Quando è obbligatoria la figura del DPO nel GDPR?

Quando è obbligatoria la figura del DPO nel GDPR?

Il Regolamento (UE) 2016/679 del 27 aprile 2016, più noto con l’acronimo inglese GDPR, oltre a prevedere un nuovo quadro giuridico in materia di protezione dei dati, fondato sul concetto anglosassone di accountability del Titolare, ha introdotto una nuova figura, finora sconosciuta nel nostro ordinamento giuridico, il Data Protection Officer (DPO) o, all’italiana, Responsabile della protezione dei dati (RPD).
Quali sono i compiti del DPO? Che qualità ed esperienze deve possedere? Deve essere un dipendente o può essere nominato anche un soggetto esterno? Quali sono le conseguenze se non è nominato? È responsabile nei confronti dei terzi e/o degli interessati in caso di violazione del GDPR? E soprattutto, quando è obbligatorio?
Queste sono solo alcune delle tante domande che si stanno (e ci stanno) enti pubblici e titolari di attività.
A questo punto cercheremo di dare delle risposte attraverso esempi pratici.

Quando è obbligatorio il DPO?

La designazione del DPO, ai sensi dell’art. 37, primo paragrafo, del GDPR, è obbligatoria in tre ipotesi:

• se il trattamento di dati personali è effettuato da un’autorità pubblica o da un organismo pubblico;
• quando le attività principali dell’organizzazione consistono in trattamenti che, richiedono il “monitoraggio regolare e sistematico” degli interessati “su larga scala”;
• quando le attività principali dell’organizzazione consistono nel trattamento “su larga scala” di dati “sensibili” (rectius, “categorie particolari di dati”) o “giudiziari” (rectius, “dati personali relativi a condanne penali e reati”).

(Alcune spiegazioni su termini generici o particolari, utilizzati all’interno del regolamento (come ad esempio quello di “larga scala”) sono state redatte dal Gruppo di Lavoro articolo 29 in materia di protezione dei dati personali (di seguito, WP29), nelle «Linee Guida sui responsabili della protezione dei dati (RPD)» (in inglese, «Guidelines on Data Protection Officers («DPOs»).

Alcune note sui precedenti punti:
Le definizioni di “organismo pubblico” o “autorità pubblica”, secondo il WP29, devono essere determinate in base al diritto nazionale. Di conseguenza, la nozione ricomprende non solo autorità nazionali, regionali e locali (amministrazioni dello Stato, anche con ordinamento autonomo, enti pubblici non economici nazionali, regionali e locali, Regioni e enti locali, le università, Camere di commercio, industria, artigianato e agricoltura, aziende del Servizio sanitario nazionale, autorità indipendenti ecc.), ma anche, a seconda del diritto nazionale applicabile, tutta una serie di “altri organismi” di diritto pubblico. Ai sensi dell’art. 3, co. 1, lett. d) del D.lgs. 50/2016 (c.d. Nuovo Codice degli Appalti), per “organismo di diritto pubblico” si intende “qualsiasi organismo, anche in forma societaria:

• istituito per soddisfare specificatamente esigenze di interesse generale, aventi carattere non industriale o commerciale;
• dotato di personalità giuridica;
• la cui attività sia finanziata in modo maggioritario dallo Stato, dagli enti pubblici territoriali o da altri organismi di diritto pubblico oppure la cui gestione sia soggetta al controllo di questi ultimi oppure il cui organo d’amministrazione, di direzione o di vigilanza sia costituito da membri dei quali più della metà è designata dallo Stato, dagli enti pubblici territoriali o da altri organismi di diritto pubblico”.

Ciò significa che, come già precisato dalla Suprema Corte (Cass. SS.UU. sent. n. 24722/2008), laddove sia volta a soddisfare bisogni pubblici, anche una società per azioni (quindi dotata di personalità giuridica) interamente controllata da un ente pubblico territoriale (come la Viareggio Porto S.p.A., società per azioni interamente controllata dal Comune di Viareggio), deve ricondursi nel novero degli organismi di diritto pubblico. E ciò in quanto può avere sostanza di diritto pubblico anche un organismo che rivesta forma di diritto privato: ciò che rileva, infatti, non è la veste giuridica, bensì “l’effettiva realtà interna dell’ente e la sua preordinazione al soddisfacimento di un certo tipo di bisogni, cui anche le imprese a struttura societaria sono in grado di provvedere”.

Attività principali che consistono in trattamenti che, per loro natura, ambito di applicazione e/o finalità, richiedono il monitoraggio regolare e sistematico di interessati su larga scala.
Il considerando 97 del Regolamento precisa che, nel settore privato, le “attività principali” di un’impresa riguardano le sue “attività primarie” e non comprendono i casi in cui il “trattamento dei dati personali” è solo un’“attività accessoria”. Con “attività principali” si possono, quindi, intendere le operazioni essenziali necessarie al raggiungimento degli obiettivi perseguiti dall’azienda.
Il Wp29 precisa che, tuttavia, l’espressione “attività principali” non va interpretata nel senso di escludere quei casi in cui il trattamento di dati, pur non costituendo attività principale, costituisce comunque una componente inscindibile dalle attività svolte. Ad esempio, l’attività principale di un ospedale è quella di prestare di assistenza sanitaria, ma non sarebbe possibile svolgerla nel rispetto della sicurezza e in modo efficace senza trattare dati relativi alla salute, come quelli contenuti nella cartella sanitaria di un paziente. Ne deriva che il trattamento di tali informazioni deve essere annoverato fra le attività principali di qualsiasi ospedale. Lo stesso dicasi per un’impresa di sicurezza privata incaricata della sorveglianza di più centri commerciali e aree pubbliche. L’attività principale dell’impresa consiste nella sorveglianza, ma questa, a sua volta, è legata in modo inscindibile al trattamento di dati personali. Ciò comporta che gli ospedali e le imprese di sorveglianza come quella prima descritta, secondo il WP29, sono tenuti a nominare un DPO.

Attività quali il pagamento delle retribuzioni al personale o la predisposizione di strutture standard di supporto informatico, invece, pur essendo necessarie o essenziali, sono considerate solitamente accessorie e non “core activities”.
Il concetto di ‘monitoraggio regolare e sistematico’ degli interessati non è definito all’interno del GDPR. Tuttavia, il considerando 24 menziona il “monitoraggio del comportamento degli interessati” ricomprendendovi senza dubbio tutte le forme di tracciamento e profilazione su Internet, anche se, precisa il WP29, il tracciamento online va considerato solo uno dei possibili esempi di monitoraggio del comportamento degli interessati.
Sempre secondo il WP29, l’aggettivo “regolare” significa che avviene in modo continuo ovvero a intervalli definiti per un arco di tempo definito, oppure che è ricorrente o ripetuto a intervalli costanti, oppure che avviene in modo costante o a intervalli periodici.
L’aggettivo “sistematico” ha significa che avviene per sistema, oppure che è predeterminato, organizzato o metodico, oppure che ha luogo nell’ambito di un progetto complessivo di raccolta di dati o che è svolto nell’ambito di una strategia.

Alcuni esempi di attività che possono configurare un monitoraggio regolare e sistematico di interessati secondo il WP29, fra gli altri, sono:

• la gestione di una rete di telecomunicazioni,
• la prestazione di servizi di telecomunicazioni;
• il reindirizzamento di messaggi di posta elettronica (email retargeting);
• attività di marketing basate sull’analisi dei dati raccolti;
• profilazione e scoring per finalità di valutazione del rischio (per esempio, a fini di valutazione del rischio creditizio, definizione dei premi assicurativi, prevenzione delle frodi, accertamento di forme di riciclaggio);
• tracciamento dell’ubicazione, ad esempio da parte di app su dispositivi mobili;
• programmi di fidelizzazione;
• pubblicità comportamentale;
• monitoraggio di dati relativi allo stato di benessere psicofisico, alla forma fisica e alla salute attraverso dispositivi indossabili;
• utilizzo di telecamere a circuito chiuso;
• dispositivi connessi quali contatori intelligenti, automobili intelligenti, dispositivi per la domotica, etc.

La nomina del DPO è obbligatoria anche nel caso in cui le attività principali di un organizzazione consistono nel trattamento, su larga scala, di “categorie particolari di dati” ai sensi dell’art. 9 del GDPR (e cioè dati personali idonei a rivelare l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l’appartenenza sindacale, nonché i dati genetici, i dati biometrici intesi a identificare in modo univoco una persona fisica, i dati relativi alla salute o alla vita sessuale o all’orientamento sessuale della persona) o di “dati relativi a condanne penali e a reati” ai sensi dell’art. 10 del GDPR, considerati dall’ordinamento meritevoli di maggior tutela.

La nomina volontaria del DPO
Si segnala che il WP29 incoraggia comunque la nomina del DPO, anche quando il GDPR non la richiede espressamente.
Bisogna tener conto che, in caso di designazione di un DPO su base volontaria, si applicheranno comunque gli stessi requisiti previsti dal GDPR sulla sua designazione, ruolo e compiti, come se la nomina fosse stata obbligatoria.