Ruolo e posizione del RPD/DPO

Quando il RPD è obbligatorio

L’articolo 37 impone la designazione di un RPD in tre casi: il trattamento è effettuato da un’autorità pubblica o da un organismo pubblico (eccettuate le autorità giurisdizionali nell’esercizio delle loro funzioni); le attività principali del titolare o del responsabile del trattamento consistono in trattamenti che richiedono il monitoraggio regolare e sistematico degli interessati su larga scala; oppure consistono nel trattamento su larga scala di categorie particolari di dati o di dati relativi a condanne penali e reati. Il diritto di uno Stato membro può prevederlo in altri casi, e chi lo designa volontariamente deve rispettare le stesse regole.

Un gruppo imprenditoriale può nominare un unico RPD se è facilmente raggiungibile da ciascuno stabilimento. Il RPD può essere un dipendente o operare in base a un contratto di servizi ed è designato in funzione delle qualità professionali e della conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati. L’organizzazione pubblica i suoi dati di contatto e li comunica all’autorità di controllo.

Posizione: coinvolgimento, risorse e indipendenza

• È tempestivamente e adeguatamente coinvolto in tutte le questioni riguardanti la protezione dei dati personali (articolo 38, paragrafo 1).
• Dispone delle risorse necessarie, dell’accesso ai dati e ai trattamenti e dei mezzi per mantenere la propria conoscenza specialistica.
• Non riceve istruzioni per quanto riguarda l’esecuzione dei suoi compiti e non può essere rimosso o penalizzato per averli adempiuti.
• Riferisce direttamente al vertice gerarchico.
• Può svolgere altri compiti, purché non diano adito a un conflitto di interessi.
• È tenuto al segreto o alla riservatezza.

Compiti previsti dall’articolo 39

Il RPD deve almeno informare e fornire consulenza all’organizzazione e ai dipendenti sui loro obblighi; sorvegliare l’osservanza del GDPR, delle altre norme sulla protezione dei dati e delle politiche interne, compresi l’attribuzione delle responsabilità, la sensibilizzazione, la formazione e gli audit; fornire pareri sulla valutazione d’impatto e sorvegliarne lo svolgimento; cooperare con l’autorità di controllo e fungere da suo punto di contatto. Tiene debitamente conto dei rischi inerenti al trattamento.

La responsabilità della conformità resta in capo al titolare o al responsabile del trattamento, non al RPD. Il RPD consiglia; la direzione decide, e dovrebbe documentare perché non segue un parere.