Quando è obbligatoria la nomina del DPO
Il GDPR stabilisce che un’azienda deve nominare un DPO se:
- È un’autorità pubblica o un organismo pubblico (escluse le autorità giurisdizionali).
- Le attività principali consistono nel monitoraggio regolare e sistematico degli interessati su larga scala.
- Le attività principali riguardano il trattamento su larga scala di dati sensibili o giudiziari.
Nel contesto privato, l’obbligo può scattare ad esempio per aziende che effettuano profilazione comportamentale su larga scala, come nel marketing digitale.
Videosorveglianza: obblighi anche senza DPO
Anche in assenza di un DPO, le aziende che installano sistemi di videosorveglianza devono rispettare una serie di obblighi previsti dal GDPR e dalle linee guida del Garante della Privacy:
- Informazione chiara e visibile: è obbligatorio affiggere cartelli informativi prima dell’ingresso nelle aree sorvegliate, indicando il titolare del trattamento e le finalità.
- Limitazione della sorveglianza: le telecamere devono essere posizionate solo in aree a rischio, evitando la ripresa indiscriminata dei lavoratori.
- Esclusione delle aree private: è vietato installare telecamere in spogliatoi, bagni o zone di riposo.
- Accesso limitato ai dati: le immagini devono essere accessibili solo al personale autorizzato.
- Tempi di conservazione: le registrazioni devono essere conservate per un periodo limitato, generalmente tra 24 e 72 ore, salvo esigenze specifiche documentate.garanteprivacy
La consulenza resta fondamentale
Anche quando non è obbligatoria la nomina del DPO, è fortemente consigliata la consulenza di un esperto in materia di privacy. Un professionista può aiutare a valutare la liceità e la proporzionalità del trattamento, verificare la necessità di una valutazione d’impatto e garantire la conformità normativa, come raccomandato dal Garante.
Fonte: Gruppo Errepi Srl
