DPO e DPIA: ruoli e strumenti del GDPR

Il DPO (Data Protection Officer)

Art. 37 GDPR: nomina obbligatoria quando:

• il titolare è autorità o organismo pubblico (eccetto autorità giudiziarie nell'esercizio delle funzioni);
• il trattamento richiede monitoraggio regolare e sistematico su larga scala;
• si trattano su larga scala categorie particolari di dati (salute, biometrici, ecc.) o dati relativi a condanne.

Requisiti

• Qualità professionali (conoscenza normativa GDPR + competenze IT/management);
• Indipendenza: non può ricevere istruzioni sui compiti e non può essere penalizzato per il loro esercizio;
• Accessibile a interessati e personale.

Compiti (art. 39)

• Informare e consigliare titolare e responsabili;
• Sorvegliare il rispetto del GDPR;
• Cooperare con il Garante;
• Fornire parere sulla DPIA (quando eseguita).

La DPIA (Data Protection Impact Assessment)

Art. 35 GDPR: obbligatoria per trattamenti ad alto rischio:

• uso di nuove tecnologie;
• monitoraggio sistematico di zone pubbliche (videosorveglianza estensiva);
• decisioni automatizzate con effetti giuridici;
• trattamento di categorie particolari su larga scala;
• interconnessione di banche dati.

Contenuti

1. Descrizione sistematica dei trattamenti e delle finalità;
2. Valutazione di necessità e proporzionalità;
3. Valutazione dei rischi per diritti e libertà degli interessati;
4. Misure per mitigare i rischi.

Consultazione preventiva

Se dopo la DPIA persistono rischi elevati non mitigabili, il titolare deve consultare il Garante (art. 36 GDPR) prima di iniziare il trattamento.

Per la PL

Esempi di trattamenti che richiedono DPIA:

• Nuovo sistema di videosorveglianza su ampie aree urbane;
• Body-cam per gli agenti;
• Sistemi di riconoscimento targhe (ANPR);
• Banche dati integrate per segnalazioni.

In questi casi il Comandante (o il Titolare del trattamento = Comune) avvia la DPIA con supporto del DPO e, se necessario, consulta il Garante.