Archivio mensile:gennaio 2018

Scelta del DPO che caos…facciamo un pò di chiarezza

A pochi mesi dalla scadenza per la nomina del Data Protection Officer, il Garante per la Privacy ha chiarito che non ci sono titoli formali obbligatori per svolgere questo ruolo, nonostante la diffusione di corsi abilitanti e norme tecniche che sostengono di poterne certificare la figura professionale.

Ciò sta ingenerando ampia confusione tra aziende e pubbliche amministrazioni che devono scegliere il giusto candidato.

Il Garante ha pubblicato due comunicati che sottolineano come per svolgere la funzione di RPD (DPO) il possesso di una specifica certificazione non deve essere considerato come abilitazione all’esercizio di tale ruolo e che spetta al titolare e al responsabile valutare il possesso dei requisiti professionali richiesti dal regolamento.

Vediamoli
1) Comunicato del 18 luglio 2017
ACCREDIA e il Garante per la protezione dei dati personali ritengono necessario sottolineare – al fine di indirizzare correttamente le attività svolte dai soggetti a vario titolo interessati in questo ambito – che al momento le certificazioni di persone, nonché quelle emesse in materia di privacy o data protection eventualmente rilasciate in Italia, sebbene possano costituire una garanzia e atto di diligenza verso le parti interessate dell’adozione volontaria di un sistema di analisi e controllo dei principi e delle norme di riferimento, a legislazione vigente non possono definirsi “conformi agli artt. 42 e 43 del regolamento 2016/679”, poiché devono ancora essere determinati i “requisiti aggiuntivi” ai fini dell’accreditamento degli organismi di certificazione e i criteri specifici di certificazione.

2) C omunicato del 28/12/2017
“….Quanto ai requisiti necessari per svolgere la funzione di RPD il Garante chiarisce ancora una volta che il possesso di una specifica certificazione non deve essere considerato come abilitazione all’esercizio di tale ruolo e che spetta al titolare e al responsabile valutare il possesso dei requisiti professionali richiesti dal regolamento.…”

A generare confusione, come correttamente sottolinea in un recente articolo il presidente di Federprivacy Nicola Bernardi, è la pubblicazione perfino di una norma UNI 11697:2017 ….. che si è presa la briga di rendere certificabile la figura del data protection officer, inducendo così migliaia di imprese e professionisti non correttamente informati a concludere che certe attestazioni formali possano determinare l’idoneità di un professionista a svolgere questo ruolo, fuorviando quindi dalle indicazioni fornite dall’Authority….la norma in questione è un documento tecnico di carattere volontario e non prescrittivo come lo è invece il Regolamento UE…

Speriamo di avere fatto chiarezza ed aiutato i professionisti e le aziende a non “cadere” in errore ….

Dr. Matteo Rapparini

Garante per la Privacy e Polizia di Stato insieme contro il cyberbullismo: siglato Protocollo di Intesa

Rispondi

E’ stato firmato l’accordo tra il Garante per la protezione dei dati personali e la Polizia Postale volto a rafforzare il sistema di tutele nei confronti dei minori dai pericoli del web.

Il Protocollo, sottoscritto dal Presidente del Garante per la protezione dei dati personali Antonello Soro e dal Capo della Polizia – Direttore Generale della Pubblica Sicurezza Franco Gabrielli, formalizza la collaborazione, già da tempo esistente sul piano operativo e trae origine dalla recente legge 29 maggio 2017, n. 71 “Disposizioni a tutela dei minori per la prevenzione ed il contrasto del fenomeno del cyberbullismo”, adottata con l’obiettivo di prevenire e contrastare tutte quelle forme di aggressione e trattamento illecito dei dati personali riguardanti i minorenni effettuate per via telematica.

La norma chiama sia il Garante, sia la Polizia postale ad intraprendere non solo le azioni riparatorie su istanza dei minori che si ritengano vittime di atti di cyberbullismo (come l’oscuramento, la rimozione o il blocco dei contenuti a loro riferiti e diffusi in rete), ma anche ad educare i giovanissimi ad un utilizzo consapevole e corretto del web, affiancando le istituzioni scolastiche nella loro opera educativa e di sensibilizzazione.

L’obiettivo è quello di attivare una rete di intervento coordinata e strutturata per fornire un supporto tempestivo alle vittime di quella che oramai ha assunto i connotati di una vera e propria epidemia silenziosa: infatti dalle 235 denunce del 2016, si è passati agli oltre 350 casi del 2017. Altrettanto numerose sono state le segnalazioni e le richieste di aiuto da parte di ragazzi, genitori, insegnanti ed operatori sociali.

Grazie al Protocollo d’intesa, nei casi in cui sia necessario identificare il titolare del trattamento o il gestore del sito internet o del social media dove sia stato pubblicato un contenuto (informazioni, foto, video, ecc.) ritenuto atto di cyberbullismo o sia necessario attuare le decisioni assunte, il Garante può richiedere l’intervento della Polizia Postale e delle Comunicazioni.

La Polizia Postale si occuperà, da parte sua, di reperire dati e informazioni sul titolare del trattamento o sul gestore del sito web o del social media, nonché delle eventuali ulteriori fonti web sulle quali siano stati divulgati i contenuti illeciti ed eventualmente di compiere le ulteriori azioni necessarie sulla base delle procedure e degli strumenti, anche al fine di consentire al Garante di intervenire opportunamente.

Nel protocollo d’intesa è stato inoltre previsto l’avvio di iniziative educative congiunte in favore dei minori e ulteriori attività anche nell’ambito della cooperazione europea e internazionale, sempre con l’obiettivo di prevenire e contrastare le violazioni alla disciplina in materia di cyberbullismo.

“Il Garante è da sempre vicino ai giovanissimi, non solo perché sono tra i principali fruitori dei servizi web, ma anche perché la tutela dello loro riservatezza e il corretto utilizzo dei dati personali che li riguardano costituisce l’obiettivo primario perseguito dall’Autorità nei tanti casi in cui i minori sono protagonisti dei propri provvedimenti” spiega Giuseppe Busia, Segretario generale del Garante, al quale la legge n. 71/2017 assegna lo specifico compito di decidere sulle segnalazioni riguardanti episodi di cyberbullismo. “Per tale ragione, la nostra azione mira anche ad affiancare i minori nel loro percorso di crescita, al fine di fare comprendere ai giovani l’effettivo peso delle loro azioni, rendendoli consapevoli delle relative conseguenze. Il nostro impegno serve anche a responsabilizzare i fornitori di servizi on-line, in modo che, per quanto di loro competenza, si facciano ugualmente carico di tutelare i minori in rete, arginando il fenomeno del cyberbullismo”.

“La tutela dei minori sul web è una priorità assoluta della Polizia Postale e la tempestività del nostro intervento è fondamentale per evitare che condotte, spesso frutto di superficialità e scarsa consapevolezza, abbiano effetti devastanti per le vittime e le loro famiglie”: così Nunzia Ciardi, Direttore del Servizio Polizia Postale e delle Comunicazioni manifesta l’impegno costante della Polizia Postale nell’assicurare interventi efficaci e adeguati per contrastare il fenomeno del cyberbullismo. “Questo protocollo sancisce una collaborazione che ormai da tempo la Polizia Postale assicura a tutte le istituzioni impegnate nella prevenzione di un’ emergenza che non è soltanto criminale ma, soprattutto, sociale. La nostra attività, infatti, non si esplicita soltanto sul piano repressivo ma anticipa l’azione di contrasto con la predisposizione di incontri educativi per i ragazzi, piani di formazione per gli insegnanti e iniziative di collaborazione con enti pubblici e privati per garantire la sicurezza delle e nelle comunicazioni”.

Quando il DPO è responsabile

Rispondi

Un contratto pieno di responsabilità: al Responsabile della protezione dei dati l’impresa e l’ente pubblico possono chiedere conto se l’esperto di privacy dà un parere o un consiglio sbagliato. La medaglia della responsabilità dell’DPO ha due facce. Da un lato molti sottolineano con enfasi che l’DPO non ha responsabilità nel caso di irregolarità o inadempienze rispetto al regolamento Ue 2016\679.

Dall’altro lato, però, non bisogna assolutamente dimenticare che il Responsabile della protezione dei dati ha responsabilità contrattuale nei confronti del suo committente.

Pertanto se sbaglia e se dal suo errore deriva l’esposizione dell’ente pubblico o dell’impresa al rischio di risarcire danni, non è da escludere la rivalsa nei confronti del cattivo consigliere.

A questo proposito vanno ricordati i compiti dell’DPO. Questi deve informare e consigliare il titolare del trattamento su come eseguire le prescrizioni in materia di privacy.

In secondo luogo deve sorvegliare sulla esatta osservanza delle norme in materia di protezione dei dati, compresa la formazione del personale.

Terzo compito dell’DPO è dare pareri sulla valutazione d’impatto privacy. L’DPO infine è punto di contatto del garante della privacy e degli interessati.

A questo punto si ipotizzi che il titolare del trattamento chieda lumi all’Rdp e che quest’ultimo dia una risposta errata.

Ricordando che tra titolare del trattamento e DPO c’è un rapporto contrattuale, la correttezza delle informazioni, dei consigli, e dei pareri è un preciso obbligo del responsabile della protezione dei dati.

Una informazione sbagliata è, quindi, un inadempimento degli obblighi contrattuali. Questa situazione legittima l’impresa o l’ente pubblico a sciogliere il contratto e chiedere i danni al responsabile della protezione dei dati. Più difficile è, invece, pensare a una responsabilità extracontrattuale dell’DPO nei confronti di terzi danneggiati. Ma non può essere esclusa, soprattutto in caso di condotte dolose.

Fonte: Italia Oggi dell’8 gennaio 2018 – Federprivacy