Il Responsabile della protezione dei dati, a norma dell’articolo 37 5° comma, deve possedere delle qualità professionali “in particolare della conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati, e della capacità di assolvere i compiti di cui all’articolo 39” che gli consentano di fornire un’assistenza qualificata al titolare per tutte quei processi e quelle scelte che attengono al trattamento dei dati personali.
Chi è il responsabile protezione dati per il Gdpr
Non è un caso, infatti, che il successivo articolo 38 prescrive che sia il titolare sia il responsabile si adoperino affinché il Responsabile della protezione dei dati sia “tempestivamente e adeguatamente coinvolto in tutte le questioni riguardanti il trattamento dei dati personali”.
Possiamo quindi affermare che, pur se il titolare rimane sempre il vero fulcro della disciplina in materia di protezione dei dati, soprattutto in considerazione della particolare enfasi che il Regolamento dà al concetto di accountability, il Responsabile della protezione dei dati è uno degli elementi portanti della struttura, al punto da dover affiancare il titolare e dover fornire la propria assistenza qualificata per tutte le questioni inerenti il trattamento dei dati personali.
Compiti troppo generici per il responsabile
I compiti che sono previsti dalla legge per tale figura, ossia le istruzioni contenute nell’articolo 39, peccano tuttavia di eccessiva genericità e non consentono, nella maggior parte dei casi, di usufruire di una competenza realmente qualificata che possa perciò esprimersi nelle ipotesi che coinvolgono i processi aziendali o le tecnologie adoperate, eccezion fatta per la lettera c) del suddetto articolo che codifica, se richiesta, l’assistenza del RPD nel caso di valutazione d’impatto.
È proprio negli ambiti della definizione dei processi e delle tecnologie, invece, che si potrebbe giocare la partita più interessante sia in ambito di scelta del RPD sia in ambito di processo di compliance da parte dell’azienda, ovviamente se gestiti in maniera tale da non creare conflitti d’interesse che contrasterebbero con le prerogative stesse del ruolo.
Al di là del dettato legislativo, infatti, è prassi identificare tra le caratteristiche in capo al designando RPD anche la conoscenza dei processi tipici di quella determinata realtà imprenditoriale o la conoscenza dei software in uso in una struttura produttiva, affinché possa da subito essere coinvolto, in maniera proficua, nelle scelte che il titolare deve compiere sui temi del trattamento dei dati personali.
Contratti e policy di gestione dei flussi informativi
Tale coinvolgimento riposa di solito sulla congiunzione di due elementi: un elemento contrattuale e un elemento di definizione di una policy di gestione dei flussi informativi.
Per quanto riguarda l’elemento contrattuale, esso consiste nella necessità di specificare, sia in sede di delineazione dell’offerta di lavoro sia in sede di attribuzione dell’incarico (in caso di RPD interno) o di stipula del contratto di servizi (in caso di RPD esterno) le competenze “di settore” che si attendono dal proprio candidato ideale, con l’effetto di creare già una prima barriera di selezione e di rivolgersi a soggetti con competenze verticali su una determinata categoria di trattamenti posti in essere dal titolare.
La parte contrattualistica rischierebbe però di restare un accorgimento privo di effetti concreti se non venisse affiancato da una politica di gestione dei flussi informativi tra i soggetti deputati al trattamento (il titolare, l’eventuale responsabile e le persone fisiche autorizzate a compiere operazioni di trattamento) e il RPD.
Questa policy, infatti, risulta fondamentale al fine di delineare non solo le condizioni e le modalità tramite le quali ingaggiare il RPD su questioni attinenti il trattamento di dati personali, ma può specificare anche le modalità tramite le quali fornire concreto supporto ai processi aziendali o alle scelte tecnologiche mediante suggerimenti implementativi dei diversi obblighi del GDPR (notifica della violazione dei dati personali, tenuta del registro dei trattamenti, analisi e regolamentazione dei trasferimenti di dati verso Paesi terzi, presa in carico e gestione delle richieste di esercizio dei diritti degli interessati), stabilendo tempi di risposta e ambiti nei quali le competenze del RPD possano esprimersi appieno.
È evidente che una figura di questo tipo poggia su requisiti professionali particolarmente elevati e una costante necessità di aggiornamento, ma gli effetti benefici in un’ottica di procedura di compliance potrebbero sicuramente essere considerevoli e valere sia il tempo della ricerca del professionista più idoneo sia dell’eventuale costo più elevato rispetto a RPD non sufficientemente specializzati sui processi e sulle tecnologie adottati dal titolare.
GDPR, scegliere il responsabile trattamento dati: interno o esterno all’azienda?
