sono obbligato a designare un responsabile della protezione dei dati per la mia azienda

Per la maggior parte delle PMI e dei professionisti autonomi non vige alcun obbligo

Un responsabile della protezione dei dati, abbreviato RPD, di norma non è obbligatorio per le piccole e medie imprese ordinarie e per la maggior parte dei professionisti autonomi. Il GDPR elenca una serie di situazioni specifiche in cui un RPD è invece obbligatorio, e al di là di quelle, un'organizzazione è libera di nominarne uno di propria iniziativa, senza che la legge lo imponga. Nella pratica, un RPD obbligatorio si presenta soprattutto nelle amministrazioni pubbliche e nelle imprese la cui attività principale consiste nel monitoraggio su larga scala e sistematico di persone o nel trattamento su vasta scala di categorie particolari di dati personali, come i dati sanitari.

Un negozio online, uno studio di consulenza, un'impresa edile o un professionista autonomo dotato di un pacchetto contabile e di pochi strumenti SaaS nella maggior parte dei casi rientra al di fuori di tali categorie. Questo non significa che non ci sia nulla da fare: anche senza un RPD, vige l'obbligo di poter dimostrare quali dati personali sono trattati e per quale scopo, ad esempio in il registro dei trattamenti, e tale obbligo vale allo stesso modo per un'impresa individuale. Chi non è sicuro che le proprie attività rientrino effettivamente nelle categorie "su larga scala" o "sistematico", troverà un orientamento più solido nella domanda quando una DPIA è necessaria, poiché questa stessa valutazione dei rischi spesso coincide con la questione relativa all'obbligo di RPD.

Su cosa si basa questo: articoli 2 e 30 del GDPR

Il GDPR stabilisce all'articolo 2 l'ambito di applicazione materiale del regolamento e l'articolo 30 disciplina il registro dei trattamenti con le eccezioni che vi si applicano — l'obbligo di RPD stesso si trova altrove nel regolamento, ma l'estensione e la natura del trattamento che in esso svolgono un ruolo si allineano agli stessi criteri applicabili al registro e all'obbligo di DPIA. Parte di questa valutazione è di natura fattuale: quante persone sono monitorate, con quale sistematicità, e di quali categorie di dati si tratta. L'Autorità olandese per la protezione dei dati pubblica linee guida supplementari per la pratica nei Paesi Bassi, mentre la questione se un RPD sia obbligatorio si basa ovunque nell'UE sullo stesso regolamento — tuttavia l'autorità di controllo nazionale, nei Paesi Bassi l'Autorità olandese per la protezione dei dati e negli altri Stati membri l'autorità di controllo di quello Stato, può applicare proprie linee guida o requisiti di registrazione aggiuntivi relativi alla nomina di un RPD.