I tre scenari obbligatori di nomina del RPD ai sensi dell'articolo 37 del GDPR
L'articolo 37(1) del GDPR stabilisce esattamente tre scenari in cui la nomina di un responsabile della protezione dei dati è obbligatoria. Non sono suggerimenti: la mancata nomina quando richiesta ha comportato sanzioni da parte delle autorità di controllo in tutta l'UE.
Scenario 1: autorità e organismi pubblici
Articolo 37(1)(a): "Il trattamento è effettuato da un'autorità pubblica o da un organismo pubblico, eccettuate le autorità giurisdizionali quando esercitano le loro funzioni giurisdizionali."
Questo si applica a qualsiasi organizzazione classificata come autorità pubblica ai sensi del diritto nazionale: agenzie governative, comuni, università pubbliche e imprese statali. La definizione varia da uno Stato membro all'altro. In Germania rientrano gli enti radiotelevisivi di diritto pubblico. In Francia, la CNIL ha chiarito che anche le organizzazioni che erogano servizi pubblici su contratto possono rientrare nell'ambito di applicazione.
Se la tua organizzazione riceve finanziamenti pubblici o eroga servizi per conto di un organismo pubblico, verifica se la tua autorità di controllo nazionale classifica questo trattamento come effettuato da un'"autorità pubblica": la definizione è più ampia di quanto la maggior parte si aspetti.
Scenario 2: monitoraggio regolare e sistematico su larga scala
Articolo 37(1)(b): "Le attività principali del titolare del trattamento o del responsabile del trattamento consistono in trattamenti che, per loro natura, ambito di applicazione e/o finalità, richiedono il monitoraggio regolare e sistematico degli interessati su larga scala."
È qui che la maggior parte delle organizzazioni del mid-market inciampa. "Attività principali" non significa il trattamento delle risorse umane o del payroll: significa il trattamento che è centrale per il conseguimento degli obiettivi aziendali. Gli orientamenti del WP29 (ora approvati dall'EDPB) definiscono i termini chiave come segue:
- "Regolare" significa continuo o ricorrente a intervalli particolari, non occasionale. Il tracciamento della fedeltà dei clienti, il monitoraggio della rete e il tracciamento della posizione dei dipendenti si qualificano tutti.
- "Sistematico" significa che avviene secondo un sistema, in modo predefinito, organizzato o metodico. La pubblicità comportamentale, il credit scoring e i sistemi di rilevamento delle frodi sono sistematici per natura.
- "Larga scala" considera il numero di interessati, il volume di dati, l'estensione geografica e la durata del trattamento. Non esiste una soglia numerica fissa, ma una rete di videosorveglianza estesa a un'intera città o un operatore di telecomunicazioni che tratta milioni di record di clienti si qualificano chiaramente.
Per le organizzazioni multi-entità, è qui che la complessità si moltiplica. La tua società madre potrebbe non far scattare in modo indipendente questa soglia, ma tre filiali combinate potrebbero farlo. E ogni filiale che la fa scattare crea il proprio obbligo di RPD, a meno che tu non designi un RPD di gruppo ai sensi dell'articolo 37(2).
Scenario 3: trattamento su larga scala di categorie particolari o di dati penali
Articolo 37(1)(c): "Le attività principali del titolare del trattamento o del responsabile del trattamento consistono nel trattamento, su larga scala, di categorie particolari di dati personali di cui all'articolo 9 o di dati relativi a condanne penali e a reati di cui all'articolo 10."
I dati appartenenti a categorie particolari includono i dati relativi alla salute, i dati biometrici, l'origine razziale o etnica, le opinioni politiche, l'appartenenza sindacale, i dati genetici e i dati relativi alla vita sessuale o all'orientamento sessuale. Se una delle tue filiali tratta questo tipo di dati come attività principale, una filiale sanitaria, un'entità assicurativa, un'unità di test genetici, un RPD è obbligatorio per quell'entità.
Il requisito della "larga scala" si applica anche qui. Lo studio di un singolo medico che tratta le cartelle dei pazienti non raggiunge la soglia. Una rete ospedaliera che tratta cartelle in tre Paesi sì.
Leggi nazionali che ampliano la base del GDPR
L'articolo 37(4) consente esplicitamente agli Stati membri di fissare requisiti aggiuntivi per la nomina del RPD. Diversi lo hanno fatto, creando trappole per le organizzazioni che controllano solo il testo del GDPR.
- Germania (BDSG, paragrafo 38): un RPD è obbligatorio quando almeno 20 dipendenti sono stabilmente impiegati nel trattamento automatizzato di dati personali. Si tratta di una soglia significativamente più bassa di quella della "larga scala" del GDPR e coinvolge molte aziende del mid-market che altrimenti non sarebbero soggette all'obbligo.
- Austria: la legge austriaca sulla protezione dei dati richiede i RPD per i trattamenti che creano un rischio elevato per i diritti delle persone, uno standard più ampio dei tre scenari del GDPR.
- Francia: sebbene la CNIL non abbia ampliato la nomina obbligatoria oltre l'articolo 37 del GDPR, i suoi orientamenti raccomandano vivamente la nomina di un RPD per qualsiasi organizzazione che tratti dati personali come parte significativa delle sue operazioni. In pratica, le autorità francesi si aspettano un RPD o una funzione equivalente.
- Romania, Grecia, Slovacchia: questi Stati membri hanno adottato requisiti aggiuntivi sul RPD specifici per settore, in particolare per le organizzazioni dei servizi finanziari, delle telecomunicazioni e sanitarie.
Per le organizzazioni multi-entità, ciò significa che un'unica valutazione del RPD di gruppo non basta. Devi verificare l'obbligo di ciascuna filiale rispetto al diritto nazionale del Paese in cui è stabilita, non solo rispetto alla base del GDPR.
Chi può fare il RPD? I requisiti che la maggior parte delle organizzazioni sottovaluta
L'articolo 37(5) richiede che il RPD sia nominato "in funzione delle qualità professionali, in particolare della conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati". L'EDPB ha chiarito che ciò significa:
- Conoscenze giuridiche e tecniche: il RPD deve comprendere sia il quadro giuridico sia le operazioni tecniche dell'organizzazione. Un avvocato che non comprende l'infrastruttura IT, o un responsabile IT che non comprende il GDPR, non soddisferà lo standard.
- Indipendenza: l'articolo 38(3) stabilisce che il RPD "non riceve alcuna istruzione per quanto riguarda l'esecuzione di tali compiti". Ciò significa che il RPD non può essere il CISO, il responsabile dell'ufficio legale o chiunque il cui ruolo crei un conflitto di interessi. L'EDPB ha segnalato i ruoli di CEO, COO, CFO, responsabile delle risorse umane e responsabile IT come ruoli intrinsecamente in conflitto.
- Risorse adeguate: l'articolo 38(2) richiede all'organizzazione di fornire "le risorse necessarie per assolvere tali compiti e accedere ai dati personali e ai trattamenti". La nomina di un RPD senza budget, strumenti o accesso ai registri dei trattamenti è un mancato adempimento pronto a verificarsi.
- Accessibilità: per i RPD di gruppo ai sensi dell'articolo 37(2), "facilmente accessibile da ogni stabilimento" significa accessibile in termini di lingua, disponibilità e comprensione dei requisiti normativi locali. Un RPD a Zurigo che gestisce la privacy per una filiale portoghese ha bisogno o di competenze nella lingua locale o di un coordinatore privacy locale.
Il modello del RPD di gruppo: come si coordinano le organizzazioni multi-entità
L'articolo 37(2) consente a un gruppo imprenditoriale di nominare un unico RPD, purché sia "facilmente accessibile da ogni stabilimento". In pratica, ciò significa costruire una struttura di coordinamento che dia al RPD di gruppo una reale visibilità su ogni entità.
Cosa richiede effettivamente "facilmente accessibile"
- Gli interessati in ciascuna giurisdizione devono poter contattare il RPD nella propria lingua locale, o almeno in una lingua che ci si può ragionevolmente aspettare che comprendano
- Il RPD deve poter comunicare efficacemente con le autorità di controllo locali in ogni giurisdizione in cui opera il gruppo
- Il RPD deve avere una visibilità operativa sulle attività di trattamento, i fornitori, gli incidenti e le richieste degli interessati di ogni entità che sovrintende
La realtà operativa senza strumenti centralizzati
Il fondatore di Priverion ha osservato un'impresa con 12 filiali che gestiva la conformità al GDPR su 47 fogli di calcolo. Il RPD di gruppo trascorreva la maggior parte della settimana a inseguire le unità di business per aggiornamenti del registro dei trattamenti, report sullo stato delle DPIA e completamenti delle valutazioni dei fornitori, tramite email, drive condivisi e call mensili che erano già superate nel momento in cui avvenivano.
Questa è la norma, non l'eccezione. Senza una piattaforma centralizzata che fornisca visibilità a livello di gruppo, il modello del RPD di gruppo degenera esattamente in quel tipo di conformità frammentata e non documentata che le autorità di controllo contesteranno durante un audit.
Come Priverion supporta il modello del RPD di gruppo
Priverion è stato costruito specificamente per questa architettura. Un RPD di gruppo che utilizza Priverion ottiene:
- Mappatura dei dati tra entità con visibilità centralizzata sulle attività di trattamento in ogni filiale
- Ricertificazione automatizzata del registro dei trattamenti. AXA ha raggiunto un tasso di ricertificazione del 100% con flussi di lavoro completamente automatizzati, eliminando l'inseguimento manuale
- Automazione di DPIA e TIA con redazione assistita dall'IA e valutazione del rischio, con tutti gli output rivisti dal RPD prima che diventino record di conformità
- Flussi di lavoro di gestione degli incidenti che instradano le notifiche di violazione alla filiale giusta e all'autorità di controllo giusta
- Una dashboard per il RPD che offre una supervisione operativa dello stato di conformità nell'intero gruppo
Tutti i dati sono trattati all'interno dell'infrastruttura svizzera, garantendo la residenza dei dati europea e la sovranità dei dati svizzera, un significativo vantaggio legale per le organizzazioni che gestiscono trasferimenti transfrontalieri di dati in un contesto post-Schrems II.
Anche se non ti serve un RPD: documenta la tua valutazione
L'articolo 37 non ti obbliga a nominare un RPD in ogni situazione, ma ogni autorità di controllo si aspetta che tu abbia valutato se ne hai bisogno. L'assenza di una valutazione documentata è di per sé un campanello d'allarme durante un'indagine.
La tua valutazione dovrebbe coprire:
- Ogni entità all'interno del tuo gruppo, valutata rispetto ai tre scenari dell'articolo 37(1)
- I requisiti del diritto nazionale in ogni giurisdizione in cui hai uno stabilimento
- Se ti avvali della disposizione sul RPD di gruppo ai sensi dell'articolo 37(2) e come viene garantita la "facile accessibilità"
- Se decidi di non nominarlo, la motivazione di tale decisione, documentata e datata
Questa documentazione dovrebbe essere rivista annualmente, o ogni volta che cambiano la struttura del tuo gruppo, le attività di trattamento o il contesto normativo.
