GDPR COSA FARE: riflessione sulle problematiche applicative del GDPR emerse durante l’evento del 25.05.2018
Nel corso del primo evento «GDPR COSA FARE», che si è tenuto venerdì scorso a Lucca, sono state rilevate alcune difficoltà applicative del GDPR, ossia del Regolamento (U.E.) 2016/679.
Durante i momenti dedicati alla discussione fra partecipanti e relatore sono state messe in evidenza alcune criticità riguardanti il testo del regolamento.
In primo luogo è risultato quanto sia difficile applicare al caso concreto una normativa così generica come quella del GDPR.
Secondariamente, proprio attraverso il confronto fra i vari partecipanti, che hanno condiviso la propria esperienza come imprenditori o professionisti, è stato possibile in parte chiarire differenti aspetti della normativa che prima apparivano decisivamente oscuri.
Tuttavia, è auspicabile che con degli interventi legislativi mirati e/o con pareri o provvedimenti del Garante della Privacy vengano superati i dubbi attuali.
Una delle problematiche che è emersa è quella relativa alle modalità di nomina di figure come quelle del Responsabile del trattamento dei dati. Il Legislatore europeo ha previsto che il Responsabile del trattamento possa essere nominato con un contratto di servizio, o con un atto di nomina, ma non ha specificato i casi in cui sia preferibile procedere con un atto di nomina o con un contratto.
Anche se questa questione era già stata segnalata in un mio precedente articolo, mi sono resa conto, al momento della discussione, che i partecipanti all’evento nel porre le domande hanno mostrato delle perplessità proprio su come si debba nominare il Responsabile del trattamento.
Pertanto, proprio perché il GDPR deve essere applicato in scenari reali di attività commerciali o professionali, a mio parere sarebbe stato opportuno indicare specificamente nel regolamento i casi in cui si dovesse procedere con un semplice atto di nomina e quelli in cui sarebbe meglio ricorrere ad un contratto di servizio.
Un altro dubbio che è emerso, soprattutto per quanto riguarda i casi in cui il trattamento dei dati debba essere svolto da un singolo professionista, o da una piccola e media impresa, è quello della coincidenza della persona fisica o giuridica che riveste il ruolo di Titolare del trattamento dei dati e di Responsabile del trattamento dei dati.
In questo caso succederebbe, per esempio, che il professionista nomini sé stesso Titolare e Responsabile del trattamento dei dati e la stessa cosa potrebbe accadere anche nell’ipotesi di una Ditta Individuale.
Appare evidente che nel caso in cui si tratti di un professionista, come un avvocato, un commercialista, un geometra, od un architetto, oltre che nell’ipotesi di una Ditta individuale, è praticamente impossibile evitare che il ruolo delle due figure incaricate nella gestione del trattamento dei dati non sia ricoperto dalla stessa persona (fisica o giuridica).
Nel GDPR poi non esiste alcun riferimento normativo che possa aiutare a risolvere questa problematica, essendo invece indicate le due figure, distintamente, in varie disposizioni del testo.
In ogni caso, il cammino interpretativo del GDPR si rivela essere lungo e tortuoso e queste sono solamente le prime riflessioni.
Sicuramente, nel prossimo evento di “GDPR COSA FARE” verranno sollevate altre questioni e questo servirà a fornire un quadro sempre più articolato ed approfondito della nuova disciplina sul trattamento dei dati introdotta con il GDPR.
