Artt. 37-39 GDPR · comunicazione al Garante
Software DPO per chi segue piu' di un'organizzazione
Un software per DPO deve rispondere prima di tutto a una domanda: quante organizzazioni segue questa persona contemporaneamente? Il DPO interno lavora per un titolare solo. Il DPO esterno ne segue spesso dieci, venti o piu' - ed e' esattamente li' che gli strumenti generici, pensati per una singola organizzazione, smettono di reggere.
L'art. 38 GDPR chiede per entrambe le forme la stessa indipendenza organizzativa: coinvolgimento tempestivo e adeguato in tutte le questioni di protezione dei dati, risorse sufficienti, nessuna istruzione sull'esecuzione dei compiti. Cambia il modo in cui quel lavoro va documentato: chi segue un solo titolare puo' tenere tutto in un archivio; chi ne segue venti deve poter dimostrare, per ciascuno separatamente, cosa e' stato fatto e quando.
La comunicazione dei dati di contatto al Garante
L'art. 37, par. 7 del GDPR impone di comunicare all'autorita' di controllo i dati di contatto del DPO. In Italia si fa con una procedura telematica dedicata sul portale dei servizi online del Garante. Il punto che sfugge piu' spesso e' l'aggiornamento: se cambia la persona designata si effettua una variazione della comunicazione gia' inviata, e il nuovo contenuto sostituisce il precedente. Non serve invece pubblicare il nominativo sul sito, purche' i recapiti indicati permettano di raggiungere il DPO in modo diretto e agevole.
Cosa chiede l'art. 39 GDPR al DPO
- Informare e fornire consulenza a titolare, responsabile e dipendenti
- Sorvegliare l'osservanza del GDPR e delle politiche interne
- Fornire un parere sulla valutazione d'impatto e sorvegliarne lo svolgimento
- Cooperare con il Garante e fungere da punto di contatto
Sono compiti continuativi, non adempimenti una tantum. La sorveglianza dell'osservanza e il parere sulla valutazione d'impatto producono documenti che devono restare reperibili anche a distanza di anni, associati al cliente giusto e con una data verificabile. E' la ragione per cui l'archivio per cliente conta piu' della singola funzione.
Foglio di calcolo o software dedicato
Separato per ogni cliente, unito per te
DPO Workspace e' costruito per chi segue piu' di un'organizzazione: registro proprio per ogni cliente, vista comune delle scadenze, archivio con storico delle versioni. 30 giorni di prova, senza carta di credito.
Provalo gratisDomande frequenti
Che differenza c'e' fra DPO interno ed esterno?
Il DPO interno e' un dipendente del titolare; quello esterno opera su incarico e spesso segue piu' clienti in parallelo. Gli obblighi degli artt. 38 e 39 GDPR sono gli stessi per entrambi: coinvolgimento tempestivo in tutte le questioni di protezione dei dati, risorse adeguate, assenza di istruzioni sull'esecuzione dei compiti, assenza di conflitto di interessi.
La nomina del DPO va comunicata al Garante?
Si'. L'art. 37, par. 7 del GDPR impone di comunicare all'autorita' di controllo i dati di contatto del responsabile della protezione dei dati. In Italia la comunicazione si fa attraverso una procedura telematica dedicata sul portale dei servizi online del Garante, e va aggiornata ogni volta che cambiano i dati o la persona designata: in quel caso si effettua una variazione, non una revoca seguita da una nuova comunicazione.
Il nome del DPO deve essere pubblicato sul sito?
Non e' necessario pubblicare il nominativo, purche' i dati di contatto indicati consentano di raggiungere il DPO in modo diretto e agevole: tipicamente un indirizzo e-mail dedicato. Quello che deve essere comunicato all'autorita', invece, e' il nominativo insieme ai recapiti.
Quali compiti impone l'art. 39 GDPR al DPO?
Fra gli altri: informare e fornire consulenza al titolare, al responsabile e ai dipendenti; sorvegliare l'osservanza del GDPR e delle politiche interne; fornire un parere sulla valutazione d'impatto e sorvegliarne lo svolgimento; cooperare con l'autorita' di controllo e fungere da punto di contatto.
Un software per DPO sostituisce la valutazione del professionista?
No. Il software organizza il lavoro quotidiano - registro, scadenze, documenti, valutazioni d'impatto - ma non sostituisce ne' il giudizio del DPO ne' la responsabilita' del titolare ai sensi degli artt. 24 e 32. Serve a dimostrare cosa e' stato fatto e quando, che e' la parte che manca quasi sempre quando arriva un controllo.
Un foglio di calcolo basta a un DPO esterno con molti clienti?
Per un titolare solo, con poche attivita' di trattamento, spesso si'. Quando si aggiungono altri clienti, i riesami periodici e i collegamenti fra registro, valutazioni d'impatto e violazioni, il foglio diventa il punto in cui la conformita' si perde: le versioni divergono, le scadenze sfuggono, non resta traccia utile in caso di ispezione.
Uno strumento pensato per piu' clienti
Registro, valutazioni d'impatto, violazioni e scadenze - per ogni cliente, non tutti insieme.
Inizia gratis