Controlli e il RPD nella pratica

Autorità di controllo e sanzioni

Ogni Stato membro ha almeno un’autorità di controllo indipendente con poteri di indagine e correttivi ai sensi dell’articolo 58, tra cui ingiunzioni, divieti di trattamento e sanzioni amministrative. Per i trattamenti transfrontalieri, il meccanismo dello sportello unico rende capofila l’autorità dello stabilimento principale (articolo 56), che coopera con le altre tramite il Comitato europeo per la protezione dei dati. Le sanzioni possono arrivare a 20 milioni di euro o al 4 % del fatturato mondiale totale annuo, se superiore, per le violazioni dei principi, delle basi giuridiche, dei diritti degli interessati e delle regole sui trasferimenti, e a 10 milioni di euro o al 2 % per gli altri obblighi (articolo 83). Gli interessati possono proporre reclamo (articolo 77) e ottenere il risarcimento di danni materiali o immateriali (articolo 82).

Svolgere il ruolo

• Un piano annuale concordato con il vertice: audit, formazione, programma delle DPIA e revisione delle politiche.
• Un registro dei pareri resi e delle decisioni prese, con le motivazioni quando un parere non è stato seguito.
• Rendiconti regolari al consiglio con pochi indicatori significativi: richieste degli interessati e tempi, violazioni e lezioni apprese, DPIA completate, verifiche sui fornitori.
• Un raccordo chiaro con sicurezza, ufficio legale, risorse umane, acquisti e governance dell’AI, perché la protezione dei dati sia coinvolta presto e non consultata tardi.
• Aggiornamento professionale continuo per mantenere la conoscenza specialistica.

L’indipendenza nella pratica

L’indipendenza è tutelata dalla legge ma si conquista nella pratica: con pareri chiari, proporzionati e scritti, con l’escalation quando serve e rifiutando compiti che porterebbero il RPD a decidere finalità e mezzi. Un buon RPD rende la conformità più facile da raggiungere, non più difficile da capire.