Il DPO, o Responsabile della Protezione dei Dati (RPD), non è obbligatorio per ogni impresa. L’art. 37 del GDPR individua casi specifici e richiede di guardare soprattutto alle attività principali e alle caratteristiche dei trattamenti.
Per i soggetti privati l’obbligo ricorre, tra l’altro, quando le attività principali richiedono monitoraggio regolare e sistematico degli interessati su larga scala oppure trattamento su larga scala di categorie particolari di dati o dati relativi a condanne penali e reati. La verifica va fatta sul caso concreto.
La dimensione dell’impresa non basta
Essere una PMI non esclude automaticamente l’obbligo, così come avere molti dipendenti non lo crea da solo. Occorre analizzare attività principali, numero di interessati, volume e varietà dei dati, durata dei trattamenti e portata geografica.
Cosa significa “attività principali”
Il criterio riguarda le operazioni essenziali per raggiungere gli obiettivi dell’organizzazione, non ogni attività accessoria. In alcuni settori il trattamento dei dati è parte centrale del servizio; in altri è solo strumentale all’amministrazione ordinaria.
Monitoraggio regolare e sistematico
Il GDPR considera rilevante il monitoraggio su larga scala quando è regolare e sistematico. Non basta quindi la presenza di un normale sito web o di strumenti informatici: bisogna capire se il modello operativo comporta osservazione, tracciamento o profilazione degli interessati con caratteristiche tali da rientrare nella norma.
Dati particolari su larga scala
Il trattamento su larga scala di dati sanitari, biometrici, genetici o delle altre categorie particolari dell’art. 9, oppure di dati relativi a condanne e reati, può rendere obbligatoria la designazione quando costituisce attività principale e ricorrono gli altri presupposti.
Nomina volontaria
Un’organizzazione può designare un DPO anche quando non è obbligata. In tal caso, però, la figura deve rispettare le regole degli artt. 37–39: competenza, indipendenza, coinvolgimento tempestivo, risorse adeguate e assenza di conflitti di interesse.
Prima della nomina: una verifica documentata
Una buona prassi è motivare la valutazione: mappare trattamenti principali, scala, categorie di dati, monitoraggi e struttura organizzativa. Se si decide di nominare il DPO, occorre poi definire correttamente atto o contratto, compiti, canali di contatto e comunicazione all’Autorità quando prevista.