Chi ha l obbligo di designare il dpo

Responsabile della protezione dei dati

L’art. 34.1.j della LOPDGDD stabilisce che i soggetti responsabili degli archivi comuni per la valutazione del merito creditizio e della solvibilità o degli archivi comuni per la gestione e la prevenzione delle frodi, compresi quelli responsabili degli archivi regolamentati dalla legislazione sulla prevenzione del riciclaggio di denaro e del finanziamento del terrorismo, devono nominare un responsabile della protezione dei dati (DPO).

L’art. 32 della Legge 10/2010 del 28 aprile 2010 sulla prevenzione del riciclaggio e del finanziamento del terrorismo si riferisce alla protezione dei dati personali e prevede che i soggetti obbligati siano gli RT degli archivi “Titolari Finanziari” che identificano il trattamento dei PBCFT.

Risposta: Per quanto riguarda il requisito del DPO, in linea generale, si ritiene che solo i gestori degli archivi comuni previsti dall’articolo 33 della legge 10/2010 rientrino nelle ipotesi del GDPR per i trattamenti specifici legati alla prevenzione del riciclaggio. Tuttavia, molte parti obbligate dovrebbero avere una DPD come conseguenza dell’attività che svolgono in generale.

Funzioni del dpo

Il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 (Regolamento generale sulla protezione dei dati), che entrerà in vigore il 25 maggio 2018, pone i responsabili della protezione dei dati (noti anche come DPO) al centro della conformità alle normative sulla protezione dei dati per molte aziende.

A tal fine, vi forniamo alcune linee guida per poter determinare con maggiore chiarezza quando un’entità (sia essa una società commerciale, un professionista, un’associazione, una fondazione o anche un lavoratore autonomo) è obbligata a nominare un DPD:

Questo argomento è trattato anche nel nuovo programma sulla privacy e la protezione dei dati, che approfondisce le implicazioni legali di questo settore. Con un approccio pratico, verranno esplorate le normative a livello statale ed europeo (come la LOPD) e a livello europeo, tenendo conto del Regolamento (UE) 2016/679 recentemente approvato.

Significato della Dpo

In applicazione delle norme sulla protezione dei dati (RGPD e LOPDGDD), dovreste verificare se il trattamento dei dati personali che effettuate comporta l’obbligo di nominare un responsabile della protezione dei dati (RPD). Quali sono le operazioni di trattamento o le società che richiedono la nomina di un RPD? Quali sono le funzioni del RPD?

Le recenti sanzioni imposte dall’AEPD alle aziende che non hanno designato un responsabile della protezione dei dati quando erano obbligate a farlo, ci inducono a ricordarvi la necessità di verificare se il trattamento dei dati personali che effettuate comporta l’obbligo di designare un responsabile della protezione dei dati e di notificarlo all’AEPD.

Le sanzioni a cui ci riferiamo sono di 50.000 euro per la società di vigilanza privata e di 25.000 euro per la società GLOVO, la prima obbligata a nominare un Delegato alla Protezione dei Dati in quanto effettua trattamenti che comportano l’osservazione regolare e sistematica degli interessati su larga scala in quanto dotata di videosorveglianza a circuito chiuso (CCTV) e in quanto società di vigilanza privata, e la seconda in quanto effettua trattamenti su larga scala dei dati dei clienti.

Gdpr

– Le attività principali del responsabile del trattamento o dell’incaricato del trattamento consistono in operazioni di trattamento che, per la loro natura, la loro portata e/o le loro finalità, richiedono l’osservazione regolare e sistematica degli interessati su larga scala.

– Le principali attività del responsabile del trattamento o dell’incaricato del trattamento consistono nel trattamento su larga scala di categorie particolari di dati personali e di dati relativi a condanne penali e reati.

– Enti che gestiscono reti di comunicazione elettronica e forniscono servizi di comunicazione elettronica in conformità alle disposizioni della loro legislazione specifica, qualora trattino regolarmente e sistematicamente dati personali su larga scala.

p) Persone che, a titolo professionale e in conformità alle specifiche normative applicabili in ciascun caso, forniscono i seguenti servizi per conto di terzi: costituire società o altre persone giuridiche; agire come direttori o segretari non direttori del consiglio di amministrazione o come consulenti esterni di una società, membri di una partnership o funzioni analoghe in relazione ad altre persone giuridiche o fare in modo che un’altra persona svolga tali funzioni; fornire una sede legale o servizi commerciali, postali, amministrativi e altri servizi correlati a una società, una partnership o qualsiasi altro accordo giuridico o persona; svolgere o fare in modo che un’altra persona svolga le funzioni di fiduciario in un trust o in un istituto giuridico analogo, o svolgere o fare in modo che un’altra persona svolga le funzioni di azionista per conto di un’altra persona, ad eccezione delle società quotate in un mercato regolamentato dell’Unione europea che sono soggette a obblighi di comunicazione in conformità al diritto dell’Unione o a norme internazionali equivalenti che garantiscono un’adeguata trasparenza delle informazioni sulla proprietà, o fare in modo che un’altra persona svolga tali funzioni.