{"id":1404,"date":"2017-03-23T04:45:04","date_gmt":"2017-03-23T04:45:04","guid":{"rendered":"https:\/\/project90.it\/boglione\/approfondimento\/il-nuovo-regolamento-generale-sulla-protezione-dei-dati-rgpd-il-ruolo-del-data-protection-officer-dpo\/"},"modified":"2026-05-19T13:26:58","modified_gmt":"2026-05-19T13:26:58","slug":"il-nuovo-regolamento-generale-sulla-protezione-dei-dati-rgpd-il-ruolo-del-data-protection-officer-dpo","status":"publish","type":"approfondimento","link":"https:\/\/boglione.eu\/en\/approfondimento\/il-nuovo-regolamento-generale-sulla-protezione-dei-dati-rgpd-il-ruolo-del-data-protection-officer-dpo\/","title":{"rendered":"The new General Data Protection Regulation (GDPR): the role of the Data Protection Officer (DPO)"},"content":{"rendered":"

Il Reg. (UE) n. 2016\/679 del Parlamento Europeo e del Consiglio detta la nuova disciplina in materia di protezione dei dati personali e trover\u00e0 diretta applicazione negli Stati Membri a partire dal 25 maggio 2018.
\nIl Regolamento, a fianco alle figure del titolare e del responsabile del trattamento dei dati, istituisce all’art. 37 la nuova figura del Responsabile della Protezione dei Dati<\/strong> (Data Protection Officer o anche DPO).
\nTale figura deve essere nominata dal titolare e dal responsabile del trattamento nei seguenti casi:
\na) se il trattamento \u00e8 effettuato da autorit\u00e0 pubbliche;
\nb) se l’attivit\u00e0 principale del titolare o del responsabile del trattamento consiste in trattamenti che richiedono il monitoraggio regolare e sistematico degli interessati su larga scala;
\nc) se l’attivit\u00e0 principale del titolare o del responsabile \u00e8 il trattamento di dati di particolari categorie di dati personali (che rivelino l’origine razziale o etnica, le convinzioni religiose o filosofiche, dati biometrici etc.) o dati relativi a condanne penali.
\nIl Responsabile della Protezione dei dati pu\u00f2 essere unico all’interno di un gruppo imprenditoriale<\/strong>, a condizione che egli sia facilmente raggiungibile da ciascuno stabilimento. La definizione di gruppo imprenditoriale offerta dallo stesso Regolamento \u00e8 piuttosto ampia ed estensiva, consistendo in un gruppo costituito da un’impresa controllante e dalle imprese da questa controllate (art. 4, n. 19). Per comprendere cosa abbia inteso il legislatore comunitario per “impresa controllante” \u00e8 utile la lettura del considerando n. 37 secondo il quale l’impresa controllante \u00e8 quella che pu\u00f2 esercitare un’influenza dominante sulle controllate in forza della propriet\u00e0, della partecipazione finanziaria, delle norme societarie o del potere di fare applicare le norme in materia di protezione dei dai personali. Anche il mero collegamento tra due imprese, laddove implichi una gestione comune del trattamento, pu\u00f2 essere incluso nel concetto di gruppo imprenditoriale e consente pertanto la nomina di un unico DPO.
\nI compiti del DPO<\/strong> sono elencati all’art. 39 del Regolamento e consistono nel:
\na) informare e fornire consulenza in merito agli obblighi derivanti dal Regolamento;
\nb) sorvegliare l’applicazione del Regolamento e delle politiche in materia di protezione dei dati personali, compresi l’attribuzione delle responsabilit\u00e0 (c.d. accountability), la sensibilizzazione e la formazione del personale che partecipa ai trattamenti;
\nc) fornire pareri circa la valutazione d’impatto sulla protezione dei dati;
\nd) cooperare con l’autorit\u00e0 di controllo;
\ne) fungere da punto di contratto per l’autorit\u00e0 di controllo per questioni connesse al trattamento (v. consultazione preventiva ex art. 36 Reg.).
\nIl titolare e il responsabile del trattamento devono coinvolgere il DPO in tutte le questioni riguardanti la protezione dei dati personali e fornirgli le risorse necessarie per l’assolvimento dei compiti elencati dall’art. 39 del Regolamento, ma non possono fornirgli indicazioni in merito all’esecuzione dei propri compiti. Il DPO \u00e8 infatti una figura indipendente, che riporta direttamente al “vertice gerarchico” del titolare e del responsabile del trattamento dei dati. Il DPO non \u00e8 una figura esclusiva, in quanto pu\u00f2 svolgere anche altri compiti e funzioni, a condizione che essi non diano adito a un conflitto di interessi.
\nIl 13 dicembre 2016 il Gruppo dei Garanti UE ha emesso alcune linee guida e raccomandazioni<\/strong><\/u> <\/strong>aventi ad oggetto la figura del DPO. Le linee guida forniscono indicazioni utili circa le qualit\u00e0 personali e le caratteristiche che il DPO deve possedere, tra le quali un livello di competenza adeguato al tipo di trattamento effettuato; sanciscono inoltre i principi di indipendenza e inamovibilit\u00e0, alla luce dei quali il DPO deve svolgere i propri compiti.
\nVengono inoltre fornite alcune importanti indicazioni per l’interpretazione del concetto di monitoraggio su larga scala, che come abbiamo visto rappresenta uno dei casi in cui la nomina del DPO diviene obbligatoria. In particolare per comprendere se ci si trovi di fronte ad un monitoraggio di tale specie, occorre prendere in considerazione: il numero di persone interessate, il volume dei dati, la durata o la permanenza dell’attivit\u00e0 di elaborazione dei dati e l’estensione geografica dell’attivit\u00e0 di trasformazione. Le linee guida forniscono anche alcuni utili esempi di monitoraggio su larga scala che comprendono l’elaborazione dei dati del paziente nel corso normale delle attivit\u00e0 di un ospedale, il trattamento dei dati di viaggio nel trasporto pubblico locale, il trattamento dei dati dei clienti delle compagnie di assicurazione e delle banche, il trattamento dei dati sul traffico telefonico da parte della compagnie telefoniche.
\nIl Regolamento dovr\u00e0 essere implementato dai soggetti interessati tra poco pi\u00f9 di un anno: gli adempimenti richiesti sono tutt’altro che formali e sono improntati ad un nuova visione della protezione dei dati personali non pi\u00f9 incentrata sui diritti dell’interessato ma sugli obblighi di gravanti sul titolare e sul responsabile del trattamento dei dati personali. La nuova figura del DPO, quale soggetto indipendente di vigilanza e controllo e punto di raccordo con l’autorit\u00e0 garante, si inserisce in questa nuova prospettiva e dovrebbe consentire una verifica costante e ravvicinata della corretta applicazione del Regolamento GDPR.<\/p>\n

","protected":false},"author":3,"featured_media":0,"template":"","categories":[15],"class_list":["post-1404","approfondimento","type-approfondimento","status-publish","hentry","category-responsabilita-civile"],"acf":[],"_links":{"self":[{"href":"https:\/\/boglione.eu\/en\/wp-json\/wp\/v2\/approfondimento\/1404","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/boglione.eu\/en\/wp-json\/wp\/v2\/approfondimento"}],"about":[{"href":"https:\/\/boglione.eu\/en\/wp-json\/wp\/v2\/types\/approfondimento"}],"author":[{"embeddable":true,"href":"https:\/\/boglione.eu\/en\/wp-json\/wp\/v2\/users\/3"}],"wp:attachment":[{"href":"https:\/\/boglione.eu\/en\/wp-json\/wp\/v2\/media?parent=1404"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/boglione.eu\/en\/wp-json\/wp\/v2\/categories?post=1404"}],"curies":[{"name":"WP","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}