Una maledizione aleggia sul DPO da sempre, o meglio, da quando gli articoli da 37 a 39, con l'intero Regolamento UE 2016/679 (GDPR), sono entrati in vigore (e, dopo due anni, divenuti applicabili). Discende immediatamente dal primo paragrafo dell'art. 37 che stabilisce, al ricorrere di una delle tre fattispecie individuate dalle lettere a), b) e c), l'obbligatorietà della designazione del Data Protection Officer.
Ha destato interesse il Provvedimento del 28 Aprile 2022 (doc. web 9771184) con il quale l’Autorità Garante ha sanzionato l’Istituto Nazionale Assicurazione Infortuni sul Lavoro (INAIL) per tre incidenti di sicurezza occorsi tra il 2019 e il 2020 consistiti nell’accesso illegittimo di terzi a pratiche di infortunio e malattia professionale di altri lavoratori. Dei tre incidenti, in un caso, la causa è risultata ascrivibile a un errore umano.
In data 18 luglio 2022 il Consiglio UE ha approvato in via definitiva il Digital Markets Act (DMA) sulle nuove norme per un settore digitale equo e competitivo grazie alle leggi sui mercati digitali. Il Digital Markets Act, che avrà importanti impatti anche sui trattamenti di dati personali, ha l’obiettivo di assicurare condizioni di parità in campo digitale per stabilire diritti e norme chiari per le grandi piattaforme online come Facebook, Amazon, Google, etc. e garantisce che nessuna di esse abusi della propria posizione.
Lo scorso anno il Garante per la protezione dei dati personali ha emanato apposite Linee guida sui cookie e altri strumenti di tracciamento, entrate in vigore a inizio di quest’anno. I cookie, citati nel considerando 30 del Regolamento UE 2016/679, “sono piccoli file di testo che il sito web invia al terminale dell'utente, ove vengono memorizzati per poi essere ritrasmessi al sito alla visita successiva” (AGID), permettendo il riconoscimento del dispositivo utilizzato (l’IP che è un dato personale) ma anche la conoscibilità di altre informazioni quali l’idioma utilizzato.
Una check-list gratuita a favore dei commercialisti per adempiere alla normativa sulla protezione dei dati personali, si è resa necessaria per "un livello insufficiente di adeguamento alla normativa da parte degli ordini territoriali". È quanto si appresta a mettere a disposizione il Consiglio Nazionale dei Dottori Commercialisti ed Esperti Contabili (Cndcec), secondo quanto riportato nell'informativa n. 62/2022 pubblicata il 13 luglio 2022, che riferimento agli adempimenti in materia di privacy previsti dal Gdpr.
La ISO/IEC 27001:2013 “Sistemi di gestione della sicurezza dell'informazione - Requisiti”, tratta anche del tema dello smaltimento dei supporti che contengono dati, nello specifico il controllo A.8.3.2 - dismissione dei supporti (nella ISO/IEC 27002:2022 controllo 7.10) , ove si specifica che la dismissione deve avvenire in modo sicuro attraverso l’utilizzo di procedure formali. Ovviamente, la dismissione dei supporti si riferisce non solo a quelli elettronici, ma anche a quelli cartacei e più in generale a ogni forma di supporto contenente dati. L’articolo si concentra sulla dismissione dei supporti elettronici e cartacei dove di norma sono conservati dati personali, a riprova del fatto che la ISO/IEC 27001:2013 è da considerare come una validissima misura di accountability in relazione alla protezione dei dati personali.
