Svizzera e GDPR

Quando mancano esattamente 30 giorni all’applicazione del GDPR, la tensione stà aumentando.

Mi scrive un caro amico che lavora in Svizzera: “meno male che qui il GDPR non ha effetto”.

Caro amico, ma ne sei sicuro?

GDPR Art.3
 2. Il presente regolamento si applica al trattamento dei dati personali di interessati che si trovano nell’Unione, effettuato da un titolare del trattamento o da un responsabile del trattamento che non è stabilito nell’Unione, quando le attività di trattamento riguardano:
 a) l’offerta di beni o la prestazione di servizi ai suddetti interessati nell’Unione, indipendentemente dall’obbligatorietà di un pagamento dell’interessato;
 b) il monitoraggio del loro comportamento nella misura in cui tale comportamento ha luogo all’interno dell’Unione.

Quindi quando un cittadino europeo è un cliente di una organizzazione svizzera, il GDPR ha applicazione; penso alle banche, ma anche ai semplici negozi che vendono agli europei, per non parlare degli e-commerce.

Poi c’è il settore turistico; un hotel che ha un sito che profila gli interessi e le preferenze di un europeo, anche se non è stato mai cliente, è soggetto? Certamente si.

E per quanto riguarda i dipendenti “frontalieri” di una società svizzera? Siamo assolutamente certi che il GDPR non abbia effetto?

Oltretutto, alcune organizzazioni dovranno nominare un DPO (esempio le banche, ma anche chi lavora nell’ambito sanitario e alla cura della persona, dettagli qui).

Comunque, in Svizzera stanno lavorando alla revisione della loro legge sulla protezione dei dati (LPD); a breve è attesa la attuazione.

In passato ho frequentato la Svizzera per motivi di studio, lavoro e turismo, e ne ho un bellissimo ricordo; quasi quasi verrei a farvi consulenza.

DPO data protection officer, soggetti privati obbligati alla nomina

Come ormai tutti sanno, entro il prossimo 25 maggio, molte organizzazioni dovranno avere un DPOData Protection Officer.

Ricevo moltissime richieste di chiarimento in relazione alle aziende private che dovranno avere il DPO; cerchiamo di fare chiarezza.

Chi deve obbligatoriamente nominare il DPO?

  • una pubblica amministrazione che tratta dati personali (eccettuate le autorità giurisdizionali quando esercitano le loro funzioni giurisdizionali);
  • una organizzazione che effettua monitoraggio, regolare, sistematico e su larga scala degli interessati;
  • una organizzazione che tratta, su larga scala, particolari categorie di dati sensibili o dati relativi a reati e condanne penali.

Ma quali sono queste ultime due categorie di organizzazioni, di tipo privato?

L’autorità Garante per le Protezione di Dati Personali, in una apposita faq, ha stilato un elenco non esaustivo di organizzazioni private che ricadono nelle due ultime tipologie e che dovranno quindi nominarlo:

  • istituti di credito;
  • imprese assicurative;
  • sistemi di informazione creditizia;
  • società finanziarie;
  • società di informazioni commerciali;
  • società di revisione contabile;
  • società di recupero crediti;
  • istituti di vigilanza;
  • partiti e movimenti politici;
  • sindacati;
  • caf e patronati;
  • società operanti nel settore delle “utilities” (telecomunicazioni, distribuzione di energia elettrica o gas);
  • imprese di somministrazione di lavoro e ricerca del personale;
  • società operanti nel settore della cura della salute, della prevenzione/diagnostica sanitaria quali ospedali privati, terme, laboratori di analisi mediche e centri di riabilitazione;
  • società di call center;
  • società che forniscono servizi informatici;
  • società che erogano servizi televisivi a pagamento.

Attenzione: il soggetto nominato DPO dovrà essere comunicato al Garante (diventerà il suo punto di contatto con l’organizzazione); verrà predisposta una apposita procedura per l’invio telematico, quindi si consiglia di attenderne l’implementazione.

DPO e CIO ruoli incompatibili

In Germania il ruolo di DPO esiste da anni; il loro Federal Data Protection Act impone, da anni, alle aziende tedesche che hanno almeno 10 persone coinvolte nel trattamento automatizzato di dati personali la nomina del Data Protection Officer.

Recentemente il Garante per la Protezione dei Dati tedesco ha multato una società che aveva designato il proprio Chief Information Officer come Data Protection Officer, e questo nonostante la normativa consenta la possibilità di nominare sia un dipendente che un professionista esterno.

Si tratta, nello specifico caso, della più palese forma di conflitto di interessi, in quanto uno dei compiti del D.P.O. è quello di verificare che i trattamenti realizzati nei sistemi informatici (quindi decisi dal C.I.O.) siano rispondenti alle norme.

 

Formazione DPO Data Protection Officer

Perchè Data Protection Officer?

Il Data Protection Officer (di seguito anche D.P.O. oppure DPO) è un ruolo chiave, introdotto dal Regolamento Generale sulla Protezione dei Dati E.U. 2016/679.
Il DPO, figura peraltro già presente in alcune legislazioni europee (talvolta indicato come Chief Privacy Officer, Privacy Officer, Data Protection Officer o Data Security Officer), è un professionista che ha un ruolo determinante per migliorare la sicurezza nel trattamento di dati della organizzazione.

Chi deve obbligatoriamente nominare il DPO?

  • una pubblica amministrazione che tratta dati personali (eccettuate le autorità giurisdizionali quando esercitano le loro funzioni giurisdizionali);
  • una organizzazione che effettua monitoraggio, regolare, sistematico e su larga scala degli interessati;
  • una organizzazione che tratta, su larga scala, particolari categorie di dati sensibili o dati relativi a reati e condanne penali.

Le altre organizzazioni potranno comunque nominare il DPO, quale misura di maggior tutela dei propri trattamenti; in tal caso, il DPO acquisterà tutti i doveri e dovrà rispettare tutte le norme previste dal nuovo codice.

Quali sono i compiti del DPO

I compiti primari del DPO sono:

  1. informare e fornire consulenza al Titolare e al Responsabile del trattamento nonché ai dipendenti che eseguono il trattamento in merito agli obblighi derivanti dal GDPR, nonché da altre disposizioni dell’Unione o degli Stati membri relative alla protezione dei dati;
  2. sorvegliare l’osservanza del GDPR, di altre disposizioni dell’Unione o degli Stati membri relative alla protezione dei dati nonché delle politiche del Titolare del trattamento o del Responsabile del trattamento in materia di protezione dei dati personali, compresi l’attribuzione delle responsabilità, la sensibilizzazione e la formazione del personale che partecipa ai trattamenti e alle connesse attività di controllo;
  3. fornire, se richiesto, un parere in merito alla valutazione d’impatto sulla protezione dei dati e sorvegliarne lo svolgimento ai sensi dell’articolo 35;
  4. cooperare con l’Autorità di Controllo (Garante per la Protezione dei Dati Personali);
  5. essere il punto di contatto dell’Autorità di Controllo per questioni connesse al trattamento dei dati personali, tra cui la consultazione preventiva di cui all’articolo 36, ed effettuare, se necessario, consultazioni relativamente a qualunque altra questione.

Chi può essere nominato DPO?

In base all’articolo 37, paragrafo 5 GDPR, il DPO “è designato in funzione delle qualità professionali, in particolare della conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati, e della capacità di assolvere i compiti di cui all’articolo 39”. Viene anche previsto che il livello necessario di conoscenza specialistica dovrebbe essere determinato in base ai trattamenti di dati effettuati e alla protezione richiesta per i dati personali oggetto di trattamento.
Allo stato attuale non esiste alcun schema di certificazione, corso, percorso formativo o seminario che abiliti al ruolo di D.P.O. ; sono invece importanti (e quindi obbligatoriamente richieste) esperienza e competenze professionali, così come la conoscenza delle normative nazionali ed europee; è necessaria anche una formazione adeguata e continua.

La figura DPO esterna

Le organizzazioni pubbliche di dimensioni limitate possono incaricare una figura esterna, che abbia i requisiti previsti, di rivestire il ruolo di DPO esterno. Alcune organizzazioni complesse potranno nominare una figura giuridica esterna (team di esperti) quando i processi di trattamento dei dati necessitano di particolari competenze interdisciplinari.

Autonomia del DPO

Il regolamento GDPR indica le garanzie essenziali per consentire al DPO di operare con un grado sufficiente di autonomia nella organizzazione del titolare del trattamento. Esso non dovrà ricevere alcuna istruzione sullo svolgimento dei propri compiti, che dovrà svolgere in modo indipendente. Avrà a disposizione un budget adeguato che gestirà autonomamente per i compiti assegnati, compreso quello della propria formazione continua.

Responsabilità del DPO

La nomina del DPO non solleva le organizzazioni dalle proprie responsabilità; infatti, si tratta di una figura di consulenza e controllo, priva di responsabilità esecutive; essa esprime solo pareri, ma le decisioni finali e le conseguenti responsabilità sono assunte dal Titolare del Trattamento dei Dati Personali ed in solido, dal responsabile del Trattamento dei Dati Personali.

Sono in grado di offrire supporto alle pubbliche amministrazioni per i processi di selezione, oppure alla formazione, relative alla nomina al ruolo DPO (D.P.O.), nelle province della Toscana (Arezzo, Siena, Grosseto, Livorno, Lucca, Massa e Carrara, Pisa, Pistoia, Prato), nelle province del Lazio (Frosinone, Latina, Rieti, ROMA, Viterbo), nelle province dell’Umbria (Perugia, Terni), nelle province della Emilia Romagna (Bologna, Ferrara, Forlì-Cesena, Modena, Parma, Piacenza, Ravenna, Reggio Emilia, Rimini), nelle province delle Marche (Ancona, Ascoli Piceno, Fermo, Macerata, Pesaro e Urbino).