Si tratta di uno schema di deliberazione che puo' essere utilizzato anche per RPD condiviso, quando che «un unico responsabile della protezione dei dati può essere designato per più autorità pubbliche o organismi pubblici, tenuto conto della loro struttura organizzativa e dimensione».

In tal caso costituisce presupposto della deliberazione di designazione l'approvvazione di una CONVENZIONE tra i diversi Enti avente ad oggetto le modalita' concertate di fruizione del servizio di RDP sulla base di valutazioni relative a dimensioni, affinità tra le relative strutture organizzative, funzioni (attività) e trattamenti di dati personali, ecc.

Lo schema di atto di designazione del Responsabile della Protezione dei Dati personali (RDP), predisposto dal Garante ai sensi dell’art. 37 del Regolamento UE 2016/679, evidenzia, in particolare, per quanto concerne i compiti e le funzioni del RDP, quanto segue segue:

1. informare e fornire consulenza al titolare del trattamento o al responsabile del trattamento nonche' ai dipendenti che eseguono il trattamento in merito agli obblighi derivanti dal RGPD, nonche' da altre disposizioni nazionali o dell’Unione relative alla protezione dei dati;

2. sorvegliare l’osservanza del RGPD, di altre disposizioni nazionali o dell’Unione relative alla protezione dei dati nonche' delle politiche del titolare del trattamento o del responsabile del trattamento in materia di protezione dei dati personali, compresi l’attribuzione delle responsabilita', la sensibilizzazione e la formazione del personale che partecipa ai trattamenti e alle connesse attivita' di controllo;

3. fornire, se richiesto, un parere in merito alla valutazione d’impatto sulla protezione dei dati e sorvegliarne lo svolgimento ai sensi dell’articolo 35 del RGPD;

4. cooperare con il Garante per la protezione dei dati personali;

5. fungere da punto di contatto con il Garante per la protezione dei dati personali per questioni connesse al trattamento, tra cui la consultazione preventiva di cui all’articolo 36, ed effettuare, se del caso, consultazioni relativamente a qualunque altra questione.

Fermo restando che e' possibile prevedere ulteriori compiti, purche' non incompatibili (quali ad es.: tenere il registro delle attivita' di trattamento sotto la responsabilita' del titolare o del responsabile ed attenendosi alle istruzioni impartite…) nello schema viene evidenziato che i suddetti compiti vanno svolti in piena autonomia e indipendenza.

Allegato A alle Nuove Faq sul Responsabile della Protezione dei dati (RPD) in ambito pubblico (in aggiunta a quelle adottate dal Gruppo Art. 29 in Allegato alle Linee guida sul RPD

Schema di atto di designazione del Responsabile della Protezione dei Dati personali (RDP) ai sensi dell’art. 37 del Regolamento UE 2016/679

Premesso che:

• Il Regolamento (UE) 2016/679 del Parlamento Europeo e del Consiglio del 27 aprile 2016 «relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonche' alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati)» (di seguito RGPD), in vigore dal 24 maggio 2016, e applicabile a partire dal 25 maggio 2018, introduce la figura del Responsabile dei dati personali (RDP) (artt. 37-39);

• Il predetto Regolamento prevede l’obbligo per il titolare o il responsabile del trattamento di designare il RPD «quando il trattamento e' effettuato da un’autorita' pubblica o da un organismo pubblico, eccettuate le autorita' giurisdizionali quando esercitano le loro funzioni giurisdizionali» (art. 37, paragrafo 1, lett a);

• Le predette disposizioni prevedono che il RPD «puo' essere un dipendente del titolare del trattamento o del responsabile del trattamento oppure assolvere i suoi compiti in base a un contratto di servizi» (art. 37, paragrafo 6) e deve essere individuato «in funzione delle qualita' professionali, in particolare della conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati, e della capacita' di assolvere i compiti di cui all’articolo 39» (art. 37, paragrafo 5) e «il livello necessario di conoscenza specialistica dovrebbe essere determinato in base ai trattamenti di dati effettuati e alla protezione richiesta per i dati personali trattati dal titolare del trattamento o dal responsabile del trattamento» (considerando n. 97 del RGPD);

Nel caso in cui si opti per la designazione di un RPD condiviso si dovra' aggiungere

• Le disposizioni prevedono inoltre che «un unico responsabile della protezione dei dati puo' essere designato per più autorita' pubbliche o organismi pubblici, tenuto conto della loro struttura organizzativa e dimensione» (art. 37, paragrafo 3);

Considerato che l’Ente X:

• e' tenuto alla designazione obbligatoria del RPD nei termini previsti, rientrando nella fattispecie prevista dall’art. 37, par. 1, lett a) del RGPD;

Nel caso in cui si opti per la designazione di un RPD condiviso si dovra' aggiungere

• all’esito di … (indicare la procedura selettiva interna o esterna, gara, altro) ha ritenuto che il la/il ……………., sia in possesso del livello di conoscenza specialistica e delle competenze richieste dall’art. 37, par. 5, del RGPD, per la nomina a RPD, e non si trova in situazioni di conflitto di interesse con la posizione da ricoprire e i compiti e le funzioni da espletare;

DESIGNA

(generalita' della persona individuata), Responsabile della protezione dei dati personali (RPD) per l’Ente X,

Il predetto, nel rispetto di quanto previsto dall’art. 39, par. 1, del RGPD e' incaricato di svolgere, in piena autonomia e indipendenza, i seguenti compiti e funzioni:

1. informare e fornire consulenza al titolare del trattamento o al responsabile del trattamento nonche' ai dipendenti che eseguono il trattamento in merito agli obblighi derivanti dal RGPD, nonche' da altre disposizioni nazionali o dell’Unione relative alla protezione dei dati;

2. sorvegliare l’osservanza del RGPD, di altre disposizioni nazionali o dell’Unione relative alla protezione dei dati nonche' delle politiche del titolare del trattamento o del responsabile del trattamento in materia di protezione dei dati personali, compresi l’attribuzione delle responsabilita', la sensibilizzazione e la formazione del personale che partecipa ai trattamenti e alle connesse attività di controllo;

3. fornire, se richiesto, un parere in merito alla valutazione d’impatto sulla protezione dei dati e sorvegliarne lo svolgimento ai sensi dell’articolo 35 del RGPD;

4. cooperare con il Garante per la protezione dei dati personali;

5. fungere da punto di contatto con il Garante per la protezione dei dati personali per questioni connesse al trattamento, tra cui la consultazione preventiva di cui all’articolo 36, ed effettuare, se del caso, consultazioni relativamente a qualunque altra questione;

(e' possibile inserire di seguito anche ulteriori compiti, purche' non incompatibili, quali ad es.:
f) tenere il registro delle attivita' di trattamento sotto la responsabilita' del titolare o del responsabile ed attenendosi alle istruzioni impartite...)

I compiti del Responsabile della Protezione dei Dati personali attengono all’insieme dei trattamenti di dati effettuati dall’ Ente X.

L'Ente xxx si impegna a:

1. mettere a disposizione del RPD le seguenti risorse al fine di consentire l’ottimale svolgimento dei compiti e delle funzioni assegnate … (specificare, ad es. se e' stato istituito un apposito Ufficio o gruppo di lavoro, le relative dotazioni logistiche e di risorse umane, nonché i compiti o le responsabilita' individuali del personale);

2. non rimuovere o penalizzare il RPD in ragione dell’adempimento dei compiti affidati nell’esercizio delle sue funzioni;

3. garantire che il RPD eserciti le proprie funzioni in autonomia e indipendenza e in particolare, non assegnando allo stesso attività o compiti che risultino in contrasto o conflitto di interesse;

DELIBERA

di designare ……………………………… come Responsabile dei dati personali (RPD) per l’Ente xxx

Data …………..

Il nominativo e i dati di contatto del RPD (recapito postale, telefono, email) saranno resi disponibili nella intranet dell’Ente (URL…., ovvero bacheca) e comunicati al Garante per la protezione dei dati personali. I dati di contatto saranno, altresi', pubblicati sul sito internet istituzionale.