Regolamento privacy - Scelta responsabile della protezione dei dati (RPD)
Le prime indicazioni del Garante: necessarie competenze specifiche non attestati formali
Newsletter 15 Settembre 2017
Le pubbliche amministrazioni, così come i soggetti privati, dovranno scegliere il Responsabile della protezione dei dati personali (RPD) con particolare attenzione, verificando la presenza di competenze ed esperienze specifiche.
Non sono richieste attestazioni formali sul possesso delle conoscenze o l'iscrizione ad appositi albi professionali. Queste sono alcune delle indicazioni fornite dal Garante della privacy alle prime richieste di chiarimento in merito alla nomina di questa nuova importante figura - introdotta dal Regolamento UE 2016/679 - che tutti gli enti pubblici e anche molteplici soggetti privati dovranno designare non più tardi del prossimo maggio 2018.
Nella nota inviata a un'azienda ospedaliera l'Ufficio del Garante ricorda che i Responsabili della protezione dei dati personali - spesso indicati con l'acronimo inglese DPO (Data Protection Officer) – dovranno avere un'approfondita conoscenza della normativa e delle prassi in materia di privacy, nonché delle norme e delle procedure amministrative che caratterizzano lo specifico settore di riferimento. Nella selezione sarà poi opportuno privilegiare soggetti che possano dimostrare qualità professionali adeguate alla complessità del compito da svolgere, magari documentando le esperienze fatte, la partecipazione a master e corsi di studio/professionali (in particolare se risulta documentato il livello raggiunto). Gli esperti individuati dalle aziende ospedaliere, ad esempio, in considerazione della delicatezza dei trattamenti di dati effettuati (come quelli sulla salute o quelli genetici) dovranno preferibilmente vantare una specifica esperienza al riguardo e assicurare un impegno pressoché esclusivo nella gestione di tali compiti.
L'Autorità ha inoltre chiarito che la normativa attuale non prevede l'obbligo per i candidati di possedere attestati formali delle competenze professionali. Tali attestati, rilasciati anche all'esito di verifiche al termine di un ciclo di formazione, possono rappresentare un utile strumento per valutare il possesso di un livello adeguato di conoscenza della disciplina ma, tuttavia, non equivalgono a una "abilitazione" allo svolgimento del ruolo del RPD. La normativa attuale, tra l'altro, non prevede l'istituzione di un albo dei "Responsabili della protezione dei dati" che possa attestare i requisiti e le caratteristiche di conoscenza, abilità e competenza di chi vi è iscritto. Enti pubblici e società private dovranno quindi comunque procedere alla selezione del RPD, valutando autonomamente il possesso dei requisiti necessari per svolgere i compiti da assegnati.
Il Garante si riserva di fornire ulteriori orientamenti, che saranno pubblicati sul sito istituzionale, anche all'esito dei quesiti e delle richieste di approfondimento sul Regolamento privacy, raccolti nell'ambito di specifici incontri che l'Autorità ha in corso con imprese e Pubblica Amministrazione.
Fonte: Garante della protezione dei dati
http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/6826945#1
.....
Correlati:
Privacy: il Nuovo Regolamento (UE) 2016/679
Privacy: Pubblicato il Nuovo Regolamento (UE) 2016/679
Sulla GUUE del 4 Maggio 2016 è stato pubblicato il Regolamento generale sulla protezione dei dati (UE) 2016/679 (Privacy):
REGOLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO E DEL CONSIGLIO del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati).
Campo di applicazione
Il regolamento si applica al trattamento dei dati personali effettuato nell'ambito delle attività di uno stabilimento da parte di un titolare del trattamento o di un responsabile del trattamento nell'Unione, indipendentemente dal fatto che il trattamento sia effettuato o meno nell'Unione.
Il regolamento si applica al trattamento dei dati personali di interessati che si trovano nell'Unione, effettuato da un titolare del trattamento o da un responsabile del trattamento che non è stabilito nell'Unione, quando le attività di trattamento riguardano:
a) l'offerta di beni o la prestazione di servizi ai suddetti interessati nell'Unione, indipendentemente dall'obbligatorietà di un pagamento dell'interessato; oppure
b) il monitoraggio del loro comportamento nella misura in cui tale comportamento ha luogo all'interno dell'Unione.
Il regolamento si applica al trattamento dei dati personali effettuato da un titolare del trattamento che non è stabilito nell'Unione, ma in un luogo soggetto al diritto di uno Stato membro in virtù del diritto internazionale pubblico.
Il regolamento stabilisce norme relative alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché norme relative alla libera circolazione di tali dati.
Il regolamento protegge i diritti e le libertà fondamentali delle persone fisiche, in particolare il diritto alla protezione dei dati personali, la libera circolazione dei dati personali nell'Unione non può essere limitata né vietata per motivi attinenti alla protezione delle persone fisiche con riguardo al trattamento dei dati personali.
Il regolamento entra in vigore il ventesimo giorno (24 Maggio 2016) successivo alla pubblicazione nella Gazzetta ufficiale dell'Unione europea (4 maggio 2016) e si applica a decorrere da 25 maggio 2018.
La direttiva 95/46/CE è abrogata a decorrere da 25 maggio 2018.
GU L 119/1 del 4 Maggio 2016
...
Guida applicazione Regolamento (UE) 2016/679 Privacy
Guida applicazione Regolamento (UE) 2016/679 Privacy
28 Aprile 2017, Garante della protezione dei dati personali
La Guida intende offrire un panorama delle principali problematiche che imprese e soggetti pubblici dovranno tenere presenti in vista della piena applicazione del Regolamento (UE) 2016/79, prevista il 25 maggio 2018.
Attraverso raccomandazioni specifiche vengono suggerite alcune azioni che possono essere intraprese sin d'ora perché fondate su disposizioni precise del regolamento che non lasciano spazi a interventi del legislatore nazionale (come invece avviene per altre norme del regolamento, in particolare quelle che disciplinano i trattamenti per finalità di interesse pubblico ovvero in ottemperanza a obblighi di legge).
Vengono, inoltre, segnalate alcune delle principali novità introdotte dal regolamento rispetto alle quali sono suggeriti possibili approcci in modo da arrivare all'appuntamento del 25 maggio 2018 con le idee più chiare.
Ogni sezione illustra cosa cambierà e cosa rimarrà immutato rispetto all'attuale disciplina del trattamento dei dati personali, aggiungendo preziose raccomandazioni pratiche per una corretta implementazione delle nuove disposizioni introdotte dal Regolamento.
Il testo potrà subire modifiche e integrazioni, allo scopo di offrire sempre nuovi contenuti e garantire un adeguamento costante all'evoluzione della prassi interpretativa e applicativa della normativa.
Il testo della Guida è articolato in 6 sezioni tematiche:
- Fondamenti di liceità del trattamento;
- Informativa;
- Diritti degli interessati;
- Titolare, responsabile, incaricato del trattamento;
- Approccio basato sul rischio del trattamento e misure di accountability di titolari e responsabili;
- Trasferimenti internazionali di dati.
....
Il Responsabile della protezione dei dati: Regolamento (UE) 2016/679