Indice
Testo dell'articoloVigente
Informazione giuridica di carattere generale. Il presente contenuto costituisce informazione giuridica di carattere generale e non sostituisce in alcun modo il parere di un avvocato iscritto all’Albo. La norma riportata è tratta da fonti ufficiali (Normattiva, Gazzetta Ufficiale) e il commento ha finalità divulgativa. Per la valutazione del caso specifico è necessario consultare un professionista abilitato.
Vedi anche
→art. 2 QUINQUIESDECIES→art. 2 TERDECIES→art. 2 UNDECIES→art. 2 CODICE→Reg. UE 2016/679 (GDPR) - Disciplina europea sulla protezione dei dati→Cost. art. 14 - Inviolabilità del domicilio→Cost. art. 15 - Libertà e segretezza delle comunicazioni→Art. 2-quater D.Lgs. 196/2003 – Regole deontologiche relative a trattamenti di dati personali→Art. 2-ter D.Lgs. 196/2003 – Base giuridica per il trattamento di dati personali effettuato per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri→Art. 2-quinquies D.Lgs. 196/2003 – Consenso del minore in relazione ai servizi della società dell’informazione→Art. 2-bis D.Lgs. 196/2003 – Autorità di controllo→Art. 2-sexies D.Lgs. 196/2003 – Trattamento di categorie particolari di dati personali necessario per motivi di interesse pubblico rilevante
Informazione giuridica di carattere generale. Il presente contenuto costituisce informazione giuridica di carattere generale e non sostituisce in alcun modo il parere di un avvocato iscritto all'Albo. La norma riportata è tratta da fonti ufficiali (Normattiva, Gazzetta Ufficiale) e il commento ha finalità divulgativa. Per la valutazione del caso specifico è necessario consultare un professionista abilitato.
In sintesi
Indice dei contenuti
L'art. 2-quaterdecies del Codice in materia di protezione dei dati personali (D.Lgs. 30 giugno 2003, n. 196, come riscritto dal D.Lgs. 10 agosto 2018, n. 101 in adeguamento al Regolamento UE 2016/679) presidia uno snodo organizzativo tutt'altro che secondario: il modo in cui, dentro l'impresa o l'ente, le concrete operazioni di trattamento vengono affidate alle persone fisiche che materialmente le compiono. La disposizione consente al titolare e al responsabile del trattamento di prevedere, sotto la propria responsabilita e nell'ambito del proprio assetto organizzativo, che specifici compiti e funzioni connessi al trattamento di dati personali siano attribuiti a persone fisiche, espressamente designate, che operano sotto la loro autorita. E una norma di raccordo: traduce nel diritto interno la logica dell'art. 29 e dell'art. 32, paragrafo 4, del GDPR, secondo cui chiunque agisca sotto l'autorita del titolare o del responsabile e abbia accesso a dati personali puo trattarli soltanto su istruzione, salvo che lo imponga il diritto dell'Unione o nazionale.
Dal "incaricato" al "soggetto designato": continuita e differenze
Prima della riforma del 2018 il Codice conosceva la figura dell'incaricato del trattamento. Il GDPR ha abbandonato quella terminologia, parlando piu genericamente di persone autorizzate. Il legislatore italiano, con l'art. 2-quaterdecies, ha scelto di non disperdere il patrimonio organizzativo costruito sotto la disciplina previgente, conservando uno strumento espresso di designazione interna. La sostanza non muta: chi tratta i dati nell'organizzazione lo fa in forza di un atto del titolare, non in nome proprio. Cambia pero l'enfasi. Mentre l'incaricato era una figura tipizzata e quasi obbligatoria, il soggetto designato e uno strumento che il titolare puo attivare nell'esercizio della propria autonomia organizzativa, calibrandolo sulle esigenze reali della struttura.
La natura dell'atto di designazione
La designazione e un atto interno, unilaterale, riconducibile al potere di organizzazione del titolare o del responsabile. Non crea un nuovo titolare ne un nuovo responsabile: il soggetto designato resta una persona fisica che opera sotto l'autorita altrui. Per questa ragione non si stipula un contratto di responsabilita ex art. 28 GDPR con il dipendente o il collaboratore designato; quello strumento riguarda il rapporto fra titolare e responsabile esterno. Con il designato il legame e di soggezione gerarchica o funzionale. L'atto, per essere realmente utile in chiave di accountability, deve indicare con sufficiente precisione il perimetro: tipologie di dati accessibili, finalita ammesse, operazioni consentite (consultazione, modifica, comunicazione interna, cancellazione), eventuali limiti temporali e le misure di sicurezza da osservare.
Perche la designazione serve all'accountability
Il GDPR ha spostato il baricentro dalla logica autorizzatoria a quella della responsabilizzazione (art. 5, par. 2, e art. 24). Il titolare non deve soltanto rispettare le regole, ma essere in grado di dimostrare di rispettarle. La mappa dei soggetti designati e un tassello essenziale di questa dimostrazione: permette di ricostruire chi, all'interno dell'organizzazione, e abilitato a quali operazioni, e quindi di governare il rischio di accessi non pertinenti o eccessivi. In sede ispettiva, l'esistenza di designazioni chiare e aggiornate e un indice di maturita del sistema di protezione dei dati; la loro assenza, al contrario, segnala un controllo debole sul flusso interno delle informazioni.
Istruzioni, formazione e vigilanza
La designazione non si esaurisce nella firma di un documento. Perche il presidio sia effettivo, occorre che al soggetto designato siano impartite istruzioni operative comprensibili, che riceva formazione adeguata sul trattamento che gli compete e che la sua attivita sia oggetto di vigilanza proporzionata. Il titolare conserva infatti la responsabilita complessiva: risponde verso l'interessato e verso l'autorita di controllo anche delle condotte dei propri designati, secondo la logica per cui chi organizza il trattamento ne sopporta il rischio. La catena istruzione-formazione-vigilanza e cio che distingue una designazione realmente protettiva da una designazione meramente cartolare.
Rapporti con le altre figure del sistema
E utile collocare il soggetto designato nella geografia dei ruoli privacy. Il titolare decide finalita e mezzi del trattamento; il responsabile tratta per conto del titolare in forza di un contratto ex art. 28 GDPR; il responsabile della protezione dei dati (DPO) svolge funzioni consultive e di controllo indipendente; il soggetto designato, infine, e la persona fisica che esegue materialmente le operazioni sotto l'autorita del titolare o del responsabile. All'interno di un responsabile del trattamento possono a loro volta esservi soggetti designati, perche anche l'art. 2-quaterdecies li contempla espressamente per entrambe le figure. Comprendere queste differenze evita l'errore, frequente nella prassi, di confondere la designazione interna con la nomina a responsabile esterno.
Profili pratici di redazione
Sul piano operativo, una buona designazione e specifica e non generica: evita formule onnicomprensive (tratta tutti i dati per tutte le finalita) che vanificherebbero il principio di minimizzazione, e ritaglia invece il perimetro sulle mansioni effettive. E opportuno che sia datata, che indichi a chi il designato deve riferirsi per dubbi o anomalie, e che richiami le procedure di sicurezza e di segnalazione delle violazioni (data breach). L'aggiornamento e altrettanto importante quanto la redazione iniziale: al mutare delle mansioni la designazione va rivista, e alla cessazione del rapporto vanno revocati gli accessi. In questo modo l'art. 2-quaterdecies diventa non un mero adempimento formale, ma uno strumento vivo di governo del dato.
Massime di Cassazione
Cass. Corte Cost., sent. n. 271/2005
Perché è importante: Riservatezza come diritto inviolabile
Prassi dell'Agenzia delle Entrate
Disciplina generale
Hub del Garante per la protezione dei dati personali: disciplina del D.Lgs. 196/2003 coordinato con il GDPR.
Casi pratici
Caso 1: la designazione dell'addetto all'ufficio del personale
Tizio e responsabile delle risorse umane di una societa. Il titolare, per governare l'accesso ai dati dei dipendenti, predispone un atto di designazione che abilita Tizio a trattare i dati anagrafici, retributivi e relativi alle presenze, esclusivamente per le finalita di gestione del rapporto di lavoro, vietando comunicazioni a terzi non previste. Quando un collega chiede a Tizio informazioni sullo stipendio di un altro dipendente, la designazione gli consente di rifiutare con un fondamento chiaro: quel trattamento esula dal perimetro assegnato.
Caso 2: l'aggiornamento mancato dopo il cambio di mansione
Caio era designato al trattamento dei dati dei clienti dell'ufficio vendite. Trasferito alla logistica, mantiene per mesi gli accessi originari perche la designazione non viene rivista. Un audit interno rileva che Caio puo ancora consultare dati che non gli servono piu. L'episodio mostra come la designazione non sia un atto una tantum: la sua mancata revisione al mutare delle mansioni indebolisce l'accountability e accresce il rischio di accessi non pertinenti, contrari al principio di minimizzazione.
Domande frequenti
Chi puo attribuire funzioni a un soggetto designato?
Sia il titolare sia il responsabile del trattamento, ciascuno nell'ambito del proprio assetto organizzativo e sotto la propria responsabilita. La persona designata opera sotto la loro autorita.
Il soggetto designato e la stessa cosa del vecchio incaricato del trattamento?
Ne e l'erede funzionale. Il GDPR ha abbandonato la parola incaricato, ma l'art. 2-quaterdecies conserva uno strumento espresso di designazione interna con la medesima sostanza: chi tratta i dati lo fa su istruzione, non in nome proprio.
La designazione richiede un contratto come quello con il responsabile esterno?
No. Il contratto ex art. 28 GDPR riguarda il rapporto fra titolare e responsabile. Con il soggetto designato il legame e di tipo gerarchico o funzionale: serve un atto interno di designazione con istruzioni, non un contratto di responsabilita.
Cosa deve contenere l'atto di designazione?
In genere il perimetro delle operazioni consentite, le tipologie di dati accessibili, le finalita ammesse, le misure di sicurezza da osservare e l'indicazione del referente. La specificita e preferibile alle formule generiche, per rispettare la minimizzazione.
Chi risponde se il soggetto designato commette un illecito sui dati?
Il titolare conserva la responsabilita complessiva verso l'interessato e l'autorita di controllo. La designazione non trasferisce la responsabilita: la canalizza all'interno della struttura, fermo restando l'obbligo di istruzione, formazione e vigilanza.