Deliberaz. G.R. Piemonte 18/05/2018, n. 1-6847

A relazione del Vicepresidente Reschigna e dell'Assessore Ferraris:

Premesso che,

il 27 aprile 2016 è stato approvato il Regolamento (UE) 2016/679 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati).

Il 24 maggio 2016 è entrato ufficialmente in vigore il Regolamento che diventerà direttamente applicabile a tutti gli Stati membri il 25 maggio 2018.

Il Regolamento (RGPD) nasce per proteggere i diritti e le libertà fondamentali delle persone fisiche, in particolare per assicurare un’applicazione coerente e omogenea delle norme a protezione dei dati personali con regole equivalenti a livello europeo (considerando 10) ed offre un quadro di riferimento aggiornato e fondato sul principio di responsabilizzazione (accountability).

Considerato che, per il raggiungimento degli obiettivi di cui sopra, il Regolamento introduce concetti e strumenti nuovi tra i quali, particolare rilievo, rivestono: la nomina del Responsabile della protezione dei dati, l’istituzione del Registro dei trattamenti, la valutazione d’impatto sulla protezione dei dati (DPIA) e la notifica della violazione dei dati personali all’autorità di controllo nonché la comunicazione della violazione dei dati personali all’interessato da parte del titolare e del responsabile del trattamento (data breach).

Considerato che per la nomina del Responsabile della protezione dati (RDP) si fa riferimento allo schema di atto di designazione redatto ai sensi dell’art. 37 del Regolamento UE, messo a disposizione dal Garante per la protezione dei dati personali;

che il Regolamento de quo prevede l’obbligo per il titolare del trattamento di nominare il RPD ogniqualvolta “il trattamento è effettuato da un’autorità pubblica o da un organismo pubblico, eccettuate le autorità giurisdizionali quando esercitano le loro funzioni giurisdizionali”.

Considerato, altresì, che le richiamate disposizioni prevedono che il RPD può essere un dipendente del titolare del trattamento oppure assolvere i suoi compiti in base ad un contratto di servizi (art. 37 co. 6) e che deve essere individuato «in funzione delle qualità professionali, in particolare della conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati, della capacità di assolvere i compiti di cui all’articolo 39» (art. 37 co. 5) e che «il livello necessario di conoscenza specialistica dovrebbe essere determinato in base ai trattamenti di dati effettuati e alla protezione richiesta per i dati personali trattati dal titolare o dal responsabile del trattamento» (considerando n. 97);

che, nel rispetto di quanto previsto dall’art. 39 del regolamento, il RPD è incaricato di svolgere almeno i seguenti compiti:

a) informare e fornire consulenza al titolare del trattamento nonché ai dipendenti che eseguono il trattamento in merito agli obblighi derivanti dal regolamento (UE) 2016/679, nonché da altre disposizioni nazionali o dell’Unione relative alla protezione dei dati;

b) sorvegliare l’osservanza del regolamento (UE) 2016/679, di altre disposizioni nazionali o dell’Unione relative alla protezione dei dati nonché delle politiche del titolare del trattamento in materia di protezione dei dati personali, compresi l’attribuzione delle responsabilità, la sensibilizzazione e la formazione del personale che partecipa ai trattamenti e alle connesse attività di controllo;

Compete alla Direzione l'assistenza tecnico-giuridica ed il supporto operativo alla Giunta Regionale per l'espletamento degli affari istituzionali; la consulenza legale agli organi ed alle strutture regionali nonché la difesa e rappresentanza in giudizio; il coordinamento giuridico per l’applicazione del Regolamento Europeo 2016/679 in materia di privacy ed esercizio delle funzioni legate al ruolo di responsabile della protezione dei

Parte di provvedimento in formato grafico