Responsabile della protezione dei dati: quando ne avete bisogno secondo il GDPR?

Quando il responsabile della protezione dei dati diventa un obbligo di legge?

Il Regolamento generale sulla protezione dei dati (GDPR) è in vigore da qualche anno in tutta l'Unione europea (UE).

Nella maggior parte delle istituzioni, in particolare nelle aziende che trattano dati personali, è richiesta la presenza di un responsabile della protezione dei dati (DPO). Questa persona viene nominata in base alle sue competenze in materia di legge e prassi sulla protezione dei dati e funge da punto di contatto per le questioni relative alla protezione dei dati e da supervisore per garantire la conformità alle norme sulla protezione dei dati.

Articoli correlati dal nostro blog:
Quali sono i costi di un responsabile della protezione dei dati?

Leggi qui

Quando deve essere nominato un responsabile della protezione dei dati ai sensi del GDPR?

Il GDPR stabilisce quando i responsabili o gli incaricati del trattamento devono nominare per iscritto un responsabile della protezione dei dati.

Ad esempio, se un'azienda ha 20 o più dipendenti coinvolti nel trattamento dei dati personali, ovvero un ente o un'autorità pubblica, ad eccezione dei tribunali, finché sono attivi nella loro attività giudiziaria.

I responsabili della protezione dei dati sono obbligatori da quando e devono essere nominati anche se le attività principali del responsabile del trattamento o dell'incaricato del trattamento richiedono un monitoraggio sistematico a causa della natura, della portata o dell'estensione dei dati. Inoltre, un responsabile della protezione dei dati deve essere nominato se i dati personali sono trattati in alcuni casi di condanne penali o reati.

In altri casi e indipendentemente dal numero di dipendenti, è possibile nominare un responsabile della protezione dei dati in conformità al GDPR, ma spesso ciò è richiesto solo per trattamenti di dati personali molto specifici ed estesi. Ciò include il trattamento dei dati personali relativi a convinzioni politiche/religiose, etnia/razza, salute e vita sessuale.

Nel caso di gruppi di imprese, autorità o enti pubblici, può essere nominato un responsabile della protezione dei dati ai sensi dell'art. 37, tenendo conto della struttura organizzativa e delle dimensioni, a condizione che il responsabile della protezione dei dati sia disponibile in modo permanente.

Quando è necessario un responsabile della protezione dei dati?

Nonostante il nuovo GDPR, la legge federale tedesca sulla protezione dei dati (BDSG) si applica laddove il GDPR non prevede norme specifiche. Quando è necessario un responsabile della protezione dei dati? Secondo il BDSG, un responsabile della protezione dei dati è obbligatorio se 10 o più persone trattano automaticamente dati personali. Inoltre, le aziende devono nominare per iscritto un responsabile della protezione dei dati se trasmettono dati personali su base commerciale, li trasmettono in forma anonima o li elaborano per ricerche di mercato o sondaggi di opinione.

Se la vostra azienda non ha indagato sulla necessità di nominare un responsabile della protezione dei dati, si raccomanda un audit.

È possibile saperne di più sull'obbligo di un Valutazione dell'impatto sulla protezione dei dati:

Articoli correlati dal nostro blog:
Valutazione d'impatto sulla protezione dei dati (DPIA): Cosa bisogna fare?

Leggi qui

Multe per sanzionare il GDPR può portare a costose sanzioni. L'azienda è protetta dalle sanzioni solo se il responsabile della protezione dei dati è stato nominato correttamente. La nomina viene formalizzata per iscritto con un certificato di nomina firmato dalla direzione.

Per riassumere quando è necessario un responsabile della protezione dei dati: un responsabile della protezione dei dati è una persona esperta nella normativa sulla protezione dei dati che fornisce consulenza a un'organizzazione sulla normativa in materia di protezione dei dati e garantisce il rispetto delle norme sulla protezione dei dati. È necessario quando vengono trattati determinati dati e la violazione di queste norme può essere punita con sanzioni elevate dal GDPR.