Sono molte le novità in fatto di tutela della privacy e protezione dei dati personali che il GDPR (General data protection regulation), entrato in vigore il 25 maggio 2018, ha apportato per le PMI. Queste ultime, chiamate fin da subito a un corretto e puntuale adeguamento, si sono confrontate con cambiamenti importanti soprattutto relativamente al tema della sicurezza IT. Qualsiasi dato – personale, relativo alla salute, biometrico – deve essere trattato esclusivamente da persone che siano state formate ad hoc oppure da aziende individuate per il relativo trattamento. Le imprese, dunque, devono scegliere determinate figure in grado di garantire la protezione di queste informazioni (pena pesanti sanzioni). E’ interessante analizzare in questo senso quali sono le funzioni affidate al titolare del trattamento e al DPO (Data Protection Officer). Ad essi spetta il compito di rendere operativa la protezione delle informazioni e assicurare il rispetto del regolamento. Il primo deve rendere noto come viene ottenuto il consenso al rilascio dei dati, controllare l’età delle persone interessate, contattare – nell’eventualità in cui si renda necessario – tutori o genitori (informando l’Autorità Garante in caso di violazione dei dati). Il secondo è il vero e proprio soggetto attuatore del GDPR, che si inserisce al centro di procedure gestionali complesse relative alla mole di dati, che seguono la logica del ‘privacy by design’ (la protezione dei dati personali viene incorporata già in fase di progettazione di un processo aziendale). Un’analisi dell’infrastruttura IT consentirà facilmente di identificare, caso per caso, quali siano le migliori soluzioni per ottemperare alla normativa.
L’organizzazione della struttura per la tutela dei dati personali
Quella del Data Protection Officer si appresta a configurarsi come una delle cosiddette ‘professioni del futuro’. Questa particolare figura tecnica può essere nominata sia esternamente che internamente all’azienda: si tratta di un professionista che riferisce direttamente al titolare del trattamento e organizza in maniera autonoma la struttura delle attività legate alla privacy. Si pone, inoltre, come punto di raccordo tra Autorità Garante e vertici dell’azienda. In sintesi, si tratta del massimo esperto a disposizione per quanto riguarda la tutela e il coordinamento nella gestione dei dati: per questo è importante che l’azienda vada a sostenerlo, offrendo risorse adeguate sia economiche che umane. La presenza e l’istituzione della figura del Data Protection Officer, comunque, non è richiesta per tutti gli enti e le realtà imprenditoriali. La sua nomina è infatti obbligatoria quando il titolare del trattamento sia un’autorità o un organismo pubblico, effettui trattamenti che necessitano del regolare monitoraggio degli interessanti su una scala ampia, effettui principalmente trattamenti ad ampio raggio di dati genetici, biometrici, sensibili e giudiziari. Ad ogni modo – e sempre nel pieno rispetto della normativa – la nomina del DPO potrebbe avvenire anche in situazioni nelle quali non sarebbe invece un adempimento obbligatorio. Un gesto che si porrebbe, da parte del titolare del trattamento, quale importante misura idonea a dimostrare la sua compliance al GDPR. Tutto ciò sempre tenendo conto dei compiti da svolgere e della necessaria garanzia di indipendenza, oltre che della fornitura dei mezzi idonei allo scopo.
