Nomina del Responsabile del Trattamento: quali clausole inserire?

Il GDPR conferma la definizione e l’importanza della figura del Responsabile del Trattamento (data processor).

L’aspetto più rilevante del Regolamento, tuttavia, consiste nell’aver regolato in modo più dettagliato e preciso la disciplina dell’accordo tra titolare e responsabile all’articolo 28 rispetto a quanto prevedeva la Direttiva 1995/46/Ce e il previgente Codice privacy, di cui al d.lgs. 196/2003.

Il Regolamento, infatti, impone al titolare una valutazione ponderata e precisa delle caratteristiche soggettive ed oggettive che il responsabile deve detenere, come ad esempio:

• Possedere adeguata competenza specialistica;
• Essere in grado di fornire affidabilità e risorse necessarie per mettere in atto misure tecniche ed organizzative adeguate.

Per tali ragioni, il GDPR ha altresì previsto che la nomina venga disciplinata da un atto con valenza giuridica.

L’art. 28 stabilisce, inoltre, che un’Autorità di controllo possa suggerire un corpo contrattuale standard. In base a tale disposizione, l’Autorità di controllo danese ha suggerito, attraverso l’Opinion 14/2019, apposite clausole – tipo e schemi contrattuali.

In particolare:

• Può essere utile formare un testo contrattuale costituito anche da un indice iniziale e un preambolo;
• Tra le clausole contrattuali, è importante inserire, ai sensi dell’art. 28, paragrafo 3 GDPR, una previsione sulla ripartizione delle conseguenze giuridiche, nel caso in cui il Titolare impartisca istruzioni in violazione della normativa;
• In caso di molteplici e susseguenti nomine di sub –responsabili, può rivelarsi utile inserire nell’accordo tra Titolare e Responsabile un’autorizzazione generale, che facoltizzi il responsabile a ricorrere a sub responsabili.

La necessità di percorsi formativi adeguati e di servizi di consulenza mirati: le proposte di Hedya

L’Opinione dell’Autorità di controllo danese evidenzia che per poter operare correttamente, una ottima conoscenza dei principi e delle novità introdotte dal GDPR, nonché delle più importanti applicazioni pratiche, costituisce un requisito essenziale, benché non unico: occorrono, altresì, costanti aggiornamenti ed approfondimenti mirati sulle prassi applicative.

Per tali ragioni, Hedya fornisce percorsi formativi e di aggiornamento, nonché servizi di consulenza.

Hedya propone un articolato percorso formativo, in relazione agli specifici bisogni e livelli formativi.

In particolare, si prevede:

1. Corsi di formazione per Data Protection Officer

• Corso “DPO: DATA PROTECTION OFFICER”, necessario per accedere a un percorso di elevata specializzazione. Il corso ha una durata di 40 ore di lezioni teoriche e 6 ore di simulazione dell’attività quotidiana del DPO;
• Corso “DPO: DATA PROTECTION OFFICER – Avanzato”, per chi ha già acquisito le conoscenze di base di natura giuridica e organizzativa e intende acquisire le nozioni pratico- applicative di base per svolgere le attività di DPO;

1. Corsi di formazione per tutti i soggetti coinvolti nelle operazioni di trattamento dati

• Corso “GDPR: LE PRINCIPALI NOVITÀ SULLA PROTEZIONE DEI DATI PERSONALI”, per consentire a tutti i soggetti coinvolti nel trattamento dei dati personali (ad esempio, personale dipendente) di ottenere un’adeguata formazione e aggiornamento in materia di gestione dei dati personali.