Garante Privacy: ruolo del DPO è del tutto incompatibile con quello di rappresentante legale della società

Il procedimento trae origine da una segnalazione della Banca d'Italia, che ha rilevato anomalie nelle richieste di accesso ai dati della Centrale Rischi effettuate dalla Società.

L’indagine ha avuto inizio il 13 giugno 2023 con un accertamento ispettivo presso la sede dell’anzidetta Società. In particolare, secondo quanto emerso, il rappresentante legale della Società, senza un’adeguata legittimazione, avrebbe effettuato numerose richieste di accesso ai dati della Centrale Rischi per conto di persone fisiche. Questo ha sollevato preoccupazioni circa un possibile utilizzo improprio di dati finanziari sensibili.

L’analisi del Garante ha messo in luce gravi carenze nella gestione dei dati personali da parte della Società. Dall’istruttoria è infatti emerso che la Società raccoglieva dati personali dei clienti attraverso il proprio sito web, senza fornire un’adeguata informativa agli interessati, in violazione dell’art. 14 del GDPR. 

Inoltre, la conservazione dei dati era gestita in modo irregolare: le informazioni personali di oltre 70.000 clienti erano archiviate in un database centralizzato, senza una chiara definizione dei tempi di conservazione e senza un sistema di cancellazione periodica. Questo ha portato alla violazione del principio di limitazione della conservazione previsto dall’art. 5 del GDPR.

Un altro aspetto rilevante dell’indagine ha riguardato i rapporti tra la Società e i soggetti terzi coinvolti nel trattamento dei dati. È stato accertato che diversi consulenti e collaboratori trattavano i dati per conto della Società senza essere formalmente nominati responsabili del trattamento, come richiesto dall’art. 28 del GDPR. I contratti esistenti erano generici e privi di indicazioni specifiche sui ruoli e le responsabilità dei soggetti coinvolti.

Infine, è stato rilevato un grave conflitto di interessi nella nomina del Responsabile della Protezione dei Dati (RPD o anche “DPO”): la Società aveva designato come DPO il proprio rappresentante legale, in violazione dell’art. 38 del GDPR, che impone l’indipendenza di tale figura. Inoltre, la società non aveva comunicato la designazione del DPO all’Autorità Garante, come invece richiesto dall’art. 37.

Tanto premesso, il Garante privacy ha così ribadito l’importanza del rispetto dei principi fondamentali della protezione dei dati personali, in particolare il principio di trasparenza e correttezza nel trattamento. Secondo l’art. 5 del GDPR, i dati personali devono essere trattati in modo lecito e trasparente, mentre l’art. 14 impone al titolare del trattamento di fornire agli interessati informazioni chiare sul trattamento dei loro dati.

Il provvedimento ha altresì sottolineato la necessità di una corretta gestione dei rapporti tra titolare e responsabili del trattamento, imponendo l’obbligo di stipulare contratti chiari che disciplinino le attività svolte dai soggetti esterni. 

Ma soprattutto, il provvedimento ha inteso evidenziare come la corretta designazione del DPO assuma un ruolo cruciale: il responsabile deve essere una figura indipendente e non in conflitto di interessi con il ruolo di rappresentante legale della società.

Pertanto, alla luce di queste violazioni, il Garante ha dichiarato illecito il trattamento dei dati effettuato dalla Società, comminando una sanzione di 70.000 euro. Inoltre, lo stesso ha imposto una serie di misure correttive alla Società per conformarsi alla normativa privacy. 

In particolare, ha ordinato:

Muovendo dal provvedimento del Garante, va dunque rammentato che la designazione di un DPO deve essere improntata a criteri di indipendenza, competenza e capacità di gestione della protezione dei dati. 

Per individuare il candidato ideale, è utile condurre un assessment della funzione di DPO, valutando:

Inoltre, il DPO dovrebbe mantenere aggiornate le sue competenze attraverso una formazione continua, poiché la normativa sulla protezione dei dati è in costante evoluzione.

La scelta di un DPO non può essere improvvisata: un’analisi attenta delle esigenze aziendali e delle capacità del professionista è essenziale per garantire la conformità al GDPR e una gestione efficace della privacy aziendale.​​​​​​​