Che cos’è un responsabile del trattamento ai sensi del GDPR?

È difficile credere che ci stiamo avvicinando al primo anniversario del GDPR. Dopo un periodo di transizione di due anni, il GDPR è entrato in vigore il²⁵ maggio 2018 e ha rivoluzionato completamente il modo in cui le organizzazioni gestiscono la privacy dei dati.

La normativa è stata introdotta per tenere conto della crescente digitalizzazione del mondo e per riconoscere i diritti delle persone in merito all’uso dei propri dati personali.

Molte organizzazioni hanno dedicato un sacco di tempo e impegno per assicurarsi di essere conformi alla nuova normativa, ma per altre il percorso è stato più difficile e impegnativo. Dimostrare la conformità al GDPR è un processo continuo e ci sono molti aspetti della normativa che richiedono ancora chiarimenti e possono creare confusione per le organizzazioni.

Due termini che sentiamo ripetere continuamente in relazione al GDPR sono “titolare del trattamento” e “responsabile del trattamento”. È importante capire la differenza tra questi due termini, perché determinerà le tue responsabilità ai sensi della normativa.

La distinzione tra titolare del trattamento e responsabile del trattamento può avere conseguenze concrete e significative. Se un’organizzazione è coinvolta nel trattamento dei dati, è fondamentale che definisca ruoli e responsabilità fin dall’inizio per evitare qualsiasi confusione nel caso in cui si verifichi una violazione dei dati. Questo contribuirà a garantire che non ci siano lacune nelle responsabilità e che le organizzazioni possano affrontare questi problemi in modo efficiente ed efficace.

Cosa sono i dati personali?

Se la tua organizzazione tratta dati personali, il GDPR si applica anche a te. L’UE definisce “dati personali” qualsiasi informazione che possa essere utilizzata per identificare, direttamente o indirettamente, una persona fisica (l’interessato). Ciò include tutto, dal nome all’indirizzo e-mail, dall’indirizzo IP alle immagini. Sono inclusi anche i dati personali sensibili, come i dati biometrici o genetici, che potrebbero essere trattati per identificare una persona.

Sei un “titolare del trattamento” o un “responsabile del trattamento”?

Se la tua organizzazione stabilisce le finalità e le modalità di trattamento dei dati personali, allora è considerata un titolare del trattamento.

I responsabili del trattamento dei dati svolgono un ruolo fondamentale nella conformità al GDPR, proprio per via dei dati personali dei clienti e dei dipendenti che conservano e raccolgono.

Tra i doveri del titolare del trattamento rientrano:

• Favorire una maggiore trasparenza nel trattamento dei dati personali in relazione alle richieste degli interessati
• Garantire che i dati degli interessati vengano trattati entro i termini stabiliti dal GDPR
• Effettuare valutazioni sulla privacy e nominare i responsabili della protezione dei dati (DPO)
• Comunicare alle autorità di controllo le violazioni dei dati entro 72 ore dalla loro scoperta
• Monitorare e reagire ai cambiamenti nei requisiti di conformità
• Sostituzione dei campi contenenti dati identificativi con pseudonimi e crittografia dei dati personali
• Tenuta dei registri relativi al trattamento dei dati personali tramite un Registro dei dati personali
• Gestione e regolamentazione delle interazioni con soggetti terzi in relazione al trattamento e alla gestione dei dati personali

Chi è un responsabile del trattamento dei dati e quali sono le sue responsabilità?

Se una persona, un’organizzazione, un’agenzia o un altro ente agisce per conto di un Titolare del trattamento, viene considerato un Responsabile del trattamento.

Ecco alcuni esempi di responsabili del trattamento dei dati:

• Un’agenzia esterna (ad es.: un’azienda che si occupa dello smaltimento dei dati dei clienti)
• Un fornitore di servizi cloud che archivia dati personali
• Qualsiasi fornitore di servizi che agisca per tuo conto e abbia accesso ai dati personali di un cliente o di un dipendente

I compiti del responsabile del trattamento dei dati includono:

• Decidere quali sistemi informatici o altri metodi utilizzare per raccogliere i dati personali
• Come conservare i dati personali
• Sicurezza dei dati
• Mezzi utilizzati per trasferire dati da un’organizzazione all’altra
• Mezzi utilizzati per ottenere dati personali su determinate persone
• Garantire che venga rispettato il metodo alla base del piano di conservazione
• Metodi utilizzati per cancellare/eliminare i dati

I responsabili del trattamento sono soggetti a diversi nuovi obblighi ai sensi del GDPR, tra cui l’adozione di misure che garantiscano livelli di sicurezza adeguati per i dati personali in relazione al rischio potenziale.

I responsabili del trattamento dei dati devono attenersi alle istruzioni dei titolari del trattamento, a meno che tali istruzioni non siano in contrasto con il GDPR stesso.

Il titolare del trattamento può essere anche un responsabile del trattamento?

Ci sono alcune zone grigie in cui le situazioni possono sovrapporsi, rendendo difficile capire se sei un titolare del trattamento o un responsabile del trattamento. Tuttavia, l’ICO è chiaro nelle sue linee guida, affermando: “Un’organizzazione non può essere sia titolare che responsabile del trattamento per la stessa attività di trattamento dei dati; deve essere l’uno o l’altro”.

Questo significa che, per stabilire quale organizzazione sia responsabile della protezione di quali dati, bisogna considerare sia il trattamento in questione sia le organizzazioni coinvolte. È anche importante che, per quanto possibile, i sistemi e le procedure distinguano tra i dati “propri” dell’organizzazione e quelli che tratta per conto di altri.

Scopri anche cos’è un consenso valido ai sensi del GDPR

Per garantire la piena conformità al GDPR, le organizzazioni dovranno definire chiaramente ruoli e responsabilità per evitare di incorrere in sanzioni previste dalla normativa. Se hai qualche dubbio sulla situazione della tua organizzazione, ti consigliamo di rivolgerti a un consulente legale per ulteriori chiarimenti.

MetaPrivacy è stato progettato per offrire un approccio basato sulle migliori pratiche in materia di conformità alla normativa sulla privacy dei dati. Contattaci per ulteriori informazioni su come possiamo aiutare la tua organizzazione a migliorare la propria struttura di conformità.

DISCLAIMER: Il contenuto e le opinioni contenute in questo blog hanno uno scopo puramente informativo. Non intendono costituire una consulenza legale o professionale di altro tipo e non devono essere considerati come sostitutivi di una consulenza specifica relativa a circostanze particolari, al Data Protection Act o a qualsiasi altra legislazione attuale o futura. MetaCompliance non si assume alcuna responsabilità per eventuali errori, omissioni o dichiarazioni fuorvianti, né per eventuali perdite derivanti dall’aver fatto affidamento sui materiali contenuti in questo blog.