasciare scritto, perché è esattamente ciò che viene chiesto quando un delegato non è riuscito a seguire qualcosa in tempo.
Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
