Chiarire gli incarichi effettivamente attribuiti
L’OdV vigila sul Modello 231 e può essere incaricato anche della gestione del canale, se la soluzione è coerente con i requisiti applicabili. Il DPO svolge invece i compiti previsti dal GDPR, tra cui informazione, consulenza e sorveglianza. La sola nomina a DPO non attribuisce l’incarico di ricevere e istruire le segnalazioni.
Il primo documento utile è una ripartizione delle attività: chi gestisce il caso, chi decide sulle misure organizzative, chi presta consulenza privacy e chi assicura il servizio tecnico. La denominazione della funzione non sostituisce questa definizione.
Condividere il processo prima dei contenuti
Per valutare il trattamento, il DPO può avere bisogno di conoscere architettura del servizio, ruoli, accessi, conservazione, fornitori e procedure. Molti controlli possono iniziare da queste informazioni, da configurazioni e da casi fittizi, senza distribuire ogni segnalazione ricevuta.
Quando l’esame di dati reali è necessario per un compito specifico, devono essere valutate modalità e ampiezza dell’accesso. Il criterio non è impedire al DPO di lavorare, ma fornirgli le informazioni necessarie nel rispetto della riservatezza e della minimizzazione.
Organizzare momenti di confronto mirati
Un confronto periodico può riguardare aggiornamenti del servizio, difficoltà di cancellazione, cambiamenti nei destinatari o problemi nelle notifiche. L’OdV può segnalare criticità del processo; il DPO può formulare osservazioni sulle misure e sulla documentazione.
Le sintesi devono evitare dettagli che rendano riconoscibili persone senza necessità. Se emerge un possibile incidente sui dati, occorre attivare il percorso previsto dall’organizzazione, distinguendo l’analisi dell’incidente dalla valutazione del merito della segnalazione originaria.
Valutare cumuli di incarichi e interessi commerciali
Il GDPR richiede di evitare conflitti di interesse negli ulteriori compiti del DPO. Un cumulo di funzioni deve quindi essere valutato rispetto alle decisioni effettivamente assunte e all’indipendenza del ruolo, senza affidarsi soltanto al titolo professionale. Per progettare il servizio è prudente partire dalla distinzione tra DPO e gestore del canale, motivando con attenzione eventuali soluzioni diverse.
Anche la proposta di una piattaforma richiede attenzione quando proviene da chi deve valutarla in modo indipendente. Condizioni commerciali, eventuali interessi e responsabilità devono essere trasparenti; non è opportuno presentare una partnership come automaticamente compatibile con qualsiasi incarico DPO.
Lasciare traccia delle decisioni senza creare un secondo fascicolo
Verbali e piani di azione possono riportare criticità, responsabili delle correzioni e scadenze, mantenendo separati i dettagli dei casi. Questo permette di verificare gli interventi senza moltiplicare copie di dati riservati.
- Definire un referente per i quesiti privacy del gestore.
- Rivedere accessi e incarichi quando cambia l’organizzazione.
- Utilizzare test fittizi per le verifiche tecniche ordinarie.
- Documentare le valutazioni sui conflitti e le misure adottate.
- Distinguere consulenza del DPO e decisioni del titolare.
Domande frequenti
Il DPO deve essere sempre un ricevente della piattaforma?
No. Gli accessi devono essere coerenti con i compiti e le necessità effettive; la nomina non equivale a un incarico di gestione del canale.
Come coinvolgere il DPO senza distribuire tutti i fascicoli?
Si può partire da procedure, configurazioni e informazioni sul trattamento, valutando accessi a dati reali soltanto quando necessari per gli specifici compiti.
