www.anorc.it

Le nuove professioni digitali: il Responsabile del trattamento dei

dati personali

● l'Interessato● Il Titolare● Il Responsabile● L'Incaricato● Il Garante

I SOGGETTI

IL RESPONSABILE

La persona fisica, giuridica, la pubblica amministrazione e qualsiasi ente, associazione o organismo preposti dal titolare del trattamento dati

Soggetto individuato per esperienza, capacità ed affidabilità - può essere interno o esterno all’azienda

Art. 29 del Codice PrivacyResponsabile del trattamento1. Il responsabile è designato dal titolare facoltativamente.2. Se designato, il responsabile è individuato tra soggetti che per esperienza, capacità ed affidabilità forniscano idonea garanzia del pieno rispetto delle vigenti disposizioni in materia di trattamento, ivi compreso il profilo relativo alla sicurezza.3. Ove necessario per esigenze organizzative, possono essere designati responsabili più soggetti, anche mediante suddivisione di compiti.4. I compiti affidati al responsabile sono analiticamente specificati per iscritto dal titolare.5. Il responsabile effettua il trattamento attenendosi alle istruzioni impartite dal titolare il quale, anche tramite verifiche periodiche, vigila sulla puntuale osservanza delle disposizioni di cui al comma 2 e delle proprie istruzioni.

Tip. responsabilità Responsabile del trattamento

Culpa in eligendoSe il responsabile era una persona palesemente inaffidabile

Culpa in vigilando

RESPONSABILITA’ PRIVACY

Se il Titolare non ha vigilato sul corretto trattamento che il responsabile ha fatto dei dati personali forniti

L’ORGANIZZAZIONE

TITOLARE

RESPONSABILE DEI SISTEMI INFORMATIVI

RESPONSABILE PRIVACY

RESPONSABILE DELLA

CONSERVAZIONE

PIANO DI SICUREZZA INFORMATICA

DPS E REGOLAMENTI INTERNI

MANUALE DELLA CONSERVAZIONE

INCARICATO INCARICATO INCARICATO

La Governance del patrimonio informativo aziendale:Compliance normativa nella Società dell’Informazione.

In strutture complesse gerarchia di responsabili a più livelli

Responsabilità Privacy e responsabilità“penale “d’impresa

Privacy Manager?

Il caso concreto

Può un Responsabile del trattamento nominare a sua volta un altro Responsabile per subappaltare alcune mansioni?

Nel 2001 il Garante aveva chiarito che un Responsabile non può nominare a sua volta un altro Responsabile.In un recente provvedimento, tuttavia, il Garante Privacy ha indicato la strada da seguire nel caso in cui sia necessario permettere al Responsabile di subappaltare alcune mansioni (come ad esempio quella manutentiva):“il soggetto nominato quale responsabile del trattamento, nel caso in cui intenda avvalersi dell’opera di soggetti terzi (diversi dalle persone fisiche con cui potrebbe avere in essere un rapporto contrattuale e che conseguentemente devono venire nominate quali incaricati del trattamento), si dovrà impegnare ad informare il titolare del trattamento del fatto che intende avvalersi di terzi per l'esecuzione di alcune delle attività effettuate per conto del titolare e a sottoporre tale circostanza al previo accordo di quest'ultimo e deve stipulare un accordo scritto con i terzi, che imponga il rispetto dei medesimi obblighi privacy a cui il Responsabile stesso è vincolato”.

Per consentire, poi, al Titolare di esercitare un effettivo controllo sui dati personali trattati per suo conto dai vari responsabili del trattamento o terzi soggetti coinvolti (anche in caso di esternalizzazione a terzi di alcune attività) è necessario che lo stesso sia a conoscenza:- delle principali modalità di esecuzione dei servizi resi dai

soggetti esterni; - delle specifiche funzioni cui sono addetti; - delle tipologie di dati cui hanno accesso;- delle procedure adottate per garantire la sicurezza dei dati

trattati.

La soluzione prospettata dal Garante pare in linea anche con quanto riportato nella bozza di Regolamento europeo (es. Corresponsabili )

Introduzione al principio di “accountability“ da intendersi come “responsabilità verificabile”

Titolare dei Documenti e dei Dati (nomina Responsabile interno

della conservazione)

Responsabile del procedimento di conservazione

(referente interno)

Responsabile del trattamento

(verifica, coordinamento e gestione delle misure di

sicurezza e organizzative in ambito privacy)

Organismo di Vigilanza e

Certificazione

Tali figure non è previsto agiscano “in solitudine” o comunque in maniera isolata l’una dall’altra; anzi, è necessaria una sorta di “interoperabilità intellettuale” tra soggetti (giuristi, informatici, archivisti, etc.) dotati di specifiche competenze che dovranno esplicare un proprio ruolo nella gestione di questi processi.

Abbiamo capito chi è il Responsabile del trattamento …

…. ma chi è invece questo "Privacy Officer"?

Grazie per l’attenzione!

Avv. Graziano Garrisi

email: grazianogarrisi@studiolegalelisi.it