{"id":2132,"date":"2017-01-09T20:44:38","date_gmt":"2017-01-09T19:44:38","guid":{"rendered":"https:\/\/blog.europrivacy.org\/?p=2132"},"modified":"2017-01-09T20:44:38","modified_gmt":"2017-01-09T19:44:38","slug":"dpo-fulfilling-other-tasks-and-conflict-of-interests-in-wp29-guideline-wp243-isaca-frameworks-are-helpful-tools-to-better-define-internal-segregation-of-duties","status":"publish","type":"post","link":"https:\/\/blog.europrivacy.info\/it\/2017\/01\/09\/dpo-fulfilling-other-tasks-and-conflict-of-interests-in-wp29-guideline-wp243-isaca-frameworks-are-helpful-tools-to-better-define-internal-segregation-of-duties\/","title":{"rendered":"DPO che \u201cricoprono altri compiti\u201d e \u201cConflitto di interessi\u201d nelle Linee guida wp243del WP29. I Framework di ISACA sono strumenti utili per meglio definire una separazione di compiti interna."},"content":{"rendered":"<p>Il WP29 ha adottato il 23 Dicembre una Linea Guida allo scopo di meglio definire il ruolo del DPO nel GDPR.<\/p>\n<p>La Linea Guida sul DPO del WP29 al punto 3.5 stabilisce che: L\u2019articolo 38(6) consente ai DPO di \u201c<em><u>svolgere altri compiti <\/u>e funzioni<\/em>.\u201d ma <em>che tali compiti e funzioni non diano adito a un conflitto di interessi.<\/em><\/p>\n<p>La Linea Guida sul DPO del WP29 al punto 4.1 stabilisce che: \u201c<em>L\u2019assenza di conflitto di interessi \u00e8 strettamente connessa al fabbisogno di agire in modo indipendente. Anche se i DPO possono ricoprire altre funzioni, a questi possono essere affidati altri compiti o funzioni soltanto se questi non sollevano conflitti di interesse. Questo riguarda in particolare il fatto che i DPO non possono ricoprire una posizione nell\u2019organizzazione che comporti che lui o lei stabilisca le finalit\u00e0 e i mezzi (processi) di trattamento di dati personali.\u201d<\/em><\/p>\n<p>Il Recital 97 del GDPR stabilisce che\u201d<em>i DPO dovrebbero poter adempiere alle funzioni e ai compiti loro incombenti in maniera indipendente\u201d.<\/em><\/p>\n<p>Inoltre il Recital 97 del GDPR specifica che il DPO dovrebbero assistere Titolare o Responsabile <em>\u201cnel controllo del rispetto a livello interno del presente regolamento\u201d; <\/em>e l\u2019Articolo 39 (1) (b) affida al DPO tra gli altri compiti quello di <em>\u201csorvegliare l&#8217;osservanza del presente regolamento\u201d(<\/em>GDPR).<\/p>\n<p>La Linea Guida sul DPO del WP29 al punto 3.5 \u201c<em>Sorvegliare l&#8217;osservanza del presente regolamento\u201d(<\/em>GDPR) chiarificano che:<\/p>\n<p>\u201c<em>Quale parte dei compiti di<\/em> <em>sorvegliare l&#8217;osservanza del presente regolamento\u201d(GDPR), il DPO pu\u00f2 in particolare:<\/em><\/p>\n<ul>\n<li><em>raccogliere informazioni per identificare le attivit\u00e0 di trattamento;<\/em><\/li>\n<li><em>analizzare e verificare la conformit\u00e0 delle attivit\u00e0 di trattamento;<\/em><\/li>\n<li><em>informare, fornire consulenza e raccomandazioni al Titolare o al Responsabile.<\/em><\/li>\n<\/ul>\n<p>Inoltre la Linea Guida sul DPO del WP29 nell\u2019Introduzione: <em>\u201cOltre a facilitare la sorveglianza attraverso l\u2019implementazione di strumenti di \u201cresponsabilizzazione (Accountability)\u201d(quali facilitare o espletare assessment di protezione dei dati o Audit)\u201d, il DPO dovrebbe agire come intermediario tra portatori di interessi rilevanti (cio\u00e8 autorit\u00e0 di supervisione, interessati, e business unit nell\u2019azienda).<\/em><\/p>\n<p>Il DPO dovrebbe anche avere un ruolo consultivo, come supporto all\u2019applicazione in modo consistente di regole di protezione dei dati e di policy e procedure aziendali (quali violazioni dei dati o gestione di richieste dalle Autorit\u00e0 Garanti).<\/p>\n<p>Come conseguenza delle considerazioni sopra svolte, <u>il Ruolo del DPO pu\u00f2 essere definito come un ruolo di Governance aziendale, simile ai ruoli di Compliance o Internal Audit,<\/u> che richiedono indipendenza, autonomia, e segregazione dei compiti rispetto a ruoli di Management o operativi.<\/p>\n<p>Riguardo all\u2019Indipendenza\u201d in attivit\u00e0 di Audit, il framework di ISACA ITAF 3, \u201ca Professional Practices Framework for IS Audit\/Assurance\u201d definisce (al 2003 punto 2.4) che un ICT Auditor potrebbe avere \u201cNon-Audit service or roles\u201d, come \u201cadvice roles\u201d, mantenendo l\u2019Indipendenza Organizzativa e Professionale.<\/p>\n<p>Nello specifico <em>\u201cLa funzione di Audit dovrebbe evitare di svolgere ruoli non audit in iniziative di Sistema informativo che richiedano l\u2019assunzione di responsabilit\u00e0 di management, perch\u00e9 tali ruoli potrebbero compromettere una indipendenza futura\u201d<\/em><\/p>\n<p>ITAF 3 fornisce esempi di come un Auditor dovrebbe comportarsi per non compromettere l\u2019Indipendenza.<\/p>\n<p>Ulteriormente nel GDPR, altri punti significativi per gli obiettivi di attivit\u00e0 del DPO sono:<\/p>\n<ul>\n<li>GDPR Articolo 32 (1) (d); \u201cSicurezza del trattamento\u201d stabilisce che: <em>\u201cil titolare del trattamento e il responsabile del trattamento mettono in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, tra cui una procedura per testare, verificare e valutare regolarmente l&#8217;efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento\u201d. <\/em>Il DPO dovrebbe monitorare le misure di sicurezza.<\/li>\n<li>GDPR Articolo 28 (3)(h): \u201c<em>il responsabile del trattamento metta a disposizione del titolare del trattamento tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui al presente articolo e consenta e contribuisca alle attivit\u00e0 di revisione, comprese le ispezioni, realizzati dal titolare del trattamento o da un altro soggetto da questi incaricato\u201d. <\/em>Il DPO del Titolare del Trattamento dovrebbe verificare gli obblighi contrattuali del Responsabile del trattamento.<\/li>\n<li>GDPR Articolo 35(2), come pure la Linea Guida sul DPO 4.2, richiede in modo specifico che: \u201c<em>Il titolare del trattamento, allorquando svolge una valutazione d&#8217;impatto sulla protezione dei dati, si consulta con il responsabile della protezione dei dati, qualora ne sia designato uno.<\/em> L\u2019Articolo 39(1)(c),<em> affida al DPO il compito di \u201cfornire, se richiesto, un parere in merito alla valutazione d&#8217;impatto sulla protezione dei dati e sorvegliarne lo svolgimento\u201d.<\/em> Il DPO dovrebbe fornire consulenza per la valutazione di Impatto (DPIA).<\/li>\n<\/ul>\n<p>Il Coordinamento del DPO, in base ad una RACI Chart, con il Compliance Officer, Risk Manager, Security Officer, Chief Privacy Officer (CPO) e altri ruoli di Management e operativi \u00e8 un fattore di successo nel definire il ruolo del DPO.<\/p>\n<p>La RACI Chart \u00e8 uno strumento importante per un\u2019azienda per definire procedure interne e interazioni reciproche tra ruoli interni sulla base di essere Accountable, Responsible, Consulted, Informed per ciascun ruolo.<\/p>\n<p>Il framework Cobit 5 di ISACA per la Governance ed il il management dell\u2019IT aziendale \u00e8 una roadmap di eccellenza per l\u2019ottimizzazione del business e della crescita .che fa leva su prassi provate, leadership di pensiero globale e strumenti per l\u2019innovazione ed il successo aziendale.<\/p>\n<p>In una prospettiva di RACI Chart, il framework COBIT5 di ISACA evidenzia processi e controlli rilevanti di cui pu\u00f2 essere responsabile un DPO, o un Chief Privacy Officer (CPO) in assenza di tutti i requisiti richiesti dal GDPR, su tutto il ciclo di vita di un sistema informativo.<\/p>\n<p>I Principali processi Cobit 5 che richiedono attivit\u00e0 del DPO in un coordinamento di RACI Chart sono: Gestione della Qualit\u00e0, Gestione dei Rischi, Gestione della Sicurezza, Gestione dell&#8217;identificazione e della costruzione di soluzioni, Gestione dell&#8217;abilitazione del cambiamento organizzativo, Gestione della Conoscenza, Monitoraggio rilevazione e valutazione del sistema di controllo interno, Monitoraggio rilevazione e valutazione della conformit\u00e0 a requisiti esterni.<\/p>\n<p>Approfondendo la RACI Chart di Cobit 5 si pu\u00f2 notare che DPO (o CPO) condividono alcune Responsabilit\u00e0 con il Security Manager per molti obiettivi di controllo Cobit 5. Le procedure interne dovrebbero definire le reciproche responsabilit\u00e0 tra i due ruoli.<\/p>\n<p>Il framework di ISACA \u00e8 utile per definire compiti e responsabilit\u00e0 del DPO.<\/p>\n<p>L\u2019Indipendenza Organizzativa ed operativa, con modalit\u00e0 simili a quella degli Auditor Interni e di Sistema Informativo, \u00e8 la chiave per evitare conflitti di interesse per il DPO nell\u2019espletare altri compiti e funzioni.<\/p>","protected":false},"excerpt":{"rendered":"<p>Il WP29 ha adottato il 23 Dicembre una Linea Guida allo scopo di meglio definire il ruolo del DPO nel GDPR. La Linea Guida sul DPO del WP29 al punto 3.5 stabilisce che: L\u2019articolo 38(6) consente ai DPO di \u201csvolgere altri compiti e funzioni.\u201d ma che tali compiti e funzioni non diano adito a un\u2026 <span class=\"read-more\"><a href=\"https:\/\/blog.europrivacy.info\/it\/2017\/01\/09\/dpo-fulfilling-other-tasks-and-conflict-of-interests-in-wp29-guideline-wp243-isaca-frameworks-are-helpful-tools-to-better-define-internal-segregation-of-duties\/\">Leggi tutto &raquo;<\/a><\/span><\/p>\n","protected":false},"author":33,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[4],"tags":[],"class_list":["post-2132","post","type-post","status-publish","format-standard","hentry","category-data-protection-officer"],"_links":{"self":[{"href":"https:\/\/blog.europrivacy.info\/it\/wp-json\/wp\/v2\/posts\/2132","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/blog.europrivacy.info\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/blog.europrivacy.info\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/blog.europrivacy.info\/it\/wp-json\/wp\/v2\/users\/33"}],"replies":[{"embeddable":true,"href":"https:\/\/blog.europrivacy.info\/it\/wp-json\/wp\/v2\/comments?post=2132"}],"version-history":[{"count":2,"href":"https:\/\/blog.europrivacy.info\/it\/wp-json\/wp\/v2\/posts\/2132\/revisions"}],"predecessor-version":[{"id":2154,"href":"https:\/\/blog.europrivacy.info\/it\/wp-json\/wp\/v2\/posts\/2132\/revisions\/2154"}],"wp:attachment":[{"href":"https:\/\/blog.europrivacy.info\/it\/wp-json\/wp\/v2\/media?parent=2132"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/blog.europrivacy.info\/it\/wp-json\/wp\/v2\/categories?post=2132"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/blog.europrivacy.info\/it\/wp-json\/wp\/v2\/tags?post=2132"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}