Il Privacy Manager (di seguito, P.M.) è una figura professionale che, in uno specifico contesto organizzativo (area funzionale dell’organizzazione o specifico settore), coordina le attività di trattamento dei dati personali per garantire il rispetto delle normative vigenti in materia di data protection. Egli aiuta dunque l’organizzazione a raggiungere un livello adeguato di protezione dei dati e a mantenerlo.
Il P.M. deve possedere abilità, conoscenze e competenze di livello medio-alto in materia di data protection sotto vari punti di vista: tecnico, giuridico, organizzativo, manageriale, relazionale e comunicativo. Normalmente si tratta di una figura apicale, ma è pur sempre un soggetto interno e dunque integrato in una determinata organizzazione, rivestendo la qualità comunque di dipendente, seppur di livello elevato (dirigente, quadro o funzionario per es.).
Il P.M. deve essere designato dal titolare ai sensi degli artt. 29 e 32, par. 4 del GDPR, nonché ai sensi dell’art. 2-quaterdecies del D.Lgs. 196/2003 (cosiddetto “Codice Privacy”). Il titolare ne deve altresì curare la formazione.
Cosa deve fare il Privacy Manager in 10 punti
Il P.M. deve:
- informare periodicamente il titolare sullo stato dei trattamenti dei dati;
- gestire, con autonomi poteri di spesa, il budget assegnato per le attività di trattamento;
- organizzare e coordinare compiti e responsabilità relativi al trattamento e alla protezione dei dati, supervisionando l’operato dei soggetti preposti o autorizzati al trattamento;
- coadiuvare il titolare e il DPO (se esistente) nel processo di analisi e valutazione dei rischi;
- coadiuvare il titolare e il DPO (se esistente) nella valutazione d’impatto, cosiddetta “DPIA”, per quei trattamenti che possono implicare rischi elevati ai sensi dell’art. 35 del GDPR;
- assistere il titolare nell’approvazione delle policy e delle procedure per il trattamento dei dati, nonché nell’approvazione delle misure di sicurezza da adottare e attuare per gestire i rischi impattanti sui dati;
- coadiuvare il titolare e il DPO (se esistente) nelle procedure di notifica e comunicazione delle violazioni di dati personali (data breach) agli interessati;
- coadiuvare il titolare e il DPO (ove esistente) nelle procedure di riscontro alle richieste di esercizio dei diritti privacy (artt. da 15 a 22 del GDPR) da parte degli interessati;
- gestire il registro delle attività di trattamento, valutando anche la necessità o l’opportunità degli aggiornamenti tramite audit periodici;
- rapportarsi coi responsabili designati ex art. 28 del GDPR.
Optare per una soluzione in house potrebbe richiedere la designazione di vari Privacy Manager
Per assicurare la compliance e l’accountability all’interno dell’organizzazione, il titolare può optare per una soluzione in house, senza cioè ricorrere a soggetti esterni. E, in tal caso, sarebbe invero opportuno procedere alla designazione di vari P.M. a seconda delle diverse aree di attività, in particolare (a titolo esemplificativo, ma non esaustivo):
Sistema di gestione e controllo:
→ Responsabile della pianificazione e del controllo di gestione
Safety & Security:
→ RSPP
Engineering
→ Responsabile dell’ufficio tecnico
Amministrazione
→ Responsabile dell’ufficio HR
→ Responsabile del reparto produzione
→ Responsabile dell’ufficio bilancio e contabilità
→ Responsabile della gestione dei rapporti con istituti di credito e assicurativi
→ Responsabile ufficio gare
Area Commerciale
→ Responsabile dell’ufficio acquisti e della gestione dei rapporti coi fornitori
→ Responsabile dell’ufficio vendite e della gestione dei rapporti coi clienti
→ Responsabile dell’ufficio marketing, immagine e comunicazione
Area Legale
→ Legal Advisor
Area ICT
→ Responsabile della Direzione Sistemi Informativi
