Quali sono i compiti di un responsabile della protezione dei dati?

Cosa deve fare un responsabile della protezione dei dati (DPO)?

Il Regolamento generale sulla protezione dei dati (GDPR) è entrato in vigore qualche anno fa. Nell'ambito di questa legge sono state introdotte molte nuove norme, tra cui quelle che richiedono la nomina di un responsabile della protezione dei dati (DPO) da parte dell'azienda.

Questo regolamento mira a garantire che il responsabile del trattamento o l'incaricato del trattamento fornisca un elevato livello di qualità per la protezione dei dati personali.

Un'azienda può scegliere tra una soluzione interna o responsabile esterno della protezione dei dati di nominare.

Il DPO interno è selezionato e nominato dalla direzione.

Quali sono i compiti di un responsabile della protezione dei dati ai sensi del GDPR?

Probabilmente conoscete il termine "responsabile della protezione dei dati" (DPO) o lo avete già sentito. Ma quali sono le funzioni e i compiti associati a questo ruolo nella protezione dei dati aziendali? La vostra azienda ha bisogno di un responsabile della protezione dei dati?

In questo articolo forniamo informazioni su quando è necessario un responsabile della protezione dei dati e su quali obblighi e compiti ha un responsabile della protezione dei dati (aziendale) ai sensi del GDPR.

Quando è necessario un responsabile della protezione dei dati?

L'articolo 37 del GDPR specifica le condizioni in base alle quali il responsabile del trattamento o l'incaricato del trattamento è obbligato a nominare un responsabile della protezione dei dati. Il legislatore tedesco ha ulteriormente specificato tale obbligo nella sezione 38 della legge federale sulla protezione dei dati (BDSG) e successive modifiche.

Ad esempio, è sempre necessario nominare un responsabile della protezione dei dati se nella vostra azienda almeno 20 persone sono coinvolte in modo permanente nel trattamento automatizzato dei dati personali, ossia se avete almeno 20 dipendenti che entrano in contatto con i dati personali.

Se non avete ancora preso in considerazione i requisiti per la nomina di un responsabile della protezione dei dati, vi consigliamo vivamente di verificare la necessità di farlo.

Compiti dei responsabili della protezione dei dati aziendali secondo il GDPR e il BDSG in azienda

Il responsabile della protezione dei dati è una persona responsabile della protezione dei dati. Deve garantire la protezione dei dati personali rispettando le norme in materia di protezione dei dati.

Tuttavia, ciò non significa che il responsabile della protezione dei dati debba occuparsi autonomamente di tutta la protezione dei dati aziendali. È autorizzato a delegare compiti e a controllare la conformità alle norme sulla protezione dei dati. Il fattore decisivo è che si assuma la responsabilità della conformità alle norme sulla protezione dei dati.

Il responsabile della protezione dei dati non deve essere necessariamente un dipendente dell'azienda. È possibile nominare sia un responsabile della protezione dei dati interno all'azienda sia un responsabile della protezione dei dati esterno, proveniente da un fornitore di servizi specializzato. I compiti dei responsabili esterni della protezione dei dati ai sensi del GDPR e del BDSG non differiscono.

Quali siano esattamente i compiti di un responsabile della protezione dei dati (aziendali) è definito in modo più dettagliato nell'art. 39 del GDPR:

• Il responsabile della protezione dei dati controlla il rispetto delle norme sulla protezione dei dati, in particolare quelle del GDPR e del BDSG.
  Crea e mantiene l'elenco dei trattamenti, indaga e rimedia alle cause degli incidenti di protezione dei dati ed esegue controlli sulla protezione dei dati.
• Il responsabile della protezione dei dati fornisce consulenza al responsabile del trattamento/incaricato in tutte le questioni relative alla protezione dei dati e supporta l'attuazione dei requisiti di protezione dei dati.
  Ad esempio, elabora linee guida, fornisce consulenza sulle valutazioni d'impatto della protezione dei dati e ne controlla l'attuazione ai sensi dell'art. 35 del GDPR.
• Il responsabile della protezione dei dati è il punto di contatto per tutte le questioni relative al datore di lavoro e ai dipendenti o al comitato aziendale. Anche soggetti esterni come clienti, partner contrattuali o fornitori possono rivolgersi al responsabile della protezione dei dati per eventuali domande.
• Il responsabile della protezione dei dati sensibilizza anche sulla protezione dei dati. Ad esempio, partecipa alle sessioni di formazione dei dipendenti per insegnare loro come gestire correttamente i dati personali nel loro lavoro quotidiano.
• Il responsabile della protezione dei dati è anche in contatto con le autorità di vigilanza. È il punto di contatto con le autorità di controllo per tutte le questioni relative alla protezione dei dati.

I compiti di un responsabile della protezione dei dati sono quindi vari e sono aumentati dopo l'introduzione del GDPR. Pertanto, il responsabile della protezione dei dati deve possedere le qualifiche professionali necessarie per poter adempiere ai propri doveri e compiti in qualità di responsabile della protezione dei dati con competenza ed esperienza.

Il responsabile della protezione dei dati non è vincolato da istruzioni nel suo lavoro. Tuttavia, non è nemmeno autorizzato a impartire istruzioni. Ciò significa che il responsabile del trattamento o l'incaricato del trattamento rimane responsabile dell'attuazione delle sue raccomandazioni. Una buona collaborazione tra il responsabile della protezione dei dati e la direzione è quindi fondamentale per un'efficace protezione operativa dei dati.

Compiti di protezione dal licenziamento

In qualità di DPO designato, il dipendente è tutelato dal licenziamento, che è giustificato solo in caso di colpa grave. La parte responsabile deve inoltre assicurarsi di fornire al DPO tutte le risorse necessarie per consentirgli di svolgere i propri compiti.

Elezione del responsabile della protezione dei dati

Quando si sceglie tra un responsabile della protezione dei dati interno o esterno, si deve tenere presente che un responsabile della protezione dei dati esterno non ha legami con la vostra azienda e quindi rimane neutrale, il che significa che non possono sorgere conflitti di interesse nell'adempimento dei suoi doveri di responsabile della protezione dei dati.

Ci sono anche molti altri vantaggi che parlano a favore di un responsabile esterno della protezione dei dati. Abbiamo elencato questi vantaggi nel nostro blog "Quali sono i costi di un responsabile esterno della protezione dei dati?", in cui esaminiamo più da vicino i costi di un responsabile esterno della protezione dei dati, tra le altre cose.

Competenze richieste

Secondo il GDPR, solo chi possiede le "competenze necessarie" dovrebbe essere nominato DPO. Se le competenze richieste non possono essere soddisfatte, le autorità di vigilanza sono autorizzate a licenziare il DPO.

Un responsabile esterno della protezione dei dati di solito possiede già le qualifiche richieste. I compiti di un responsabile esterno della protezione dei dati non differiscono da quelli di un responsabile interno. Tuttavia, un DPO esterno può solitamente garantire le competenze richieste meglio di un DPO interno, grazie alla sua vasta esperienza.

È fondamentale che un DPO abbia le competenze necessarie. In primo luogo una conoscenza di base della legge sulla protezione dei dati, delle pratiche di protezione dei dati, della sicurezza informatica e delle competenze trasversali per svolgere i compiti e le mansioni di un responsabile della protezione dei dati previsti dal GDPR.

Ciò include la consulenza ai responsabili sulle questioni relative alla protezione dei dati e il supporto all'implementazione di misure che soddisfino i requisiti di protezione dei dati. Il DPO è il punto di contatto per il datore di lavoro, i dipendenti, il consiglio di fabbrica e le parti esterne come i partner contrattuali, i clienti e i fornitori. È inoltre il referente principale per le richieste di informazioni da e verso le autorità di vigilanza competenti.

Il responsabile della protezione dei dati deve essere coinvolto anche nei programmi di formazione dei dipendenti. L'obiettivo è quello di istruire i dipendenti coinvolti nel trattamento dei dati personali sui requisiti generali di protezione dei dati, al fine di garantire la protezione dei dati anche in questo ambito.

Il compito centrale del DPO è quello di consigliare il responsabile del trattamento sull'attuazione e la realizzazione di misure volte a garantire il trattamento dei dati personali in conformità alla legge. Va notato che il DPO ha solo un ruolo consultivo e non è responsabile dell'effettiva attuazione.

I responsabili devono assicurarsi che l'implementazione di processi conformi alla protezione dei dati non sia un progetto una tantum, ma richieda una revisione costante. Se non esiste un concetto per la creazione di tali processi nell'ambito di un'organizzazione per la protezione dei dati, il DPO dovrebbe essere coinvolto nella creazione di tale concetto.

La prima indicazione di tale organizzazione può essere la compilazione dell'elenco delle attività di trattamento.
Un elenco di questo tipo aiuta a organizzare i processi conformi alla protezione dei dati e fornisce una fonte rapidamente accessibile per ottenere le informazioni necessarie sulle operazioni di trattamento dei dati.

Nel corso della definizione di processi conformi alla protezione dei dati, si dovrebbe sempre tenere conto dell'implementazione di impostazioni predefinite favorevoli alla protezione dei dati (privacy by design/default). Questo, insieme a regolari audit sulla protezione dei dati e valutazioni dei rischi, è un buon modo per poter agire in futuro in modo conforme alla protezione dei dati e ridurre al minimo i rischi legali dovuti alla non conformità al GDPR.