ARGOMENTO:

Benchè il GDPR lasci non poche zone grigie, a mio avviso ritengo che con il principio di accountability sia decisamente poco opportuno azzardare interpretazioni giuridiche per sottrarsi a degli adempimenti come quello della designazione del data protection officer per un'azienda il cui core business è trattamento di dati ai fini di marketing la quale effettua profilazione su 200.000 interessati adducendo come motivazione che si tratta di una percentuale bassissima in proporzione alla popolazione totale. Si noti peraltro che il considerando 91 ricomprende nell'obbligo del DPO in particolare “trattamenti su larga scala, che mirano al trattamento di una notevole quantità di dati personali a livello regionale, nazionale o sovranazionale e che potrebbero incidere su un vasto numero di interessati e che potenzialmente presentano un rischio elevato”. Più che DPO obbligatorio o meno, parlerei di DPO opportuno per poter dimostrare di aver messo in atto misure tecniche e organizzative adeguate per garantire, ed essere in grado di dimostrare la conformità al Regolamento UE 2016/679.

Cordiali saluti
Nicola Bernardi

buongiorno, ho un quesito sulla necessità del DPO:
si è stabilito che un azienda (piccola impresa) tratta dati che si possono ricondurre a 200000 interessati a livello nazionale, il titolare ha deciso che non è "larga scala" in quanto minore di 1% della popolazione italiana. il suo core business è trattamento dati a fine di marketing con soli dati personali e non sensibili, si effettua comunque la profilazione; io ritengo che il DPO non è necessario. siete d'accordo?

Le linee guida del WP29 del 13 dicembre 2016 hanno affrontato il tema del significato di "larga scala":
al punto 3) specificano che il regolamento ue non definisce cosa rappresenti un trattamento “su larga scala”, e che il Gruppo Working Party 29 di lavoro raccomanda di tenere conto, in particolare, dei fattori qui elencati al fine di stabilire se un trattamento sia effettuato su larga scala: - il numero di soggetti interessati dal trattamento, in termini assoluti ovvero espressi in percentuale della popolazione di riferimento; - il volume dei dati e/o le diverse tipologie di dati oggetto di trattamento; - la durata, ovvero la persistenza, dell’attività di trattamento; - la portata geografica dell’attività di trattamento.
Alcuni esempi di trattamento su larga scala espressamente menzionati dal WP29 sono i seguenti:
- trattamento di dati relativi a pazienti svolto da un ospedale nell’ambito delle ordinarie
attività; - trattamento di dati relativi agli spostamenti di utenti di un servizio di trasporto pubblico cittadino (per esempio, il loro tracciamento attraverso titoli di viaggio); - trattamento di dati di geolocalizzazione raccolti in tempo reale per finalità statistiche da un responsabile specializzato nella prestazione di servizi di questo tipo rispetto ai clienti di una catena internazionale di fast food; -  trattamento di dati relativi alla clientela da parte di una compagnia assicurativa o di una banca nell’ambito delle ordinarie attività;
- trattamento di dati personali da parte di un motore di ricerca per finalità di pubblicità comportamentale;
- trattamento di dati (metadati, contenuti, ubicazione) da parte di fornitori di servizi telefonici o telematici.
Ogni titolare del trattamento deve comunque fare le proprie valutazioni tenendo conto del principio di accountability.

Cordiali saluti
Nicola Bernardi

Io avrei più dubbi sulla nozione di larga scala in termini di quantità numerica cosa è considerato larga scala ? oltre 100 utenti/interessati per esempio?

L'attività primaria è il core business, indipendente dall'attività amministrativa che trasversalmente è svolta da ogni realtà economica, come ad esempio l'ufficio del personale.
Quanto a larga scala non esistono parametri univoci. Quelli generali, segnalati nelle Linee Guida del WP29, attengono al numero degli interessati (considerando tutte le anagrafiche presenti nei data base e quelle che possano essere inserite nel prosieguo dell'attività), alla dimensione dell'entità legale (se ha o meno sviluppo sul territorio con più sedi operative, ecc.), all'ambito geografico del trattamento e alla qualità dei dati (pluriregionale, nazionale, ecc..), all'uso di tecnologie o di servizi della società dell'informazione (effettuazione di profilazione, conservazione dati extra Ue, ecc.), durata della conservazione dei dati.
Si tenga conto anche del fatto che, se non sussista la larga scala, non devono procedere alla nomina le imprese individuali o familiari; piccole e medie imprese, con riferimento ai trattamenti dei dati personali connessi alla gestione corrente dei rapporti con fornitori e dipendenti
Con riferimento alle imprese segnalate, si evidenzia che esse appaiono riguardare anche categorie particolari di dati (in special modo la comunità alloggio per anziani).
La verifica dell'obbligo è lasciata al singolo imprenditore, che dovrà dare conto dei dati dimensionali di cui sopra.

L'attività primaria è il core business, indipendente dall'attività amministrativa che trasversalmente è svolta da ogni realtà economica, come ad esempio l'ufficio del personale.
Quanto a larga scala non esistono parametri univoci. Quelli generali, segnalati nelle Linee Guida del WP29, attengono al numero degli interessati (considerando tutte le anagrafiche presenti nei data base e quelle che possano essere inserite nel prosieguo dell'attività), alla dimensione dell'entità legale (se ha o meno sviluppo sul territorio con più sedi operative, ecc.), all'ambito geografico del trattamento e alla qualità dei dati (pluriregionale, nazionale, ecc..), all'uso di tecnologie o di servizi della società dell'informazione (effettuazione di profilazione, conservazione dati extra Ue, ecc.), durata della conservazione dei dati.
Si tenga conto anche del fatto che, se non sussista la larga scala, non devono procedere alla nomina le imprese individuali o familiari; piccole e medie imprese, con riferimento ai trattamenti dei dati personali connessi alla gestione corrente dei rapporti con fornitori e dipendenti
Con riferimento alle imprese segnalate, si evidenzia che esse appaiono riguardare anche categorie particolari di dati (in special modo la comunità alloggio per anziani).
La verifica dell'obbligo è lasciata al singolo imprenditore, che dovrà dare conto dei dati dimensionali di cui sopra.