Mettersi in regola con la GDPR Compliance

Chi gestisce un blog o un sito personale da qualche anno sa che deve fare i conti con le nuove disposizioni in materia di protezione dei dati personali. Pur non occupandosi di vendite ha il dovere di farlo presto, per non incorrere a delle sanzioni che non legittimano la tracciabilità dei dati personali altrui: Cookie, CMS (WordPress), newsletter e strumenti di marketing (es. Google Adsense) compresi i tool per l’analisi dati più popolari come Google Analytics. Il consiglio non è fare un copia/incolla ma rivolgersi a un professionista che saprà personalizzare un preventivo in base alle attività specifiche.

1. Il DPO è un consulente. Svolge principalmente un ruolo di informazione e sorveglianza.
2. Il suo compito è quello di informare il Titolare della necessità di farle – o farle fare dal Privacy Officer – e poi eventualmente di controllarle, su richiesta, al fine di verificare che siano state fatte nel modo opportuno Valutazioni d’Impatto sulla Protezione dei Dati / PIA / DPIA (ex art. 35).
3. Il DPO non compila il Registro dei Trattamenti (ex art. 30). 
4. Il riferimento normativo dell’azienda per la Privacy è Privacy Officer, ovvero all’ufficio privacy e/o compliance aziendale. Il DPO è semmai quello di fornire consulenza in merito ai punti non già adeguatamente coperti dalle procedure esistenti, con l’obiettivo di rendere queste ultime sempre più adeguate alle tipologie di dati trattati (e relativi oneri). 
5. Al DPO non spettano le attività di formazione, il suo compito è assicurarsi che l’azienda provveda a organizzare i percorsi di formazione adeguati alle tipologie di dati trattati (e relativi oneri).
6. La responsabilità ricade sempre e comunque in carico al Titolare del trattamento e, limitatamente al loro incarico, ai Responsabili da lui nominati; il DPO non ha responsabilità ulteriori a quelle direttamente connesse alle sue mansioni – come ad es. la comunicazione obbligatoria al garante in caso di Data Breach rilevante, anch’essa peraltro su impulso dell’azienda.

1. Informare e fornire consulenza al Titolare (o al Responsabile), nonché ai dipendenti che eseguono il trattamento, in merito agli obblighi derivanti dal presente regolamento nonché da altre disposizioni dell’Unione o degli Stati membri relative alla protezione dei dati (cfr. art. 35);
2. Sorvegliare l’osservanza del presente regolamento, di altre disposizioni dell’Unione o degli Stati membri relative alla protezione dei dati nonché delle politiche del titolare del trattamento o del responsabile del trattamento in materia di protezione dei dati personali, compresi l’attribuzione delle responsabilità, la sensibilizzazione e la formazione del personale che partecipa ai trattamenti e alle connesse attività di controllo;
3. Fornire, se richiesto, un parere in merito alla valutazione d’impatto sulla protezione dei dati e sorvegliarne lo svolgimento ai sensi dell’art. 35;
4. Cooperare con l’autorità di controllo;
5. Fungere da punto di contatto per l’autorità di controllo per questioni connesse al trattamento, tra cui la consultazione preventiva di cui all’art. 36, ed effettuare, se del caso, consultazioni relativamente a qualunque altra questione.