Ruoli privacy

— di Anna Gabriele  —

L’adozione di un adeguato Modello Organizzativo Privacy rappresenta uno specifico strumento pratico che consente al Titolare del trattamento, a seconda della sua organizzazione, la scelta e la gestione in autonomia degli adempimenti in materia di protezione dei Dati Personali.

Parlare di adeguate misure organizzate, soprattutto nel mondo assicurativo, vuol dire dare un notevole impulso al business nel pieno rispetto delle indicazioni normative cogenti.

Ambito assicurativo

È sotto gli occhi di tutti come nei rapporti con i clienti assicurati e prospect negli ultimi anni si siano modificate le dinamiche contrattuali, anche a causa dell’evento pandemico, mediante una sempre più ricorrente digitalizzazione dei rapporti. Ciò impatta sia in fase pre-contrattuale, con un adeguato approccio ai prospect, sia di gestione del cliente, si pensi alla sottoscrizione digitale dei contratti…

Tali processi hanno bisogno di una adeguata e corretta Accountabilty tramite processi di governance che monitorino costantemente le evoluzioni normative e i provvedimenti delle autorità competenti.

Principi Normativi

Accountability introdotta dal Reg. Ue 2016/679 che sottende il rispetto di tutti i principi introdotti dalla norma comunitaria come si può facilmente evincere dalla lettura dell’art. 5 Reg. Ue 2016/679 che al secondo paragrafo prevede come “Il titolare del trattamento è responsabile del rispetto del paragrafo 1 e deve essere in grado di comprovarlo («responsabilizzazione»). Tale disposizione alla quale fa da eco il considerando 74, ripreso dall’art. 24 GDPR, per il quale: “… il titolare del trattamento dovrebbe essere tenuto a mettere in atto misure organizzative adeguate ed efficaci ed essere in grado di dimostrare la conformità delle attività di trattamento con il presente regolamento, compresa l’efficacia delle misure…” richiama la necessità di individuare in maniera adeguata commisurata e proporzionata alla realtà aziendale tutte le misure organizzative necessarie.

Ruoli del DPO e del Privacy Officer

Tra le misure organizzative interne, si vuol porre l’attenzione su due figure fondamentali per il presidio sul trattamento dei Dati personali all’interno delle compagnie Assicurative ovvero il Privacy Officer e il Data Protection Officer (DPO), entrambi indispensabili ai fini di un’adeguata Accountability.

Sebbene tali figure siano spesso confuse, assumono ruoli e compiti ben differenti e dovrebbero disporre rispettivamente di autonoma struttura per consentire al DPO di poter espletare liberamente la propria funzione di sorveglianza e assistenza.

Si segnala come in ambito assicurativo e non solo, la compresenza dei due ruoli sia un dato non eludibile ed a tal scopo, potrebbero trovare applicazione vari modelli organizzativi interni sulla la protezione dei dati personali, che include la designazione di un Data Protection Officer (DPO) e di una serie di Responsabili Interni (Privacy Officer) su vari livelli.

Data Protection Officer

Il DPO è la figura prevista dal Regolamento UE n. 679/2016 con compiti di informazione e consulenza per il titolare del trattamento in merito agli obblighi in materia di protezione dei dati personali e di verifica dell’attuazione ed applicazione della normativa. Esso rappresenta, inoltre, il punto di contatto per gli interessati in merito a questioni di trattamento dei loro dati o all’esercizio dei loro diritti e per il Garante per la protezione dei dati personali.

Il Privacy Officer governa, per conto delle Compagnie il trattamento dei Dati Personali ed in relazione con le varie funzioni aziendali le specifiche aree di trattamento in base alle finalità assicurative.

Ruolo e compiti del Privacy Officer

Passando al dettaglio delle attività dei due ruoli soggettivi si evidenziano, a titolo esemplificativo e non esaustivo le specifiche competenze:

Il Privacy Officer si occupa della protezione dei dati personali, ha il compito di garantire il rispetto dell’accountability da parte del titolare di cui è organico. Ha un ruolo marcatamente gestionale e coopera con tutti i reparti aziendali (Legal, IT, Marketing, Management ecc.) al fine di adeguare l’organizzazione al GDPR a garantirne la conformità nel tempo.

I suoi compiti sono:

• Occuparsi del monitoraggio e aggiornamento di politiche, procedure e regolamenti, assicurandosi che siano sempre in linea con le attività di trattamento effettuate;
• Prevedere continua formazione, aggiornamento e sensibilizzazione del personale dipendente circa gli adempimenti derivanti dalla normativa in materia di trattamento dei dati personali e i principali rischi inerenti sui trattamenti svolti;
• Dare supporto e consulenza ai referenti/delegati individuati in ogni reparto per qualsiasi questione relativa alla normativa in materia di protezione dei dati personali;
• Svolgere attività periodica di audit sul sistema di gestione degli adempimenti;
• Fornire supporto al Titolare nonché adeguato sostegno al DPO nell’esecuzione dei propri compiti;
• Definire le linee attuative delle disposizioni riguardanti la protezione dei dati personali all’interno del gruppo;
• Sovraintendere alla tenuta e all’aggiornamento del Registro dei trattamenti sulla base delle informazioni fornite dai vari uffici del Gruppo;
• Sorvegliare l’osservanza delle disposizioni normative europee e nazionali, nonché delle politiche del titolare o del responsabile del trattamento, in materia di protezione dei dati personali, compresi l’attribuzione delle responsabilità, la sensibilizzazione e la formazione del personale che partecipa ai trattamenti e alle connesse attività di controllo;
• Gestire, in collaborazione con le strutture coinvolte, le istanze dei soggetti interessati per tutte le questioni relative al trattamento dei loro dati personali e all’esercizio dei loro diritti derivanti dalle disposizioni in materia di protezione dei dati personali;
• Coordinare, d’intesa con il DPO, il ciclo di lavorazione delle segnalazioni di violazioni di dati personali (data breach);
• Mantenere aggiornata l’attività di registrazione nel caso di eventuali violazioni dei dati personali;
• Sovraintendere alla redazione e all’aggiornamento delle Informative (articoli 13 e 14 del RGPD);
• Sovraintendere alla redazione e all’aggiornamento delle nomine responsabile del trattamento (articolo 28 del RGPD) ;
• Sovraintendere alla redazione e all’aggiornamento delle nomine degli autorizzati-designati (articoli 29 GDPR e 2 quaterdieces d. lgs. 101/2018);

Ruolo e compiti del Data Protection Officer

Nell’ambito delle sue competenze il DPO ha la responsabilità principale di osservare e valutare l’organizzazione della gestione del trattamento di dati personali (e dunque la loro protezione) all’interno di un’azienda, affinché questi siano trattati nel rispetto delle normative privacy europee e nazionali.

Nello specifico si occupa di:

• attività di informazione e consulenza al titolare, all’ufficio privacy o al responsabile del trattamento, nonché ai dipendenti che eseguono il trattamento, sugli obblighi derivanti dal regolamento e da altre disposizioni dell’Unione o degli Stati membri in materia di protezione dei dati;
• sorvegliare sull’osservanza, da parte del titolare per il tramite anche dell’ufficio privacy dedicato del responsabile del trattamento, del regolamento e delle altre disposizioni dell’Unione o degli Stati membri in materia di protezione dei dati, compresa l’attribuzione delle responsabilità, sensibilizzazione e formazione del personale che partecipa ai trattamenti e alle connesse attività di controllo;
• fornire, se richiesto, un parere sulla “valutazione d’impatto” della protezione dei dati e sorvegliarne l’adempimento ai sensi dell’art. 35;
• cooperare con l’autorità di controllo, e fungere da punto di contatto per l’autorità di controllo per questioni connesse al trattamento, tra cui la consultazione preventiva di cui all’articolo 36, ed effettuare, se del caso, consultazioni relativamente a qualunque altra questione.

Ruoli privacy. Conclusioni

È dunque importante rilevare in questa sede che, in ogni caso, i Ruoli Privacy all’interno di una Compagnia Assicurativa soggetti alla “responsabilizzazione” devono essere ben individuati con annessi ruoli e compiti, in modo tale da poter sempre giustificare tutte le scelte effettuate per essere conformi alla legge rispettosi dell’Accountability e garantire un legittimo trattamento dei dati personali.