GDPR: organizzazione (Titolare, DPO ecc...) - 29 aprile 2018

1. GDPR, DPO e organizzazione
A cura di Simone Chiarelli
simone@chiarelli.eu
29 aprile 2018

2. GDPR e soggetti
TITOLARE
CON-
TITOLARI
RESPONSABILE
RESPONSABILE
RESPONSABILE
“Delegati”
Incaricati
“Delegati”
“Delegati”
Incaricati
Incaricati
Incaricati
IncaricatiDPO

3. Organigramma fondamentale
TITOLARE
RESPONSABILE
RESPONSABILE
RESPONSABILE
“Delegati”
Incaricati
“Delegati”
“Delegati”
Incaricati
Incaricati
Incaricati
Incaricati
DPO
DPO

4. DPO – requisiti per la nomina
... designato in funzione delle qualità
professionali, in particolare della
conoscenza specialistica della normativa
e delle prassi in materia di protezione dei
dati, e della capacità di assolvere i compiti
di cui all'articolo 39

5. DPO interno o esterno
.... può essere un dipendente del titolare del
trattamento o del responsabile del
trattamento oppure assolvere i suoi compiti
in base a un contratto di servizi.

6. DPO esterno
1) di altro Ente
2) professionista
3) impresa

7. DPO esterno (codice appalti)
Art. 36 comma 2 Dlgs 50/2016 - per
affidamenti di importo inferiore a 40.000
euro, mediante affidamento diretto anche
senza previa consultazione di due o più
operatori economici o per i lavori in
amministrazione diretta

8. DPO esterno
Linee Guida n. 4, di attuazione del Decreto Legislativo
18 aprile 2016, n. 50, recanti “Procedure per
l’affidamento dei contratti pubblici di importo inferiore alle
soglie di rilevanza comunitaria, indagini di mercato e
formazione e gestione degli elenchi di operatori
economici”

9. DPO esterno (benchmarking)
Avviso esplorativo per affidamento incarico di Data Protection
Officer (DPO) - Belluno
Importo dell’incarico. inferiore o pari a 1.200,00 Euro per ente.
La stazione appaltante inviterà a partecipare alla procedura
negoziata un numero minimo di cinque operatori economici
individuati a seguito della comparazione dei curricula che verrà
effettuata da parte di un'apposita Commissione all'uopo nominata.

10. DPO esterno (benchmarking)
PROCEDURA DI SELEZIONE PER LA NOMINA DI UN
RESPONSABILE DELLA PROTEZIONE DEI DATI (DPO) DELLE
SOCIETÀ xxxxxxxx
La selezione avverrà sulla base di un confronto tra i curricula
presentati e l’offerta economica, nella misura percentuale di
pesatura pari al 80% per i curricula e 20% per l’offerta economica.

11. DPO esterno (benchmarking)
(GU 5a Serie Speciale - Contratti Pubblici n.39 del 4-4-2018)
Assistenza per l'adeguamento delle procedure al regolamento UE
2016/679 relativo alla protezione delle persone fisiche, con
riguardo al trattamento dei dati personali e alla libera
circolazione dei dati.
Incarico del DPO (Data Protection Officer).
IMPORTO DEL SERVIZIO: L'importo a base di gara per il
servizio in oggetto, e' pari a € 71.000 piu' Iva e oneri di legge.
DURATA: 12 mesi su entrambi i soggetti destinatari.

12. DPO esterno (benchmarking)
(GU 5a Serie Speciale - Contratti Pubblici n.39 del 4-4-2018)
Assistenza per l'adeguamento delle procedure al regolamento UE
2016/679 relativo alla protezione delle persone fisiche, con
riguardo al trattamento dei dati personali e alla libera
circolazione dei dati.
Incarico del DPO (Data Protection Officer).
IMPORTO DEL SERVIZIO: L'importo a base di gara per il
servizio in oggetto, e' pari a € 71.000 piu' Iva e oneri di legge.
DURATA: 12 mesi su entrambi i soggetti destinatari.

13. DPO esterno (benchmarking)
Il RPD può essere scelto fra i dipendenti del Comune di qualifica
non inferiore alla cat. D (oppure C negli enti di minore
dimensione), purché in possesso di idonee qualità professionali,
con particolare riferimento alla comprovata conoscenza
specialistica della normativa e della prassi in materia di protezione
dei dati, nonché alla capacità di promuovere una cultura della
protezione dati all’interno dell’organizzazione comunale. Il Titolare
ed il Responsabile del trattamento provvedono affinché il RPD
mantenga la propria conoscenza specialistica mediante
adeguata, specifica e periodica formazione.

14. DPO esterno (benchmarking)
Nel caso in cui il RPD non sia un dipendente dell’Ente,
l’incaricato persona fisica è selezionato mediante
procedura ad evidenza pubblica fra soggetti aventi le
medesime qualità professionali richieste al dipendente, che
abbiano maturato approfondita conoscenza del settore e
delle strutture organizzative degli enti locali, nonché delle
norme e procedure amministrative agli stessi applicabili; i
compiti attribuiti al RPD sono indicati in apposito contratto
di servizi. Il RPD esterno è tenuto a mantenere la propria
conoscenza specialistica mediante adeguata, specifica e
periodica formazione, con onere di comunicazione di
detto adempimento al Titolare ed al Responsabile del
trattamento.

15. DPO esterno (benchmarking)
Nel caso di Comuni di minori dimensioni demografiche,
è possibile l’affidamento dell’incarico di RPD ad un
unico soggetto, anche esterno, designato da più
Comuni mediante esercizio associato della
funzione nelle forme previste dal D.Lgs. 18 agosto
2000 n. 267.

16. DPO per più enti
TITOLARE
DPO
TITOLARE
TITOLARE

17. DPO e gestione associata
TITOLARE
DPO
TITOLARE
TITOLAREConvenzione

18. DPO “pubblico interlocutore”
Il titolare del trattamento o il responsabile del
trattamento pubblica i dati di contatto del
responsabile della protezione dei dati e li
comunica all'autorità di controllo.

19. Valutazione d'impatto
Art. 35 comma 2
Il titolare del trattamento, allorquando svolge una
valutazione d'impatto sulla protezione dei dati,
si consulta con il responsabile della protezione
dei dati, qualora ne sia designato uno.

20. Ruolo e garanzie del DPO
Articolo 38 - Posizione del responsabile della protezione dei dati
….. tempestivamente e adeguatamente coinvolto in tutte le questioni
riguardanti la protezione dei dati personali.
….. sostengono il responsabile della protezione dei dati nell'esecuzione
dei compiti di cui all'articolo 39 fornendogli le risorse necessarie per
assolvere tali compiti e accedere ai dati personali e ai trattamenti e per
mantenere la propria conoscenza specialistica.
…. non riceva alcuna istruzione per quanto riguarda l'esecuzione di tali
compiti.

21. DPO, altre funzioni e conflitti
… riferisce direttamente al vertice gerarchico del titolare del
trattamento o del responsabile del trattamento.
Gli interessati possono contattare il responsabile della protezione dei
dati per tutte le questioni relative al trattamento dei loro dati personali e
all'esercizio dei loro diritti derivanti dal presente regolamento.
…. è tenuto al segreto o alla riservatezza in merito all'adempimento dei
propri compiti, in conformità del diritto dell'Unione o degli Stati membri.
…. può svolgere altri compiti e funzioni. Il titolare del trattamento o il
responsabile del trattamento si assicura che tali compiti e funzioni non
diano adito a un conflitto di interessi.

22. DPO, altre funzioni e conflitti
Articolo 39 - Compiti del responsabile della protezione dei dati
a) informare e fornire consulenza al titolare ... nonché ai dipendenti;
b) sorvegliare l'osservanza del presente regolamento ... compresi
l'attribuzione delle responsabilità, la sensibilizzazione e la formazione del
personale e connesse attività di controllo;
c) fornire, se richiesto, un parere in merito alla valutazione d'impatto
sulla protezione dei dati e sorvegliarne lo svolgimento;
d) cooperare con l'autorità di controllo; e
e) fungere da punto di contatto per l'autorità di controllo

23. DPO, approfondimenti
WP 243 - Linee-guida sui responsabili della protezione dei dati (RPD)
Nuove Faq sul Responsabile della Protezione dei dati (RPD) in
ambito pubblico (in aggiunta a quelle adottate dal Gruppo Art. 29)

24. Cosa fare … e cosa non fare

25. Saluti e contatti
A cura di Simone Chiarelli
simone@chiarelli.eu - Cell. 3337663638
Gruppo FB “GDPR e privacy”
https://www.facebook.com/groups/569951550054710/
Youtube (videocommenti)
https://www.youtube.com/channel/UCKFy8G9piKMNZSWHPT06I-Q