Articolo a cura di: Redazione - Studio Legale Calvello

In un’azienda metalmeccanica la necessità di nominare un DPO, o Responsabile della protezione dei dati (RPD), non dipende dal settore produttivo in quanto tale né semplicemente dal numero dei dipendenti. Occorre verificare quali trattamenti vengono effettivamente svolti, con quali tecnologie, su quale scala e con quale continuità. In uno stabilimento possono convivere videosorveglianza, controllo degli accessi, sistemi di rilevazione delle presenze, GPS sui mezzi, posta elettronica e dispositivi aziendali, software HR, servizi cloud, dati sanitari collegati alla medicina del lavoro e una rete articolata di fornitori informatici.

Per questo la domanda corretta non è soltanto se il DPO sia obbligatorio per un’azienda metalmeccanica, ma se l’organizzazione concreta dei trattamenti faccia ricadere l’impresa nei casi previsti dall’art. 37 del GDPR oppure renda comunque utile una funzione indipendente e continuativa di presidio della protezione dei dati. La valutazione deve partire dall’attività reale dell’impresa, evitando sia nomine automatiche sia conclusioni basate soltanto sulla dimensione aziendale.

Quando un’azienda metalmeccanica deve nominare il DPO

L’art. 37 del Regolamento (UE) 2016/679 individua specifiche situazioni nelle quali la designazione del DPO è obbligatoria. Per un’impresa privata metalmeccanica assumono particolare rilievo i casi in cui le attività principali comportino un monitoraggio regolare e sistematico degli interessati su larga scala oppure il trattamento su larga scala di categorie particolari di dati personali o di dati relativi a condanne penali e reati. Non esiste quindi una regola secondo cui tutte le aziende metalmeccaniche devono avere un DPO, così come non esiste una soglia generale di dipendenti che faccia scattare automaticamente l’obbligo.

La verifica diventa più delicata nelle realtà industriali strutturate. Un’impresa può utilizzare telecamere in più stabilimenti, sistemi elettronici di controllo degli accessi, strumenti di geolocalizzazione della flotta, applicazioni per la gestione del personale, sistemi informatici che registrano attività e accessi, dispositivi connessi e piattaforme utilizzate da centinaia o migliaia di lavoratori. La presenza di uno di questi strumenti non determina da sola l’obbligo di nominare il DPO: occorre esaminare natura, portata, finalità, durata e sistematicità dei trattamenti, nonché il numero degli interessati e la quantità e tipologia dei dati trattati.

Un punto che genera spesso equivoci riguarda i dati sanitari dei lavoratori. L’impresa può trattare informazioni connesse alle assenze, all’idoneità alla mansione, agli adempimenti di sicurezza e ai rapporti con il medico competente, ma la presenza di dati appartenenti alle categorie particolari dell’art. 9 GDPR non rende automaticamente obbligatorio il DPO. Anche in questo caso occorre verificare se ricorrono i presupposti dell’art. 37 e, in particolare, quale sia il rapporto tra quel trattamento, le attività principali dell’organizzazione e la sua eventuale dimensione su larga scala.

La valutazione dovrebbe essere documentata. Quando, dopo l’analisi, l’azienda conclude che la nomina non è obbligatoria, è opportuno poter ricostruire i criteri utilizzati, soprattutto nelle imprese nelle quali l’organizzazione tecnologica, il numero dei dipendenti o le modalità di monitoraggio rendono la questione meno immediata. Se invece il DPO viene designato, deve possedere competenze adeguate, operare con indipendenza e autonomia ed essere coinvolto tempestivamente nelle questioni che riguardano la protezione dei dati personali. I dati di contatto del DPO designato devono inoltre essere comunicati al Garante.

Cosa deve seguire il DPO in uno stabilimento metalmeccanico

Nel settore metalmeccanico il lavoro del DPO non dovrebbe ridursi alla verifica formale di informative e nomine. Il punto di partenza è comprendere come circolano concretamente i dati all’interno dell’organizzazione: dall’assunzione del dipendente all’accesso allo stabilimento, dall’utilizzo delle credenziali informatiche alla gestione delle email, dai rapporti con clienti e fornitori ai sistemi di produzione connessi alla rete aziendale. In un’impresa articolata questo richiede un confronto effettivo con direzione, HR, IT, sicurezza e con le funzioni che acquistano o introducono nuovi servizi tecnologici.

Il registro delle attività di trattamento assume quindi una funzione operativa: deve rappresentare i trattamenti effettivamente eseguiti e deve essere aggiornato quando cambiano processi, applicativi, fornitori o modalità di utilizzo dei dati. Lo stesso vale per informative, istruzioni agli autorizzati, tempi di conservazione e rapporti con i soggetti esterni che trattano dati per conto dell’impresa. Un fornitore di servizi cloud, il gestore del software HR, una società che presta assistenza informatica o altri operatori che accedono ai dati possono richiedere una corretta qualificazione dei ruoli e, quando ricorrono i presupposti, un contratto conforme all’art. 28 GDPR.

Particolare attenzione richiedono videosorveglianza e strumenti che possono consentire il controllo dei lavoratori. La conformità privacy non può essere valutata separatamente dalla disciplina lavoristica applicabile. Finalità del sistema, aree riprese, soggetti autorizzati all’accesso, tempi di conservazione, misure di sicurezza e adempimenti nei confronti dei lavoratori devono essere verificati prima dell’installazione o quando un impianto esistente viene modificato. Nei casi in cui un trattamento possa presentare un rischio elevato per i diritti e le libertà delle persone occorre inoltre verificare la necessità di una DPIA, cioè della valutazione d’impatto prevista dall’art. 35 GDPR.

Lo stesso metodo riguarda GPS sui veicoli, controllo degli accessi, log dei sistemi informatici e strumenti aziendali utilizzati dai dipendenti. La disponibilità tecnica di una grande quantità di informazioni non significa che l’impresa possa raccoglierle, conservarle e utilizzarle senza limiti. Finalità, base giuridica, proporzionalità, periodo di conservazione, accessi interni e misure di sicurezza devono essere definiti in relazione allo specifico trattamento.

Il DPO deve poi essere coinvolto nella gestione degli incidenti. Un attacco ransomware, la compromissione di credenziali, il furto di un computer, l’accesso non autorizzato a una cartella condivisa o l’invio di documentazione al destinatario sbagliato possono integrare un data breach. Non ogni incidente comporta automaticamente una notifica al Garante, ma ogni evento rilevante deve essere analizzato rapidamente per stabilire quali dati siano coinvolti, quali persone possano subirne conseguenze e quale livello di rischio ne derivi. In una realtà industriale, dove sistemi amministrativi e produttivi possono essere strettamente interconnessi, una procedura predisposta prima dell’incidente consente di coordinare più efficacemente IT, direzione e funzioni privacy.

Questa attività si inserisce nella più ampia gestione del GDPR nelle aziende manifatturiere. Il DPO, quando obbligatorio o volontariamente designato, svolge funzioni di consulenza, sorveglianza e raccordo con l’Autorità; non sostituisce però il titolare nelle decisioni che il GDPR attribuisce all’azienda. Proprio questa distinzione è essenziale per organizzare correttamente responsabilità, flussi decisionali e controlli interni.

Obblighi, responsabilità e controlli privacy nelle aziende metalmeccaniche

La presenza del DPO non trasferisce su quest’ultimo la responsabilità della conformità al GDPR. Il titolare del trattamento resta l’azienda, che deve essere in grado di dimostrare di avere organizzato i trattamenti secondo il principio di accountability. Il DPO informa e consiglia, sorveglia l’osservanza della normativa, fornisce pareri quando viene svolta una DPIA, coopera con il Garante e costituisce un punto di contatto con l’Autorità, ma le decisioni sulle finalità e sulle modalità dei trattamenti rimangono in capo all’impresa.

In un’azienda metalmeccanica questo significa verificare periodicamente se la documentazione corrisponde ancora all’organizzazione effettiva. Nuovi software gestionali, sistemi di rilevazione delle presenze, telecamere aggiunte nello stabilimento, ampliamento del controllo accessi, introduzione di GPS sui mezzi, servizi cloud o cambiamenti nei processi HR possono rendere superata una precedente analisi. Il corretto aggiornamento della documentazione privacy aziendale deve quindi seguire l’evoluzione dei processi e non essere considerato un adempimento esaurito con la predisposizione iniziale dei documenti.

Un altro punto riguarda i fornitori. Nelle imprese industriali numerosi soggetti esterni possono avere accesso a dati personali: società informatiche, fornitori di software, servizi payroll, consulenti, manutentori dei sistemi, provider cloud e operatori che gestiscono specifiche attività in outsourcing. Occorre stabilire caso per caso quale ruolo privacy assuma ciascun soggetto e, quando opera come responsabile del trattamento, disciplinare il rapporto ai sensi dell’art. 28 GDPR. Non è sufficiente raccogliere formalmente un contratto: l’azienda deve valutare anche le caratteristiche del servizio, le istruzioni impartite, le misure applicabili e le eventuali catene di subfornitura rilevanti per il trattamento.

Particolare attenzione merita il rapporto tra protezione dei dati e gestione del personale. Videosorveglianza, posta elettronica, navigazione internet, dispositivi aziendali, log informatici, sistemi di presenza e geolocalizzazione possono produrre informazioni riferibili ai lavoratori. La disciplina GDPR deve quindi essere coordinata con le norme che regolano i controlli a distanza e l’utilizzo degli strumenti di lavoro. Un sistema introdotto per esigenze produttive, organizzative o di sicurezza può avere conseguenze privacy diverse a seconda di come viene configurato e concretamente utilizzato. Il DPO può contribuire alla valutazione preventiva, ma le decisioni organizzative e gli adempimenti richiesti restano di competenza dell’azienda.

La verifica assume rilievo anche quando l’impresa subisce un incidente informatico. Il GDPR impone al titolare di documentare le violazioni dei dati personali e, quando ne ricorrono i presupposti, di notificare il data breach al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza. Se la violazione può presentare un rischio elevato per i diritti e le libertà delle persone fisiche, può rendersi necessaria anche la comunicazione agli interessati, salvo le eccezioni previste dal Regolamento. La decisione deve derivare da una valutazione concreta dell’incidente, non dalla sola circostanza che si sia verificato un attacco informatico.

La funzione del DPO diventa particolarmente utile proprio nei momenti in cui l’impresa deve assumere decisioni documentabili: valutare un nuovo trattamento, affrontare un data breach, rispondere a una richiesta dell’Autorità o verificare una possibile criticità interna. In caso di richieste di informazioni, attività ispettive o contestazioni del Garante, la presenza di procedure effettivamente applicate e di una documentazione coerente con i trattamenti svolti consente di ricostruire le scelte effettuate dall’azienda. Per questo un audit GDPR periodico può essere utile anche nelle imprese che dispongono già da anni di informative, registri e nomine, soprattutto quando nel frattempo sono cambiati stabilimenti, personale, tecnologie o fornitori.

Un caso pratico: videosorveglianza, controllo accessi e gestione dei dati dei dipendenti

Consideriamo, come esempio realistico e anonimizzato, un’azienda metalmeccanica con più reparti produttivi e un numero consistente di dipendenti. Nel tempo erano stati introdotti un sistema di videosorveglianza, badge per l’accesso ad alcune aree, un nuovo gestionale HR e diversi servizi informatici esterni. La documentazione privacy esisteva, ma era stata predisposta in momenti differenti e non rappresentava più in modo unitario l’organizzazione effettiva dei trattamenti.

L’attività di verifica è partita dalla ricostruzione dei flussi di dati e dei soggetti che potevano accedervi. È stato necessario confrontare il registro dei trattamenti con i sistemi realmente utilizzati, verificare informative e istruzioni interne, esaminare i rapporti con i fornitori e distinguere i trattamenti collegati alla gestione ordinaria del personale da quelli derivanti dagli strumenti tecnologici presenti nello stabilimento. Una particolare attenzione è stata dedicata alla videosorveglianza e ai sistemi che potevano produrre informazioni sull’attività dei lavoratori, perché in questo ambito gli obblighi privacy devono essere coordinati con la disciplina lavoristica.

La verifica ha consentito di individuare quali documenti e procedure dovessero essere aggiornati e quali trattamenti richiedessero un esame più approfondito. È stata inoltre riesaminata l’organizzazione interna per stabilire quali funzioni dovessero coinvolgere il presidio privacy prima di introdurre nuovi software, modificare sistemi di controllo o affidare dati personali a nuovi fornitori. Il passaggio più delicato non è stato quindi produrre nuova documentazione, ma fare in modo che la gestione GDPR seguisse concretamente i processi aziendali e le successive modifiche tecnologiche e organizzative.

FAQ sul DPO nelle aziende metalmeccaniche

Un’azienda metalmeccanica è obbligata ad avere un DPO?

Non necessariamente. L’appartenenza al settore metalmeccanico non determina da sola l’obbligo di nomina. Occorre verificare i presupposti dell’art. 37 GDPR considerando concretamente le attività svolte, la natura e la scala dei trattamenti e l’eventuale monitoraggio regolare e sistematico degli interessati. Anche il numero elevato di dipendenti, considerato isolatamente, non determina automaticamente l’obbligo.

Il DPO può essere un professionista esterno all’azienda?

Sì. Il GDPR consente espressamente che il DPO svolga i propri compiti sulla base di un contratto di servizi. La scelta di un DPO esterno può essere valutata quando l’impresa non dispone internamente di una figura dotata delle competenze e dell’indipendenza necessarie oppure preferisce affidare questa funzione a un professionista esterno. Devono comunque essere rispettati i requisiti previsti dal GDPR, compresa l’assenza di conflitti di interessi.

Il DPO è responsabile se l’azienda viola il GDPR?

Il DPO non sostituisce il titolare del trattamento e non diventa il soggetto sul quale trasferire gli obblighi dell’impresa. Il titolare resta responsabile delle decisioni relative ai trattamenti e deve adottare misure tecniche e organizzative adeguate. Il DPO svolge invece le funzioni di informazione, consulenza, sorveglianza e cooperazione con l’Autorità previste dal Regolamento.

La presenza di telecamere nello stabilimento rende obbligatorio il DPO?

Non automaticamente. La videosorveglianza deve essere valutata considerando caratteristiche dell’impianto, finalità, estensione del monitoraggio, soggetti interessati e modalità di trattamento. Se le telecamere possono interessare i lavoratori, occorre anche coordinare gli adempimenti privacy con la disciplina sui controlli a distanza. Per le imprese che utilizzano sistemi articolati può essere utile approfondire specificamente il tema del DPO nelle aziende che utilizzano videosorveglianza e controllo accessi.

Quando conviene verificare nuovamente se il DPO è necessario?

La valutazione dovrebbe essere riesaminata quando cambiano in modo rilevante i trattamenti dell’impresa: crescita dell’organizzazione, nuovi stabilimenti, aumento consistente degli interessati coinvolti, introduzione di sistemi di monitoraggio, nuove tecnologie o modifiche sostanziali nella gestione dei dati. Una conclusione raggiunta anni prima può non rappresentare più l’attuale organizzazione aziendale.

DPO esterno per un’azienda metalmeccanica: richiedi una valutazione

Stabilire se un’azienda metalmeccanica debba nominare un DPO richiede l’analisi dei trattamenti realmente svolti e dell’organizzazione aziendale. Quando la nomina è necessaria, occorre poi definire correttamente ruolo, indipendenza, modalità di coinvolgimento e rapporti con le funzioni interne. Anche quando l’obbligo non ricorre, la complessità dei trattamenti può rendere opportuno valutare quale presidio privacy sia adeguato alla struttura dell’impresa.

Lo Studio Legale Calvello assiste le aziende nella verifica dei presupposti per la nomina, nell’organizzazione della funzione e nell’affidamento dell’incarico di DPO esterno. Per sottoporre la situazione della vostra impresa allo Studio potete richiedere una valutazione per il servizio di DPO esterno per aziende.