DATA PROTECTION OFFICER: Libri per studiare, corsi e master

Ancora qualche minuto e poi siamo online anche su Clubhouse. Eccoci qui, benvenuti a tutti, buona domenica e bentornati a questo appuntamento nascente. È il secondo episodio di Teaching GDPR. Siamo in collegamento su Clubhouse in diretta, trovate, troverete per coloro che si collegheranno, avranno voglia di collegarsi nei prossimi appuntamenti, Teaching GDPR è l'argomento del giorno. Oggi parliamo di Data Protection Officer, una figura molto discussa, molto complessa e difficile da comprendere proprio per per il ruolo, per la tipologia di compiti e delle competenze che vengono richieste. Vedremo oggi di affrontare punto per punto alcune tematiche dedicate e poi a seconda del numero di persone che vorranno intervenire su Clubhouse faremo un brainstorming di confronto. Io ricordo per coloro che si fossero collegati oggi per la prima volta, noi siamo in diretta su Clubhouse tutte le domeniche dalle 11 più o a mezzogiorno, salvo cambi di programma che verranno poi comunicati nelle varie chat. Vi ricordo che esiste un gruppo Telegram che conta più di 1100 iscritti a tema GDPR. Se voleste iscrivervi, vi lascio magari nei commenti sotto, sotto al video di YouTube, il link per l'iscrizione al gruppo. Vi consiglio di partecipare perché vengono quotidianamente postati quesiti, dubbi, curiosità, non soltanto da professionisti del settore ma anche da tutti coloro che volessero parlare di privacy o semplicemente trovare un luogo dove postare dubbi, problematiche e via dicendo. Vi ricordo ancora che la diretta su Clubhouse viene registrata in modalità audio Questo per garantire la tutela della privacy di coloro che partecipano. Se dovessero esserci delle domande, chiaramente verrà registrata la voce, poi la registrazione viene pubblicata sulla mia pagina YouTube. Mi trovate semplicemente digitando Giovanna Panucci. Niente, allora partiamo. Come impostiamo questo incontro, questa diretta e le prossime dirette future? La scorsa settimana, sempre di domenica però ore 18, abbiamo presentato il progetto sempre in piattaforma Clubhouse ed è stato poi pubblicato sul canale YouTube Omnia Vis SRL di Simone Chiarelli, che ringrazio per l'ospitalità e per la diffusione del video. Quindi coloro che volessero vedere la prima puntata possono tranquillamente seguirla in piattaforma e c'è una playlist dedicata. Magari vi metto il link di quella anche sotto al video o nei commenti. La scorsa volta abbiamo parlato della storia della privacy, giusto per creare un po' di contesto a questa materia che sembra nuova, perché di GDPR si parla da 2 anni e mezzo, da 3 anni ormai a questa parte, però in realtà nuova non è, perché di privacy o di diritto alla riservatezza o di right to be let alone, come scrissero nel 1800 Brandeis e Warren, appunto se ne parla da parecchio, da parecchio. Tempo. Ora partiamo con l'argomento di oggi: DPO. Perché ho scelto di parlare di data protection? Allora, un po' perché la mia esperienza personale, io sono avvocato data protection di molti enti della Regione Emilia-Romagna e qualche ordine professionale, per cui diciamo che ho deciso di portare e di condividere con voi quella che è la mia esperienza, non solo per proprio a livello, diciamo, lavorativo, ma soprattutto a livello di studio, preparazione e via dicendo. Perché qualche settimana fa, qualche giorno fa, proprio nel gruppo GDPR su Telegram è stato pubblicato una domanda da un milione di dollari, ovvero: come si fa a diventare Data Protection Officer? Quali libri studiare? Quali corsi fare, esistono dei master, esistono delle certificazioni e via dicendo. E la domanda non mi è sembrata affatto banale, anzi, perché quando ho iniziato io a studiare, diciamo, privacy, o più che altro sarebbe meglio dire data protection, beh, mi sono rimboccata le maniche perché effettivamente non è semplice capire, saper da dove partire. Anche perché è una figura di nuova introduzione. Voi sapete che il DPO è stato introdotto con il Regolamento Europeo 679/2016 GDPR e quindi fino ad allora non si parlava di data protection, quindi una figura completamente sconosciuta. E allora come suddivideremo questo incontro? Questi primi 15 minuti, 15-20 minuti adesso a seconda del flusso di partecipanti su Clubhouse, vedremo un attimo le caratteristiche di questa figura data protection Data Protection, riferimenti legislativi ovviamente, perché non si può filosofeggiare sulle norme, ma bisogna partire da una lettura testuale delle stesse, ovviamente imprescindibile. Vedremo poi un attimo di rispondere alla famosa domanda che mi viene sempre posta durante la mia esperienza lavorativa: come faccio a sapere, a capire se devo nominare un Data Protection in azienda? Anche questa è una domanda non banale, non assolutamente banale, perché il GDPR purtroppo, o per fortuna a seconda dei punti di vista, non dà molte regole tecniche, quanto più principi e diciamo regole generali da applicare diciamo di default, ma non dà delle regole specifiche. Non ci dice come ci si comporta in caso di azienda con 20 dipendenti e nulla, è tutto tace sulla possibilità o sulla, diciamo, opportunità o sull'eventualità di nominare un Data Protection Officer. Vedremo quindi quale ragionamento fare nelle proprie aziende, nelle proprie realtà in generale, per arrivare ad una conclusione. Anche perché vi ricordo un'altra cosa: In virtù di quel famosissimo principio dell'accountability, anch'esso di introduzione GDPR, noi, o meglio il titolare del trattamento, è tenuto, è tenuto a provare di aver messo in campo al massimo, diciamo, mezzi, valutazioni, audit e via dicendo per garantire, valutare e applicare al meglio il GDPR. Accountability possiamo tradurlo in lingua italiana come responsabilizzazione. Responsabilizzazione uguale documentabilità uguale devo tenere una traccia scritta di tutte le mie considerazioni in ambito GDPR, di tutte le mie scelte, di tutte le scelte intraprese in azienda E poi che cosa ne faccio? Li conservo perché sono la dimostrazione della mia accountability, la dimostrazione del fatto che mi sono messo a tavolino in azienda a parlare di privacy e ovviamente che mi sono posto il problema della compliance, dell'adeguamento. Quindi nominare o non nominare, decidere di nominare o decidere di non nominare un Data Protection Rientra fra questi compiti dell'accountability, una sfumatura dell'accountability. Prima o poi nella mia checklist di adempimenti dovrò incappare nell'adempimento Data Protection. Quindi la valutazione che faccio sull'opportunità o meno della nomina, io vi consiglio caldamente di metterla per iscritto. Metterla per iscritto, datatela, firmatela, scrivete proprio il ragionamento logico o l'audit anche, ovviamente valutativo, con il a quale siete arrivati alla conclusione e conservatelo nella famosa cartelletta matrice GDPR, quella da tirare fuori poi in sede di ispezioni eventualmente. Dopo una breve panoramica sull'ora del GDPR, vedremo un attimino, poi parliamo di preparazione. Quindi la diretta di oggi è dedicata anche a tutti gli operatori che come me giorno dopo giorno si trovano a dover affrontare situazioni situazioni critiche o meno in tema privacy. Quindi parliamo un attimino dei libri, dove studiare, cosa approfondire, cosa è meglio tralasciare, cosa invece è meglio, diciamo, riguardare, approfondire e via dicendo. Parleremo di corsi, parleremo di fonti sul web dove poter attingere per cercare ispirazione, informazioni, sbrogliare dubbi, risolvere quesiti, porre quesiti, rispondere a quesiti, perché anche questo è importante, e via dicendo. E poi, a seconda ovviamente della partecipazione sul gruppo Clubhouse, se dovessero esserci delle domande o anche se qualcuno volesse condividere la sua esperienza, vedremo, lo ascoltiamo molto volentieri. Insomma, bene, partiamo. A questo punto vedete qui sulla lavagna gli argomenti del giorno: Data Protection officer, figura, vi dicevo, di nuova introduzione. L'articolo di riferimento è l'articolo 37 del regolamento europeo, che potete trovare al capo quarto, rubricato titolare del trattamento e responsabile del trattamento. Il GDPR dedica alla figura del DPO una manciata di articoli. In particolare l'articolo 37, che richiama poi al numero 5 l'articolo 39. E adesso vedremo un attimo di capire di che cosa si tratta. Partirei, come per analizzare un attimo questa figura, proprio dal punto 5 dell'articolo 37, perché il comma 1 è dedicato in realtà all'opportunità della nomina, cioè al procedimento che devo attuare per decidere se nominare o meno il Data Protection in azienda. Ma tralasciamo un attimo questo aspetto e andiamo direttamente al comma 5. Leggiamo testualmente: il responsabile della protezione dei dati è designato in funzione delle qualità professionali, in particolare della conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati, e della capacità di assolvere i compiti di cui all'articolo 39, che è rubricato proprio "Compiti del responsabile della protezione dei dati". Ora, se volessimo appuntare sulla nostra lavagnetta gli articoli di riferimento, sicuramente l'articolo 37 GDPR è il primo che deve essere preso in considerazione per analizzare la figura, assieme poi come richiamo all'articolo 39 della normativa, richiamato, vi ricordo, dal comma 5 del regolamento. È importante capire le norme e analizzare i richiami normativi perché sono gli appigli, diciamo, che ci possono poi essere utili quando siamo sul campo a operare in ambito GDPR. È la nostra, il nostro breviario, la normativa è il nostro va de mècum personale, quindi dobbiamo tenerne assolutamente conto. Ora soffermiamoci un attimo su questa parola. Il regolamento vorrebbe che il Data Protection, diciamo, fosse una persona dotata di una conoscenza specialistica della normativa. Qui si apre un mondo, si apre un mondo perché In questi anni di applicazione ci si è trovati di fronte a dover, diciamo, decidere se la figura del DPO dovesse avere innanzitutto una laurea specialistica, perché una conoscenza specialistica della materia presuppone, presupporrebbe il possesso di una laurea specialistica, quindi laurea specialistica in che cosa? Perché se dovessimo dire quale laurea è meglio per poter assolvere il ruolo del Data Protection, probabilmente faremo fatica. Sicuramente, sicuramente una laurea in legge potrebbe essere opportuna, più che altro per una questione di conoscenza giuridica degli istituti, perché comunque non ci nascondiamo dietro un dito, parliamo di una norma, quindi è chiaro che Bisogna comprendere gli istituti, bisogna creare delle connessioni logico-argomentative che sono tipiche di un percorso di studi in giurisprudenza, bisogna poi avere anche una visione, diciamo, a 360 gradi della normativa, non soltanto uno studio verticalizzato sull'istituto ma anche uno studio di tipo orizzontale, quindi conseguenze di una mancata applicazione eventuali giudizi, eventuali difide legate alla violazione della privacy. Insomma, bisogna, a mio parere, ecco, avere un bagaglio culturale di un certo tipo. È chiaro che la laurea in legge non basta, non basta perché, e lo vediamo andando e tornando a leggere la norma, e il numero, l'articolo 39 Se lo andiamo a prendere, ci dice comma 1 punto C: il responsabile della protezione dei dati è incaricato almeno dei seguenti compiti. Punto C: fornire, se richiesto, un parere in merito alla valutazione di impatto sulla protezione dei dati e sovveriarne lo svolgimento ai sensi stessi dell'articolo 35. Ora, per svolgere adeguatamente una valutazione di impatto è chiaro che io devo avere un attimo cognizione di causa. Non posso valutare i rischi legati al trattamento dei dati se non sono in grado di valutare la salute di un asset. In primo luogo. Quando parliamo di asset chiaramente non facciamo riferimento soltanto a un faldone cartaceo, alla struttura di un ufficio, alla presenza delle chiavi negli armadietti, all'allarme eccetera eccetera. Quando si parla di asset si fa riferimento anche a quel, diciamo, comparto informatico di strumentazione come un computer, videocamera, di videosorveglianza, software ovviamente, tablet, smartphone e via dicendo. Ora, il Data Protection Officer deve essere in grado di valutare anche la salute di questa strumentazione, non solo la salute, ma deve essere in grado di intervenire quando il titolare del trattamento redige una, una DPA, quindi una valutazione del per capire quali sono i rischi connessi al trattamento dei dati sugli asset informatici. Quindi qual è il rischio legato alla tenuta di un sito web? Qual è il rischio legato all'apertura di un e-commerce? Qual è il rischio legato alla gestione di una mailing list? È chiaro quindi che una laurea in legge non basta, serve uno studio parallelo, se vogliamo, necessariamente parallelo, anche quindi in informatica, quantomeno un'informatica di base. Poi è anche vero che io suggerisco sempre: non operate mai da soli. Il data protection, quando io vedo DPO che si presentano come singoli, mi viene il dubbio, mi viene il dubbio perché è chiaro che Purtroppo siamo esseri umani, possiamo essere super preparati, super pronti, super skillati, ma siamo esseri umani, quindi arriviamo fino a un certo punto. Quando vedo Data Protection Officer che parlano di team privacy e poi si presentano come singoli, un po' mi vengono i brividi, perché è chiaro che da soli non si arriva molto lontano. Diciamo che l'ideale sarebbe avere un Data Protection con un gruppo di supporto interno o esterno all'azienda, questo poco importa, ma un gruppo di supporto dove all'interno ci devono essere delle persone che hanno delle conoscenze anche variegate, non per forza diciamo giuridiche, ma ci può essere l'esperto in informatica, l'esperto in sistemistica, l'esperto in sicurezza, figure che possono cooperare con il Data Protection e aiutarlo ad assolvere i compiti che il GDPR richiama. Quindi è ovvio che tornando sul DPO, il DPO deve avere una conoscenza specialistica della materia privacy che a sua volta richiama una conoscenza specialistica del diritto, proprio per comprenderne l'importanza degli istituti a 360 gradi e ovviamente anche per gestire eventualmente una fase patologica dell'applicazione della norma, perché chiaramente qui parliamo di diritto puro e semplice, studiamo istituti, studiamo norme, studiamo l'applicazione delle norme, ma che cosa succede se poi quelle norme non vengono applicate? Cosa succede se si finisce in contenzioso? A parer mio il Data Protection Officer deve poter rispondere anche e soprattutto a queste domande e quindi deve poter intervenire. Non è indispensabile ma sicuramente è altamente consigliato. E quindi un DPO e un team privacy. Meglio quei DPO che si presentano già con magari un consulente di supporto, apporto, o che umilmente e in maniera anche molto intelligente collaborano con determinati collaboratori esperti in altri settori. Anche perché il motto "l'unione fa la forza" vale un pochino dappertutto. Ora, tornando alla norma, tornando alla norma, vediamo ancora fra i compiti della Data Protection cosa rientra. Allora, siamo all'articolo 39, vi ricordo. L'articolo 37, articolo di riferimento per quanto riguarda l'opportunità della nomina di un DPO. L'articolo 39 invece parla dei compiti, che cosa deve fare un Data Protection. Quindi comma 1: a) informare e fornire consulenza al titolare del trattamento o al responsabile del trattamento, nonché ai dipendenti che eseguono con il trattamento in merito agli obblighi derivanti dal presente regolamento, nonché, attenzione, da altre disposizioni dell'Unione o degli Stati membri relative alla protezione dei dati. Attenzione, perché qui c'è una cosa importante: non basta la conoscenza specialistica del diritto, diciamo, della normativa di settore quindi la normativa privacy nazionale, quindi l'applicazione del regolamento in Italia, ma bisogna anche avere una visione un attimino un po' più ampia. Dal momento che stiamo parlando di un regolamento europeo, signori miei, ci tocca approfondire anche l'applicazione del GDPR negli altri Stati. Faccio un esempio banalissimo, visto che ci troviamo in Italia. Inizialmente, quando entrò in vigore il GDPR, l'applicazione del regolamento per la Repubblica di San Marino non ancora non c'era, non c'era stata una ratifica formale. Quindi io che, diciamo, lavoro nel territorio limitrofo fra Rimini, Ravenna Fornicesena, qui era un argomento dibattuto perché molte aziende del territorio hanno una sede nella Repubblica di San Marino o comunque lavorano con la Repubblica di San Marino. Quindi questa difficoltà per i DPO della regione e comunque del territorio del bacino di Rimini e similari è stata una criticità che è venuta subito al pettine, quindi ci siamo dovuti interrogare e su quale fosse l'applicazione del GDPR nella Repubblica di San Marino. È intervenuta poi la ratifica, sono intervenute varie osservazioni anche dell'autorità nazionale. Ecco, però questo per capire, non stiamo parlando che devo conoscere il diritto tedesco, stiamo parlando che devo conoscere soprattutto proprio a casa mia quello che è l'applicazione della norma anche magari in territori che non sono così poi tanto lontani. Quindi è importante anche avere questa curiosità di andare a guardare l'applicazione del GDPR all'estero, fuori dai confini dello Stato italiano nel nostro caso, ed è importantissimo. Punto B: sorvegliare l'osservanza del presente regolamento, di altre disposizioni dell'Unione— vedete che ritorna il richiamo— o di altri Stati membri relative alla protezione dei dati, nonché alle politiche del titolare del trattamento, del responsabile in materia di data protection, compresi l'attribuzione delle responsabilità, la sensibilizzazione, la formazione del personale che partecipa ai trattamenti e alle e alle connesse attività di controllo. Anche qui ci sarebbe da dire tantissimo, tantissimo su effetti, perché se ci soffermiamo alla lettura testuale dell'articolo, del punto B dell'articolo 39, pare che il Data Protection debba sorvegliare sull'osservanza del regolamento, ma non solo, debba sorvegliare sulla sensibilizzazione del personale, sulla formazione del personale che partecipa e via dicendo. E qui ovviamente si apre un capitolo interessante, perché probabilmente da questa norma qualcuno ha tratto la conclusione che è Data Protection a devo occuparsi della formazione del personale. Come in tutto, ora, ovviamente la verità sta nel mezzo. È chiaro che noi non possiamo essere DPO di ghiaccio. La nomina del Data Protection non deve rimanere una nomina sulla carta. Vi troverete, ed è capitato anche a me, di avere a che fare con delle realtà dove necessariamente l'intervento non può essere un intervento dall'alto, ma bisogna immergersi nella realtà. Capiterà di dover riscrivere delle informative, anche se la norma nei compiti del DPO non ci dice questo, ci dice sorvegliare sull'applicazione del regolamento, non scrivi le informative, scrivi codici di condotta, sorvegliare e fornire consulenza. Ma capiterà di farlo, capiterà di ricevere delle richieste del tipo: come faccio a fare una DPA? Mi puoi aiutare a fare una DPA? Mi puoi controllare le informative? Mi puoi fare formazione al personale? Allora, qui bisogna mettersi una mano sul cuore e decidere come svolgere il ruolo. Non è sbagliato delegare a qualcun altro questi compiti, ma la verità è che sarebbe meglio, diciamo, no, impastare la torta da soli. Quindi lì non ci si può esimere dal dare una mano, anche perché qualcuno un domani potrebbe dire che la funzione consulenziale non è stata assolta in maniera corretta. Quindi Purtroppo la verità sta nel mezzo, bisogna raggiungere un contemperamento delle esigenze. Se internamente all'azienda c'è un team privacy, un responsabile privacy, si può coadiuvare quest'ultimo nell'applicazione. Se non dovesse esserci, come accade nella maggior parte delle realtà, perché chiaramente questo comporta anche un peso economico non indifferente, quindi avere un DPO e avere magari un team privacy, un privacy, diciamo, maker interno, questo comporta dei costi chiaramente, quindi non tutti se lo possono permettere. Quindi qualcuno crede, o spera a seconda, che nominare un DPO copra anche poi in realtà tutte quelle attività di messa a norma che sono tantissime, lo sappiamo bene. Però ecco, Ecco, il concetto è: bisogna un attimino calarsi nella realtà, non bisogna fare l'errore di leggere la norma in maniera un attimino troppo rigida, perché purtroppo a 3 anni ormai passati dall'applicazione del regolamento ancora le questioni sono in itinere, quindi la casistica non è poi tantissima. Torniamo alla norma: fornire, se richiesto, un parere in merito alla valutazione di impatto sulla protezione dei dati e sorvegliarne lo svolgimento, questo l'abbiamo visto prima, ai sensi dell'articolo 35. Cooperare con l'autorità di controllo, cooperare con l'autorità di controllo vuol dire ad esempio che se il titolare del trattamento subisce un data breach e poi è costretto a effettuare la notifica e tutta la procedura per la notifica del data breach, probabilmente il DPO sarà chiamato in causa, sarà chiamato in causa per giustificare o fornire delle informazioni relative all'evento, all'incidente informatico. Ecco, quindi cooperare con l'autorità di controllo. Ma non vuol dire soltanto intervenire in caso di data breach, vuol dire anche semplicemente interpellare il garante, ad esempio, nel caso in cui dovesse esserci bisogno di una consultazione preventiva, articolo 36 della norma. Ci sono dei casi in cui il titolare del trattamento deve o vorrebbe iniziare dei trattamenti che a naso, come dico io, a intuito, probabilmente comporterebbero un rischio alto per la tutela dei dati degli interessati. Quindi che cosa si fa? Come si procede? Si fa una DPA Dalla DPA, se già intuito, ci accorgiamo che il rischio del trattamento potrebbe comportare determinati rischi, allora se viene fuori un rischio alto, il Data Protection, probabilmente ex articolo 36, farà la consultazione preventiva al Garante, che altro non è se non invia una PEC con un parere personale sul trattamento da iniziare, allegando la DPA e chiedendo un parere in merito, cosa anche molto utile perché poi questo crea precedente, quindi probabilmente, tendenzialmente, il Garante risponde al Data Protection nel giro di 2 settimane, sono molto rapidi nella risposta, e poi il quesito viene pubblicato, quindi viene a beneficio di tutti, viene condiviso per tutti gli operatori. Quindi cooperare con l'autorità di controllo vuol dire questo. Ecco a che cosa mi riferisco quando dico che la nomina data protection non deve essere una nomina di ghiaccio. Dobbiamo per forza di cose coadiuvare, veramente spalleggiare, non voglio dire day by day, ma sicuramente week by week. Cioè è importante sentire spesso i nostri titolari del trattamento perché è necessario questo per svolgere correttamente le funzioni. Punto E: fungere da punto di contatto, ecco, appunto, per questioni connesse al trattamento, tra cui la consultazione preventiva, e effettuare consultazioni relativamente a qualunque altra questione. Ecco, un, due, due minuti mi voglio soffermare sulla questione del parere. Quando ci viene chiesto un parere, quando il il titolare del trattamento chiede un parere al Data Protection, ovviamente questo parere va fornito non oralmente, vi sconsiglio di farlo perché non è il caso, anche perché deve rimanere traccia sempre in virtù di quel principio di accountability, ma anche per dimostrare che avete assolto correttamente il vostro ruolo, deve rimanerne traccia, quindi è opportuno redigere un parere per iscritto. Magari vedremo di dedicare un'altra lezione alla redazione del parere. Non ci sono delle regole di chissà che tipo, però si possono seguire delle formattazioni standard. Io ho creato il mio modello di parere: una premessa, un capitolo, descrizione dell'istituto, la risposta al quesito, eventuali, diciamo, risvolti, lo studio dei rischi in un senso o nell'altro, Quindi si può impostare un parere, si può avere uno schema di parere che ci aiuta se dovessimo ricevere, appunto, se dovessimo essere interpellati, ci può aiutare nella redazione. È proprio semplicissimo. Ecco, anche perché poi un'altra questione importante: se siete DPO di enti pubblici, questi pareri poi vengono protocollati e seguono un iter particolare, quindi è necessario che abbiano una forma appunto formale, scusate il gioco di parole. Detto questo, detto questo, torniamo all'articolo 37, designazione del responsabile della protezione dei dati. Quindi abbiamo visto un attimo quali devono essere, quali sono i compiti del Data Protection Officer. Passiamo un attimo adesso a capire quando è opportuno nominare il DPO nelle varie realtà. Vi ricordo, vi ricordo che ci sono dei casi in cui la nomina è obbligatoria. Questa in realtà è una delle pochissime regole tecniche che trovate nel GDPR, cioè il GDPR ci dice quando nominare obbligatoriamente il Data Protection Officer e non c'è scampo perché se ricadiamo in queste 3 casistiche dobbiamo nominare il Data Protection Officer. Non sono, diciamo, molto semplici da comprendere, però ecco, cerchiamo di vederle insieme. Allora, la prima è abbastanza semplice: devo nominare il Data Protection ogni qualvolta il trattamento effettuato da un'autorità pubblica o da un organismo pubblico, eccettuate le autorità giurisdizionali quando esercitano le funzioni giurisdizionali. Va bene, questa è una parentesi che poi vedremo di aprire. Ma in generale quindi, se sono un ente pubblico o comunque un organismo pubblico, un'autorità pubblica in generale, devo nominare un DPO. I comuni hanno il DPO obbligatorio, gli ordini professionali hanno il DPO obbligatorio, non c'è scampo. Le autorità pubbliche in generale hanno il DPO. DPO che deve essere, vi ricordo, comunicato all'autorità garante secondo una procedura molto semplice che trovate collegandovi sul sito dell'autorità garante e compilando la domanda e inserendo i dati del Data Protection, e poi deve essere pubblicato sul sito la nomina del Data Protection con tutta una serie di risvolti poi legati alla questione trasparenza, se, del sito dedicato e via dicendo, ma non è questo il momento di parlare di questo argomento, anche perché ci occorrerebbe un attimino più tempo. Quindi gli enti pubblici, gli organismi pubblici in generale nominano il DPO obbligatoriamente, e questo è semplice, nel senso che non c'è bisogno di approfondire o di decifrare questo caso particolare. Un attimino più complesso il punto B e il punto C. Punto B ci dice: nomini obbligatoriamente il DPO quando le attività principali del titolare del trattamento, del responsabile del trattamento, consistono in trattamenti che per loro natura, ambito di applicazione o finalità richiedono il monitoraggio regolare e sistematico degli interessati su larga scala. Ora, definire, dare una definizione di Monitoraggio regolare sistematico e larga scala non è semplice. Sicuramente monitoraggio regolare sistematico, se ci attenessimo alla definizione, proprio al significato letterale della parola, vuol dire andare costantemente a monitorare gli interessati in X modi. Uno può essere ad esempio il monitoraggio tramite sistemi di videosorveglianza, Quindi se un'azienda fa questo, se il titolare del trattamento si occupa di questo, cioè nell'oggetto sociale c'è proprio questa, questa funzione, ecco che allora la nomina del Data Protection qui va assolutamente valutata, assolutamente valutata. Altra questione: non basta il monitoraggio regolare e sistematico, ma in aggiunta c'è anche la larga scala. Che cosa vuol dire? E attenzione perché sono sono due requisiti che devono essere ricompresi entrambi. Quindi, titolare del trattamento che fa un monitoraggio sistematico e regolare su larga scala. Su larga scala vuol dire ovviamente che il titolare del trattamento non opera soltanto nei territori limitrofi, in regione e via dicendo, ma significa che il monitoraggio avviene probabilmente a livello nazionale, avviene probabilmente anche lavorando con l'estero. In realtà basterebbe anche monitoraggio regionale, quindi un'attività regionale. Anche qui, essendo la regola una non regola in realtà, ma semplicemente una sorta di guida operativa valutativa, è qui che vedete viene fuori l'importanza di documentare tutte le procedure che ci portano poi alla scelta della nomina o meno del Data Protection Officer, perché qui dobbiamo fare una valutazione, qua bisogna sedersi a tavolino, fare un audit probabilmente per capire quali dati vengono trattati, quanta, soprattutto che mole di dato viene trattato, fin dove si spinge il trattamento a livello anche soprattutto di confini territoriali E quindi è chiaro che quando avrò le risposte dall'audit, in base alle evidenze, così si chiamano in gergo, devo valutare appunto questa nomina. Quindi tutto il procedimento lo metto per iscritto e poi prendo una decisione. E quella decisione ovviamente è la massima espressione di quel principio di accountability che dicevamo prima. Vedremo dopo in un'infografica dettagliata qualche esempio per capire bene Il punto C, il punto C ancora, quindi obbligatorietà di nomina di un Data Protection se le attività principali del titolare del trattamento consistono sul trattamento, nel trattamento su larga scala, quindi vedete che torna ancora la parola, il termine larga scala, questa volta però di categorie particolari di dati personali di cui all'articolo 9 o di dati relativi a condanne penali o reati di quell'articolo 10. Quindi qui entrano in gioco i dati, i vecchi dati sensibili, la normativa li chiamava così una volta, la nostra normativa italiana. Oggi sappiamo che il GDPR ha cambiato nome a questi dati perché sono diventati dati particolari. Quindi se sono un titolare del trattamento e su larga scala, su larga scala, tratto dati particolari/sensibili, allora probabilmente devo assolutamente nominare un Data Protection. Ci sono ad esempio degli istituti anche di portata nazionale come possono essere l'INAIL, l'INPS, eccetera eccetera, che hanno assolutamente un Data Protection. Ma ci possono essere casi anche un pochino più borderline: uno studio medico associato, privato, facciamo un esempio, che lavora ed ha un flusso di clienti/pazienti di un certo tipo, magari dove all'interno ci sono una serie di esperti operatori che si occupano anche di diverse, differenti discipline sanitarie, una struttura di questo tipo magari inserita anche in un contesto ospedaliero, beh, la Nominal Data Protection la dovrà fare, quindi sicuramente anche qui è caldamente consigliato. Ora proiettiamo un'infografica che ci fa capire un attimino quello che può essere il ragionamento da fare per decidere se nominare o meno il Data Protection Officer. Ecco, mi serve nominare un Data Protection Officer? Allora, la prima domanda da farsi è: la mia compagnia, da leggere ovviamente come la mia realtà, il mio ente, la mia azienda, insomma A parte i casi di nomina obbligatoria dove c'è poco da ragionare, la nomina va fatta. Questo vale per tutti coloro ovviamente che non rientrano nei casi A, B e C di cui all'articolo 37. Quindi la mia compagnia, la mia azienda, la mia realtà tratta dati personali? Ora, se non c'è un trattamento di dato personale, è chiaro che ricadiamo nella non utilità della nomina. Ma non solo la non utilità della nomina, se non tratto dati personali probabilmente non mi metterò neanche a fare gli adeguamenti privacy, perché non trattare il dato vuol dire semplicemente io non ho un'attività che ha a che fare con persone fisiche. Poi anche qui attenzione perché ci sarebbe veramente da dire un mondo, ma in generale se nella mia attività non tratto dati personali, allora non mi serve Data Protection e probabilmente gli adempimenti privacy saranno assenti o ridotti praticamente al minimo. È chiaro che qui non devo fare riferimento soltanto al dato del cliente, non dovrei avere dati di dipendenti, dati di fornitori, dati di collaboratori e partita IVA via dicendo. Però in generale l'estremo è questo: il non trattamento del dato non ovviamente comporta la non necessità della nomina. Ora, se invece rispondiamo sì, cioè tratto dati personali, a questo punto i casi sono due: sono un ente pubblico? Se sono un ente pubblico c'è poco da disquisire, ricadiamo nel punto A dell'articolo 37, quindi Ecco qua, ufficio del DPO, dovrei mandare da qualcuno o comunque fare dei bandi di gara, procedure, eccetera eccetera, per scegliere un professionista, un data protection. Più complesso il caso dell'azienda. Azienda tratta dati personali, a questo punto si deve chiedere: c'è un monitoraggio degli interessati? Vedete, rientriamo qui nel punto B dell'articolo 37, 7. Se la risposta è sì, ancora, è un monitoraggio regola— fatto regolarmente in maniera sistematica? Ecco qui un po' di esempi. Se nelle attività dell'azienda, ad esempio nell'oggetto sociale, rientrano attività come tracking e profilazione su internet, tantissimi lo fanno, cioè vado a spiare fra virgolette e a scegliere e a monitorare in questo caso veramente in maniera sistematica e regolarmente le scelte commerciali dei miei clienti, dei miei acquirenti, e poi magari li bombardo con delle newsletter, li bombardo con del marketing verticalizzato e via dicendo. Geolocalizzazione, anche qui ovviamente la geolocalizzazione è un'attività che sicuramente comporta il monitoraggio degli interessati H24, oserei anche dire. Video sorveglianza, l'abbiamo visto prima. Pubblicità comportamentale, email retargeting, anche questo molto diffuso, sta entrando in voga in questo periodo. Gestione di una rete di telecomunicazione. Quindi per trattamento e monitoraggio degli interessati si intendono più o meno meno queste attività. Ma non basta, abbiamo visto, perché deve essere svolto su larga scala. Per valutare la larga scala, il Garante nei suoi provvedimenti, nelle linee guida, ha individuato questi criteri: quindi numero degli interessati, quanti sono gli interessati che sto monitorando? A seconda della risposta qui, proporzionalmente sale il mio livello di larga scala. La mole di dato, ovviamente, la durata del trattamento e l'estensione geografica. Sono tutti criteri che ci consentono, ecco, appunto, di capire che cosa vuol dire su larga scala. Ma non è finito qui, perché se alla domanda "Faccio un monitoraggio degli interessati?" la risposta è no, allora chiaramente non sarebbe data Data Protection, se la risposta è sì, dobbiamo chiederci: è fatto su larga scala? Se la risposta è no, cioè se quel monitoraggio viene fatto, come vi dicevo, nel territorio limitrofo, perché si lavora semplicemente nel bacino di competenza, eccetera eccetera, allora probabilmente si può valutare di non nominare il Data Protection. Se però le risposte a tutte queste domande iniziano ad essere sì, e oltretutto il monitoraggio regolare e sistematico su larga scala è il nostro core business, allora è chiaro che ci serve un Data Protection. Vi dico, vi dico una mia personale opinione: a prescindere, a prescindere dalla tipologia di attività, se effettuata in maniera sistematica e su larga scala, Scala, ogni qualvolta si rientra in quell'elenco di attività di esempio che abbiamo visto prima, valutate comunque la nomina. Perché a meno che voi non siate veramente sicuri e certi della non necessità di una nomina, allora a quel punto dovete assolutamente almeno valutare di farla, perché è opportuno, perché poi in sede di ispezione alla domanda "perché non ha nominato il Data Protection Officer?" dobbiamo poter rispondere in una maniera compiuta, assolutamente compiuta. Quindi altri due requisiti per la nomina che possiamo inserire all'interno della nostra tabellina sono Monitoraggio regolare e sistematico su larga scala. Ora dedichiamo l'ultimo, gli ultimi 15 minuti ai libri, ai libri per la preparazione. È chiaro che sono consigli, sono consigli personali, miei personali, poi chiaramente ognuno è libero di attingere dalle fonti che ritiene più opportune, però vi voglio citare alcuni dei testi che mi hanno accompagnato dal 2018 nella preparazione a svolgere questa professione. Allora, prima di tutto prima di tutto vi consiglio due testi che mi sono stati molto utili e che potete trovare gratuitamente online, quindi questa è una cosa molto importante, danno un po' un'infarinata generale della questione della privacy. Chiaramente, premessa, bisogna fare un atto di umiltà, allora non bisogna sentirsi esperti ancor prima di aver messo le mani in pasta, Bisogna avere un pizzico di umiltà, quindi non bisogna vergognarsi ad iniziare a leggere dei testi che possono sembrare di una banalità disarmante, ma attenzione, questo non tanto per una vostra preparazione personale, lì si tratterà magari di un ripasso, quanto per sviluppare un linguaggio il quanto più possibile semplice per poter veramente assolvere quel ruolo di consulente e poter comunicare coi titolari, coi nostri clienti, con diciamo quelle realtà che ci hanno nominato Data Protection, perché non ha senso usare paroloni, paroloni, perché altrimenti il senso della consulenza è svilito. Bisogna comunicare, quindi partiamo dai libri base che trattano l'argomento veramente in maniera semplice, perché questo ci serve anche per acquisire una terminologia vicina proprio ai non addetti al settore. Non è una cosa scontata, perché poi quando soprattutto si ha veramente una laurea in giurisprudenza o in materie specialistiche, si tende ad assumere una forma mentis un pochino rigida, rigida un po' come le norme, quindi si usano parole che sono poco interpretabili per i non addetti ai lavori. Quindi attenzione, la lettura umile dei testi di partenza, seppur banale, ci serve per una visione, diciamo così, più a 360 gradi, per entrare in comunicazione con coloro che non se ne occupano. Il primo testo che suggerisco è questo, Si chiama "Il GDPR e come attuarlo", composto da— si chiamano gli "idraulici della privacy". Lo trovate online, oltretutto questa che vedete qui è l'ultima versione del 2020, quindi è aggiornato, è abbastanza aggiornato perché comunque è un breviario che ci torna utile ed è aggiornato anche perché all'interno trovate proprio le ultime ultime news in materia proprio di osservazione del Garante, linee guida e quant'altro. Loro lo definiscono un piccolo libro sulla privacy GDPR, come attuarlo. Quindi nell'indice c'è l'introduzione, gli attori, registro dei trattamenti, informativa, consenso, trasferimento, certificazioni, codici di condotta, importantissimo, e via dicendo. È un librino a mio parere fatto veramente bene, anche perché vi dirò di più, il bello di questo libricino è che nelle note a piedi pagina, ve ne faccio vedere alcune, vedete, nelle note a piedi pagina c'è il link, ci sono i link interattivi, quindi se scaricate la versione in PDF ci sono i link con le fonti di approfondimento, quindi voi potete andare nei link che vengono richiamati e trovare altre cose approfondite che sono in costante aggiornamento. Quindi questo libro, "Il GDPR: come attuarlo, idraulici della privacy", è il primo libro dal quale partire, primo, primissimo libro. A cosa serve? Ci serve per capire in una manciata di pagine, solo un centinaio di pagine, tutto il GDPR. Quindi nel giro di 2 ore questo libro si legge e vi siete fatti un piccolo bagaglio culturale veloce su sulla normativa. Molto utile anche per coloro che devono preparare dei concorsi, perché qui dentro c'è tutto il minimo indispensabile da sapere per poter affrontare un esame dove ci sono delle domande a tema privacy. Secondo, secondo libro, secondo libro, libricino, anche questo lo potete trovare gratuitamente online. Ed è il, si chiama, Manuale RPD, responsabile protezione dei dati, che è l'acronimo italiano di Data Protection, linee guida destinate ai responsabili della protezione dei dati nei settori pubblici, quindi questo è importante, e parapubblici per il rispetto del regolamento generale sulla protezione dei dati. Ovviamente è una traduzione italiana di un libro la cui versione originale è in in inglese e c'è il patrocinio del Garante Italiano per la Protezione dei Dati, quindi è un testo formalmente riconosciuto. Io l'ho stampato e l'ho suddiviso, vedete, pinzettato, perché ci sono varie materie, vari settori. È un libro molto lungo, sono circa 300 pagine stampate fronte-retro. Io adesso lo studio o capitolo studiato all'epoca capitolo per capitolo, quindi suddiviso in base agli argomenti, però in generale lo trovate proprio manuale RPD e vedete gli autori sono Mary George e Dowie Corf, quindi magari poi lo inseriamo, lo inserisco nelle note del video questo potete andare a scaricarlo e a leggerlo. È molto importante, a parte che è aggiornato anche questo al 2020, ma internamente qui c'è una guida specifica per Data Protection. Quindi mentre il primo librino era dedicato più o meno alla conoscenza generale della normativa, quindi il GDPR in generale, per gli esperti del settore e i non addetti ai lavori, Quindi molto semplice. Questo qui è dedicato proprio al Data Protection, quindi sono affrontate delle tematiche dedicate soprattutto all'ambito pubblico, ma non solo. E quindi spiega come fare il registro dei trattamenti, cosa deve essere contenuto dentro, come scrivere un'informativa, eccetera. Anche qua le note a piedi pagina sono molto ben fatte, vedete, contengono i link di richiamo. E in fondo al libro ci sono delle modulistiche che possono essere prese come modello. E anche questo vi consiglio di leggerlo e di studiarlo perché è fatto veramente bene. Andiamo avanti. Una volta fatto questo, si entra un attimino più nel dettaglio. Quindi ci siamo fatti un'idea di che cos'è il regolamento, ci siamo— se siamo Data Protection abbiamo dare un'idea un attimino di come mettere mano alle modulistiche dei nostri clienti, dei nostri titolari, per capire se sono ben fatte. E prossimo step è quello di approfondire, quindi passare un attimino a cose un po' più serie. E l'altro libro che vi suggerisco è questo. Qui entriamo un attimino più nello specifico perché è un librino libro che vedete è fatto abbastanza bene, si chiama Manuale di diritto alla protezione dei dati personali ed è di Marco Maglio, Miriam Polini e Nicola Tilli, editore Maggioli. Anche qui lo trovate facilmente, lo trovate online dappertutto, acquistabile, ma lo trovate anche nelle librerie più o meno specializzate eccetera. Molto utile perché innanzitutto contiene il codice per seguire gli aggiornamenti del manuale online, quindi all'interno trovate il vostro QR code, vi collegate alla sezione dedicata e potete seguire e scaricare i capitoli di aggiornamento. Ma è importante perché fa una descrizione della normativa in maniera in maniera più saggistica, quindi qui sicuramente le argomentazioni dei due libri precedenti vengono ulteriormente approfondite, ma è suddiviso un pochino come i libri universitari in parte speciale e parte generale. La parte generale descrive un pochino tutta la normativa, quindi entra nel dettaglio del regolamento europeo. Sono interessanti, ci sono interessanti riflessioni, ad esempio capitolo 3 il valore economico dei dati personali. Quindi anche qua capiamo le scelte a monte dell'entrata in vigore di determinate normative, ed è importante per calarci nel ruolo. Si parla di diritto all'oblio, c'è un capitolo dedicato, c'è un capitolo dedicato all'accountability. E poi nella parte speciale, e questo è il bello di questo manuale, viene, vengono affrontate, viene affrontata la privacy privacy in determinati contesti. Quindi ad esempio la privacy settore imprese, la privacy in ambito religioso, quindi per coloro che seguono enti ecclesiastici o strutture analoghe, la privacy in ambito bancario, anche qui importante, la privacy in ambito di assicurazioni, la privacy in ambito sanitario, importantissimo, la privacy poi nella pubblica amministrazione. Quindi questo testo ve lo consiglio, Manuale di diritto alla protezione dei dati personali. Proseguendo poi, visto che prima abbiamo detto che è importante avere una conoscenza anche di materie che non sono, diciamo, squisitamente giuridiche, ma bisogna saper operare fare con gli asset. Mi è stato molto utile, vi consiglio questo testo Privacy e Audit della IPSOA con il patrocinio di FederPrivacy, e dopo fra le fonti di internet ovviamente non si può non citare FederPrivacy, scritto da Fulvia e Emegiano, Emegiano mi perdoni ma non so se sbaglio la pronuncia, e Monica Perego, molto utile, molto utile perché all'interno trovate tecniche di conduzione di audit, oltretutto secondo i modelli ISO 19011 e via dicendo, ma ne vengono citati anche altri, case study, audit di conformità legislativa, focus su standard e nomine tecniche, focus sull'audit profilato sul regolamento europeo, i sistemi di gestione e gli standard da utilizzare. Il bello di questo testo è che all'interno ci sono degli audit guidati, quindi praticamente ci sono degli esempi di audit con tanto di domande e risposte che possono esserci utili. Adesso se lo trovo vi faccio vedere. Ecco, per esempio, Esempio di intervista di audit. Soggetti coinvolti: il Data Protection come leader audit. In questo caso intervista, esempio: Dottoressa Valsavia, mi scuso del ritardo, ho prolungato fin troppo l'intervista, farò del mio meglio per recuperare. Proseguiamo con alcune domande per capire il livello di compliance privacy. Seguono le domande e le risposte. Quindi sono esempi di interviste che non non sono, diciamo, tecniche, ma sono esempi di risposta che potremmo ricevere ordinariamente durante il nostro lavoro. Quindi molto utile questo testo, anche perché contiene anche alla fine delle linee guida per svolgere un audit privacy in maniera conforme, anche certificata, visto che si seguono le linee guida ISO, eccetera eccetera eccetera. Quindi Qui entriamo ancora più nel dettaglio, ma nel bagaglio, nel kit dei testi per la data protection non si può non leggere Privacy Audit, questo libro edito IPSOA. Dopodiché, dal momento che in questo periodo se ne sta parlando tanto e non si può non trattare la privacy anche in ambito scolastico, un libro molto interessante e anche uno dei pochi perché non se ne trovano tanti in giro, è questo: "La privacy in ambito scolastico", Euroedizioni Torino, scritto da Anna Armone e Stefano Callà, che oltretutto tengono anche dei corsi, convegni, sono due professionisti del settore molto in gamba. Guida operativa per tutti coloro che operano nelle istituzioni scolastiche, annotata con la giurisprudenza e lo studio di casi pratici. Anche questo utilissimo. Per i concorsi, perché ovviamente nel contesto scolastico la privacy gioca un ruolo cruciale, non solo perché adesso c'è la DAD o la didattica integrata eccetera eccetera, ma perché in generale la realtà dei fatti è che di privacy in ambito scolastico se ne è sempre parlato e se ne doveva parlare forse un pochino di più, visto che di dati ne trattiamo parecchi e ne vengono trattati parecchi. Vecchi. Quindi per tutti coloro che volessero approfondire la tematica della privacy nella scuola, consiglio questo libro aggiornato al 2020. Vi ripeto, non si trovano tanti testi in ambito scolastico. Io ho letto qualcos'altro che non vi ho riportato perché non mi sono sentita di consigliarvelo. Questo però l'ho trovato particolarmente completo perché anche qua c'è una parte generale dedicata al regolamento europeo Poi c'è una parte dedicata alla casistica, quindi ci sono anche dei modelli di informative specifiche per il settore scolastico e via dicendo. Poi ci sono tutta una serie di libri bagatellari, ma in realtà sono più degli approfondimenti che potete leggere a tempo perso se ve ne dovesse rimanere. Un esempio, per esempio, potrebbe essere questo qui di Stefano Comellini Regolamento generale sulla protezione dei dati. Questo è uno dei primi che avevo letto, importante perché c'è la modulistica online, modulistica online che anche qua è costantemente aggiornata, quindi vi collegate e potete accedere alla modulistica e quindi qui c'è l'aggiornamento. Questo libro è stato utile perché? Perché è sviluppato domanda-risposta, risposta, quindi le domande più gettonate per il Data Protection e si cerca di dare una risposta. E non solo, c'è un'analisi ragionata del regolamento, quindi voi per esempio trovate l'articolo capo terzo, il trattamento dei dati, articolo 10, dati personali, vedete, e c'è la descrizione dell'articolo e poi sotto una lettura, ed è un modo per leggere e aggiornarsi arsi sul regolamento europeo. C'è poi tutta la collana che trovate, che è quella di guida giuridica, che trovate su ItaliaOggi, che contiene ogni tanto questi libricini molto utili. Qui ad esempio questo l'ho conservato perché c'era un testo "Test di autovalutazione iniziale: mettersi in regola agli adempimenti passo per passo". Quindi anche qua molto utile perché è ricco di esempi, è ricco di schemi che possono essere riportati nelle nostre modulistiche e dai quali possiamo prendere spunto. Ad esempio, per farvi capire, qui era una— ecco, sulle casistiche di data breach, vedete, qui era molto utile perché riportava dava degli esempi e poi la valutazione: fare o non fare notifica al garante, fare o non fare la comunicazione agli interessati, eccetera eccetera. Lasciamo stare che oggi su questo argomento sono state emanate le nuove linee guida delle DPB che sono veramente molto utili e che vi consiglio di leggere. Però ecco, questi strumenti, ovviamente non c'è soltanto questo, questo era il numero 5, ma in realtà ce ne sono parecchi. Era del 14 marzo 2018, quindi praticamente qui già si parlava ovviamente di privacy perché era l'anno cruciale di entrata in vigore. Io quindi ho iniziato ad acquistarli fin da subito e questo, vi ripeto, l'ho conservato perché contiene dei test di autovalutazione che io ancora oggi, avendoli riformulati, personalizzati e quant'altro, do ai miei enti, do alle mie realtà per capire un attimo il livello di privacy che hanno all'interno. Ora potremmo stare qui a parlare di testi veramente all'infinito, però ecco, sicuramente quelli che vi ho citato oggi sono molto interessanti. Visto che stiamo sforando leggermente la diretta di oggi e non vedo domande su Clubhouse fra coloro che ci stanno ascoltando, e che invito a intervenire nel caso volessero fare qualche domanda particolare, chiudiamo con qualche info per la documentazione online. Allora, chiaramente la formazione del Data Protection Officer non può essere asettica, isolata e verticalizzata. Va bene lo studio, va bene l'aggiornamento sui testi, sui manuali e quant'altro, ma a tutto questo dobbiamo associare la condivisione di esperienze. Quindi io vi consiglio di seguire forum, seguire corsi, e molti sono anche gratuiti, tenuti da altri professionisti, da altri data protection, perché ci fanno un ripasso un pochino di tutta quella che è la normativa normativa, ma possiamo prendere spunto condividendo esperienze che magari, ecco, non ci sono capitate, ma che sono capitate a un collega. E dalla condivisione di esperienze si possono poi ricavare delle preziosissime lezioni che ci possono tornare utili nel nostro lavoro. Quali sono i forum che io personalmente seguo? Allora, io seguo Omnia Forum del Dottor Simone Chiarelli, che sicuramente conoscerete, molto utile perché ovviamente oltre alla sezione dedicata alla privacy, quindi c'è proprio tutto il paragrafetto GDPR privacy, ci sono anche tutta una serie di argomenti che non sono direttamente centrati sul discorso privacy ma che inevitabilmente ci rientrano. Per esempio, ve ne faccio un esempio, ecco qua: diritto di accesso, trasparenza e anticorruzione. Qui chi si occupa di privacy negli enti non può non conoscere la materia della trasparenza, l'accesso agli atti e via dicendo. E ce ne sono tanti altri, ad esempio polizia locale e videosorveglianza, tematiche e materie di diritto civile, diritto penale, dubbi, quesiti, curiosità, gruppi di studio e via dicendo. Quindi è importante, questo è uno dei forum che io seguo perché sicuramente può essere molto utile per approfondire quanto studiato. Un altro sito che io consulto regolarmente è DPO in rete, DPO in Rete. Tutti questi siti li trovate chiaramente googlando le parole DPO in Rete, vi viene fuori uno dei primi risultati. Molto utile, anche qui c'è un'area riservata, quindi ci sono, se ci iscriviamo alla community DPO in Rete, dedicata in maniera un attimino più approfondita ai DPO di enti locali, ma non solo in realtà, perché si trovano anche tante altre fonti. Se ci iscriviamo poi abbiamo accesso a tutta una serie di contributi in più come schemi e strumenti operativi. Qui oltretutto potete scaricare il testo che vi dicevo prima, che è questo, lo richiamiamo, ma poi vi metterò il link, che è il manuale per Data Protection. Lo trovate online su DPO in Rete. Ma in realtà c'è un sacco di modulistica: DPO, incarico, schema di nomina, schema di delibera del consiglio comunale, incarico DPO a un soggetto esterno, valutazione dei dati, valutazione dei rischi, data breach, registri, esempi e via dicendo, molti schemi di nomine e via dicendo. Anche questo lo consulto abitualmente. Ecco, Ovviamente poi non abbiamo avuto modo di parlare dei corsi e dei master, però in realtà ce ne sono tanti, alcuni gratuiti, altri un pochino meno. Ah, un altro sito che non ho citato e che consulto è FederPrivacy. FederPrivacy ovviamente molto utile, anche lì c'è l'area riservata, vengono rilasciati certificati di partecipazione ai corsi, molto utili anche perché danno possibilità di ottenere i crediti per la formazione professionale per coloro che sono iscritti ad ALBI professionali. E insomma anche là trovate un sacco di informazioni utili. Vi dicevo, per quanto riguarda i corsi ce ne sono tantissimi, alcuni addirittura li ho trovati anche su Udemy. Per chi non conoscesse Udemy è una piattaforma di formazione online dove ci sono corsi a prezzi veramente stracciati, però molto validi, molto validi. Ce ne sono tantissimi in materia di informatica di base e gestione degli audit e privacy in generale. Ma trovate i corsi privacy un pochino dappertutto. Il discorso master è un pochino più da approfondire. Posso richiamarvi la mia esperienza. Io ho frequentato il master della Niccolò Cusano, molto utile, dedicato ai DPO. Chiaro, sono percorsi diversi, percorsi un attimino più lunghi, però anche qui molto utile, perché comunque è un vero e proprio percorso di studi. Quindi un master è un master, quindi anche lì Per, se vogliamo, ecco, personalmente, proprio anche per, come dire, una cosa personale, alzare l'asticella, ecco, poi lì ci spostiamo su un settore di altro livello, cambiano ovviamente anche i costi e quant'altro. Sono fondamentali, sono indispensabili i master per la data protection? Beh, dipende, dipende dalla realtà nella quale operiamo. Probabilmente se lavoriamo con gli enti pubblici i master sono necessari e un po' perché ci garantiscono un'accessibilità diversa a bandi, concorsi e via dicendo, un po' perché ci garantiscono una sicurezza conoscitiva della materia e un bagaglio interessante. Poi molti master contengono anche delle visite sul campo, degli esempi concreti, quindi bisogna guardare negli argomenti trattati, nelle piano di studi e capire cosa vale la pena fare e cosa non vale la pena. Comunque sappiate che per coloro che volessero iniziare a fare il Data Protection si può tranquillamente iniziare con uno studio da autodidatta tramite i libri, comunque i libri che ritenete più opportuni, visitando i forum, condividendo esperienze, seguendo i gruppi gruppi e il resto lo si fa sul campo. Qualche volta si sbaglierà, qualche volta si correggerà il tiro, e poi con pazienza si diventerà professionisti di una materia che per quanto antica, per quanto remota, comunque è difficile perché è in continua evoluzione. Quindi non si può ovviamente avere la pretesa di poter per saper tutto, perché non si può saper tutto. Bisogna però approcciarsi alla normativa privacy, ma questo vale un po' per tutte le normative, tutto lo studio in generale, con umiltà agli istituti, partendo anche dall'ABC quando è necessario e poi approfondendo. Il segreto è non dare niente per scontato, non dare niente per scontato e condividere, soprattutto chiedere aiuto ai colleghi, che magari operano nel nostro stesso settore, condividere esperienze e condividere opinioni. Questo è secondo me l'ingrediente segreto che ciascun DPO dovrebbe avere nel kit per essere un buon Data Protection Officer. Bene, allora per questo appuntamento è tutto. Vi ricordo che questa puntata verrà poi salvata sul mio canale YouTube. Quindi poi ci vedremo sicuramente per i prossimi incontri. L'argomento del giorno viene solitamente condiviso sui canali Telegram, sul mio canale LinkedIn, sul mio profilo LinkedIn, sul mio canale e sul mio profilo Facebook, e in generale un pochino sui social. Quindi se mi seguite poi dopo avrete modo di seguire anche gli aggiornamenti. Vi ringrazio, ci vediamo domenica prossima sempre alle 11 con un altro argomento, e vi auguro una buona domenica. Ciao a tutti!