Europrivacy

Ruoli aziendali connessi alla protezione dei dati personali

Osservando la bozza di Regolamento è chiaro che il ruolo delle imprese è molto più attivo del previsto: se da un lato prevede semplificazioni per le imprese, in particolare per le PMI, riconoscendo ad esempio una maggiore flessibilità nella definizione dei processi per raggiungere l'obiettivo di un elevato livello di protezione dei dati personali, dall'altro introduce invece costi organizzativi, vincoli e procedure che complicano il ruolo di titolare del trattamento e la gestione della privacy.

Il Data Controller corrisponde al Titolare previsto dalla vigente normativa italiana (è la persona fisica o giuridica, l'autorità pubblica, il servizio o qualsiasi altro organismo che singolarmente o insieme ad altri determina le finalità, le condizioni e i mezzi del trattamento di dati personal)i. La portata degli obblighi previsti dal regolamento per il data controller, varia in funzione del tipo di compagnia (ente pubblico, privato, azienda grande, media, piccola, micro, professionista, chiesa o associazione religiosa…). Tale ruolo può essere condiviso con altri soggetti (Joint controllers) e in tal caso le rispettive responsabilità in merito al rispetto degli obblighi derivanti dal Regolamento devono essere regolamentate formalmente mediante un accordo interno.

Nello svolgimento della sua attività il Controller può avvalersi di uno o più Data Processors, identificati come la persona fisica o giuridica, l'autorità pubblica, il servizio o qualsiasi altro organismo che elabora dati personali per conto del Controller. Il data processor è scelto dal Controller fra coloro che offrono garanzie sufficienti per mettere in atto misure e procedure tecniche e organizzative adeguate in modo tale che il trattamento sia conforme al Regolamento e assicuri la tutela dei diritti dell'interessato.

Uno stesso soggetto può essere contemporaneamente per trattamenti diversi o per parti di essi Controller, Processor o Controller's representative per conto di un altro Controller non stabilito nella UE e svolgere ulteriori trattamenti come Joint controller.

Non è prevista, invece, diversamente dalla normativa italiana vigente, la figura dell'incaricato.

Cambiano le attribuzioni di responsabilità. Ora anche i Data Processor hanno una responsabilità oggettiva e rispondono penalmente e civilmente in merito agli adempimenti previsti dalla normativa. Inoltre, nel caso in cui un Data Processor non rispetti le istruzioni ricevute dal Controller viene considerato alla stregua di questo per quanto attiene agli obblighi e responsabilità previsti dalla normativa. Viene regolamentata anche la possibilità di usufruire di sub Processor, nel caso in cui un Processor si avvalga a sua volta di altri fornitori. In tal caso deve essere preventivamente autorizzato dal Controller salvo diversi accordi fra le parti.