Artt. 37-39 GDPR
DPO esterno
Il Responsabile della protezione dei dati è obbligatorio per tutti gli enti pubblici e per alcune imprese. Lo assumiamo come servizio esterno, con un referente dedicato e attività programmate.
Il servizio di DPO esterno di QSecurity svolge i compiti del Responsabile della protezione dei dati previsti dagli articoli 37-39 del GDPR: sorveglianza sull’osservanza del regolamento, pareri sulle valutazioni d’impatto, formazione e punto di contatto con il Garante e con gli interessati.
A chi serve
Chi ne ha bisogno
Enti pubblici
Comuni, consorzi, aziende sanitarie, scuole e ogni autorità o organismo pubblico.
Imprese obbligate
Chi monitora in modo regolare e sistematico le persone su larga scala, o tratta su larga scala dati sanitari, biometrici o giudiziari.
Imprese che lo scelgono
Anche quando non è obbligatorio, un DPO dà un presidio indipendente e credibile verso clienti e partner.
Cosa comprende
Cosa ricevi
Ogni attività produce un documento o un registro. È quello che mostrerai in caso di verifica.
- Nomina e comunicazioneAtto di designazione e comunicazione dei dati di contatto al Garante.
- Piano annuale di sorveglianzaVerifiche programmate su trattamenti, misure e fornitori.
- PareriPareri sulle DPIA e sui nuovi trattamenti, prima che partano.
- Punto di contattoGestione delle richieste degli interessati (accesso, cancellazione, opposizione) e dei rapporti con il Garante.
- Supporto nei data breachValutazione della violazione e della necessità di notifica.
- Relazione annualeStato della conformità e priorità, presentato al vertice dell'organizzazione.
Come si svolge
Il percorso
Verifica iniziale
Audit della situazione privacy attuale.
Designazione
Nomina, comunicazione al Garante, pubblicazione dei contatti.
Sorveglianza
Verifiche programmate e pareri su richiesta.
Rendicontazione
Relazione annuale e aggiornamento del piano.
Riferimenti normativi
Le norme di riferimento
- Art. 37 GDPR
- Casi di designazione obbligatoria.
- Art. 38 GDPR
- Posizione del DPO: indipendenza, risorse, assenza di conflitti di interesse.
- Art. 39 GDPR
- Compiti del DPO.
Il costo dell’inazione
Cosa rischi se rimandi
Rimandare sembra non costare nulla. Questi sono i costi che si pagano dopo, quando non si possono più scegliere.
- Obbligo non rispettatoNon designare il DPO quando è obbligatorio è una violazione sanzionabile fino a 10 milioni di euro o al 2% del fatturato.Art. 83.4 GDPR
- Conflitto di interessiUn DPO interno che controlla le proprie decisioni non è indipendente, e il Garante lo contesta.Art. 38 GDPR
- Esposizione pubblicaI provvedimenti del Garante sono pubblicati: una sanzione a un ente diventa notizia.Garante privacy
Collegati
Servizi collegati
Domande frequenti
Domande su DPO esterno
Il DPO può essere un dipendente?
Sì, purché abbia competenze adeguate e non sia in conflitto di interessi: chi decide sui trattamenti, come un dirigente IT o il titolare, non può controllarsi da solo. Per questo molte organizzazioni scelgono un DPO esterno.
Il DPO risponde delle violazioni?
No. La responsabilità della conformità resta del titolare. Il DPO sorveglia, consiglia e fa da punto di contatto.
Quanto tempo richiede all'organizzazione?
Dopo la fase iniziale, poche ore al trimestre per le verifiche programmate, più il tempo necessario quando nasce un nuovo trattamento o arriva una richiesta.
Vuoi sapere da dove partire? L’autovalutazione richiede circa otto minuti e indica le aree scoperte.