Con il Gdpr nasce la figura del DPO

摘要

Francesco Maria Pizzetti e stato presidente dell'Autorita Garante per la Privacy tra il 2005 e il 2012. E su alcuni punti del nuovo regolamento Gdpr da delle indicazioni precise: la valutazione del rischio va fatta sul trattamento e non sul dato, e sempre il processo al centro della responsabilita del titolare. Per l'ex Garante il DPO (Data Protection Officer) e una figura che deve avere competenze giuridiche, legate alla protezione dei dati personali, e al core business aziendale. Con il regolamento Gdpr non sono piu i dati a essere oggetto di protezione, ma i trattamenti: la protezione dei dati e solo un aspetto parziale della nuova regolamentazione. Col nuovo regolamento, spariscono i dati sensibili e diventano protagonisti i processi relativi al trattamento particolare dei dati, cosi come la valutazione del rischio va fatta sul trattamento e non sul dato. Francesco Maria Pizzetti, ordinario di diritto costituzionale (Universita degli Studi di Torino) e presidente dell'Autorita Garante per la Privacy tra il 2005 e il 2012 parla chiaro e su alcuni punti e articoli del nuovo regolamento da delle indicazioni precise. In primo luogo sottolinea che sotto la lente, c'e il trattamento dei dati particolari e non piu solo i singoli dati sensibili. Con il Gdpr si proteggono i trattamenti, quindi il tema della protezione dei dati e solo una parte del regolamento. Prima di tutto bisogna rendere sicuro il trattamento perche il focus della nuova normativa e il processo, non il dato, il processo deve avvenire in modo tale da non mettere a rischio le persone per cui i dati sono trattati quindi, nel nuovo regolamento, si ridimensiona parecchio il concetto di dati sensibili lasciando il posto al concetto di processi relativi ai trattamenti particolari di dati. Secondo l'articolo 9, la valutazione del rischio va fatta sul trattamento e non sul dato, e sempre il processo al centro della responsabilita del titolare. Infatti, osservando i processi (da come e organizzato l'ufficio, per esempio) e leggendo l'articolo 24, si evince la necessita di misure organizzative e tecnologiche tali da ridurre il rischio. Quindi, la sicurezza informatica e importante ma non e tutto! Bisogna tenere conto anche dell'organizzazione, di come si viene in possesso dei dati, del tipo di contratto con il responsabile. Il titolare dell'azienda dovra fare un grande lavoro: individuare i processi da riportare nel registro trattamenti, fare la valutazione del rischio costante, perche se cambia il processo deve variare pure la valutazione del rischio. Nella valutazione dell'impatto di rischio, si colloca il DPO (Data protection officer), una figura specifica che non e il Risk Protection Officer o il Chief Security Officer, ma un soggetto che deve avere competenze giuridiche legate alla protezione dei dati personali e, allo stesso tempo, al core business aziendale. Non sara un informatico, ma una persona con competenze giuridiche che dialoghera con le figure informatiche in azienda, seguendo l'articolo 5 del regolamento che descrive la protezione del processo.