Data Processor Officer (DPO): choose T.net
Il GDPR introduce il concetto di «Data Processor» separandolo dal «Data Controller» (ex Titolare del Trattamento). Un «controller» è l’entità che determina le finalità, le condizioni e i mezzi di elaborazione dei dati personali, mentre il «processor» è un’entità che elabora dati personali per conto del controllore.
Il Data Processor è un ruolo ricoperto dalla maggior parte dei fornitori di Servizi Cloud. Se quindi la Direttiva UE finora in vigore poneva obblighi e sanzioni solo nei confronti del Titolare del trattamento dei dati personali (Data Controller), il GDPR impone invece anche ai Data processor, così come individuati dal titolare del Trattamento, di mettere in atto misure tecniche e organizzative per essere compliant al Regolamento stesso, in tutti i casi in cui affidi a terzi il trattamento dei dati personali.
DPO, sono obbligati ad averli:
– le autorità pubbliche;
– le organizzazioni che effettuano un monitoraggio sistematico su larga scala;
– le organizzazioni che impegnano l’elaborazione su larga scala di dati personali sensibili
Chi è il DPO
– per il grado di autonomia e terzietà, un professionista esterno, che aiuta il controller nel suo compito di legge (indipendenza, autorevolezza, competenze manageriali: si vedano art. 38 e 39);
– NON sostituisce il Controller, che resta a tutti gli effetti responsabile della compliance al GDPR;
– NON deve essere anche un «controller» di uno dei processi (ad es. NON essere il capo delle Risorse Umane o il Resp. IT);
– non deve essere un impiegato con un contratto a termine;
– non deve avere come riferimento un superiore/dirigente ma deve potersi rapportare direttamente al Top Management;
Cosa fa il DPO
– redige e aggiorna il DPIA;
– conduce gli Audit e «sensibilizza» il personale;
– da indicazioni al Controller e al Processore sui loro obblighi relativamente al GDPR;
– riceve comunicazione dagli Interessati dai trattamenti e li processa;
– coordina le riunioni in termini di Data Protection;
– coopera con le Autorità;
– deve avere una sua indipendenza ed un suo budget;
– deve avere la possibilità di effettuare audit;
– deve avere la possibilità di accedere a risorse per la formazione sua e del personale.
L’incarico dovrebbe avere la durata minima di 2 anni e non superare i 5 prevedendo un rinnovo e condizioni rigorosamente individuate per la revoca solo in casi estremamente gravi.
T.net is the right choice for Data Processor Officer of Private Companies and Public Administrations
