In materia di “organigramma” privacy il D.lgs. 101/2018 ha introdotto l’articolo 2-quaterdecies del Codice della privacy, che ha consentito di individuare i soggetti “designati” per specifici compiti. Si tratta di ruoli aziendali o dell’ente pubblico intermedi tra il titolare del trattamento e gli autorizzati. Peraltro, la individuazione del “soggetto designato” non è di per sé obbligatoria, ma è tanto più opportuna in strutture di media o grande dimensione.
Le strategie di difesa di fronte alla contestazione di avere violato le norme sulla privacy sono di diversa natura: si può contestare la sussistenza della possibilità stessa di sanzionare; oppure si può mettere in evidenza la ragione per la quale è sufficiente un ammonimento al posto della sanzione pecuniaria; oppure si possono mettere in evidenza le condizioni che portano ad una attenuazione dell’importo della sanzione pecuniaria.
L’articolo 37, par. 1, del GDPR prevede che il titolare e il responsabile del trattamento designino il responsabile della protezione dei dati (c.d. DPO). Il Garante per la protezione dei dati personali spiega che l'atto di designazione è parte costitutiva dell'adempimento. Questo vale sia nel caso in cui si designi un interno, sia ovviamente nel caso di DPO esterno.
La nomina di autorizzato al trattamento dei dati è un adempimento di cruciale importanza per il titolare del trattamento. A tale riguardo la regola è la libertà di forme: è il titolare del trattamento che deve e può decidere attraverso quali modalità rendere riconoscibile che un certo soggetto è stato autorizzato al trattamento di dati personali. All’interno di questa libertà di forma, tuttavia, deve essere assicurato un risultato: poter ricostruire “chi fa che cosa”. Disponibile nell'area riservata del sito di Federprivacy un apposito kit completo di modelli specifici per settori.
Il Data Protection Officer, o Responsabile della Protezione dei dati (RPD) svolge un ruolo fondamentale nell’iter della valutazione di impatto sulla protezione dei dati (DPIA). L’articolo 35, paragrafo 2, RGPD prevede in modo specifico che il titolare “si consulta” con il RPD, quando svolge una DPIA. Inoltre l’articolo 39, paragrafo 1, lettera c) affida al RPD il compito di “fornire, se richiesto, un parere in merito alla valutazione di impatto sulla protezione dei dati e sorvegliarne lo svolgimento ai sensi dell’articolo 35”.
