Abstract ITA
Il Regolamento (UE) 2016/679 ha introdotto, nell’ordinamento dell’Unione Europea, la figura del Responsabile della protezione dei dati (Data Protection Officer – DPO), quale presidio strutturale di legalità e garanzia nella governance dei trattamenti di dati personali. L’obbligo di designazione, previsto dall’art. 37 GDPR, si impone in capo al titolare o al responsabile del trattamento in presenza di specifici presupposti oggettivi, ed è funzionale all’effettività del principio di accountability.
La figura del DPO si connota per l’autonomia funzionale e l’assenza di vincoli gerarchici nell’esercizio dei compiti attribuiti ex art. 39 GDPR, così come sancito dall’art. 38, il quale impone altresì la necessaria dotazione di risorse adeguate. L’elaborato esamina l’inquadramento giuridico del DPO, distinguendolo dalle altre figure soggettive previste dalla disciplina, e ne analizza il ruolo di vigilanza, consulenza e raccordo con l’Autorità Garante, anche alla luce delle più recenti interpretazioni sistematiche.
Particolare attenzione è dedicata ai profili di incompatibilità e conflitto d’interessi, con riferimento alla normativa primaria e alle indicazioni provenienti dal Comitato Europeo per la Protezione dei Dati (EDPB), nonché al provvedimento del Garante del 19 dicembre 2024. L’analisi evidenzia come la violazione dei requisiti di indipendenza incida non solo sull’efficacia sostanziale della funzione, ma anche sulla validità formale della designazione, esponendo l’ente a conseguenze giuridiche rilevanti, anche sotto il profilo sanzionatorio ex art. 83 GDPR.
Il contributo, in una prospettiva sistematica, intende offrire una ricostruzione organica delle funzioni, dei limiti e delle responsabilità del DPO, alla luce del quadro normativo vigente e delle prassi amministrative più significative.
Abstract ENG
Regulation (EU) 2016/679 introduced the figure of the Data Protection Officer (DPO) in the European Union legal system as a structural safeguard of legality and guarantee in the governance of personal data processing. The obligation of designation, provided for in Article 37 GDPR, is imposed on the data controller or processor in the presence of specific objective prerequisites, and is functional to the effectiveness of the principle of accountability.
The figure of the DPO is characterized by functional autonomy and the absence of hierarchical constraints in the exercise of the tasks assigned ex art. 39 GDPR, as enshrined in art. 38, which also imposes the necessary allocation of adequate resources. The paper examines the legal framework of the DPO, distinguishing it from the other subjective figures envisaged by the discipline, and analyzes its role of supervision, advice and liaison with the Supervisory Authority, also in the light of the most recent systematic interpretations.
Particular attention is paid to the profiles of incompatibility and conflict of interest, with reference to the primary legislation and the indications coming from the European Data Protection Board (EDPB), as well as to the provision of the Guarantor of December 19, 2024. The analysis highlights how the violation of independence requirements affects not only the substantive effectiveness of the function, but also the formal validity of the designation, exposing the entity to relevant legal consequences, including from a sanctioning perspective under Article 83 GDPR.
The contribution, in a systematic perspective, aims to offer an organic reconstruction of the functions, limits and responsibilities of the DPO, in light of the current legal framework and the most significant administrative practices.
Parole chiave: dpo, dato personale, protezione dei dati, titolare del trattamento, responsabile del trattamento, gdpr, conflitto d’interessi.
Keywords: dpo, personal data, data protection, data controller, data processor, gdpr, conflict of interest
Sommario: 1. Il GDPR, il dato personale come oggetto della tutela – 2. L’inquadramento giuridico del DPO– 3. Obbligo di nomina, indipendenza e responsabilità principali del DPO nella protezione dei dati – 4. Il conflitto di interessi tra DPO e rappresentante legale: limiti normativi e sanzioni – 5. Riflessioni conclusive
1. Il GDPR, il dato personale come oggetto della tutela
Fino alla pubblicazione nella Gazzetta Ufficiale dell’Unione Europea n. 119 del 4 maggio 2016 del Regolamento (UE) 2016/679 del Parlamento Europeo e del Consiglio, approvato il 27 aprile 2016 ed entrato in vigore a maggio 2018, il principale riferimento normativo dell’Unione Europea in materia di protezione dei dati personali era rappresentato dalla direttiva 95/46/CE del Parlamento Europeo e del Consiglio, adottata il 24 ottobre 1995[1]. Tale direttiva era finalizzata a garantire la tutela dei diritti delle persone fisiche in relazione al trattamento dei dati personali e a favorire la libera circolazione degli stessi all’interno dell’Unione.
Nel 1995, periodo di adozione della direttiva, numerosi Stati membri avevano già promulgato leggi nazionali sulla protezione dei dati personali. Tuttavia, l’esigenza di assicurare la piena operatività del mercato interno — basato sulla libera circolazione di merci, capitali, servizi, persone e libertà di stabilimento — implicava inevitabilmente anche la necessità di regolare uniformemente lo scambio transnazionale dei dati personali. La direttiva, con il suo elevato livello di dettaglio, aveva pertanto lo scopo precipuo di armonizzare le normative nazionali degli Stati membri in materia di protezione dei dati personali, garantendo un quadro giuridico comune.
Infatti, la Corte di Giustizia dell’Unione europea (CGUE)[2] , ha ritenuto che “la direttiva 95/46 mira a rendere equivalente in tutti gli Stati membri il livello di tutela dei diritti e delle libertà delle persone riguardo al trattamento dei dati personali. Il ravvicinamento delle legislazioni nazionali applicabili in materia non deve avere per effetto un indebolimento della tutela da esse assicurata, ma deve, anzi, mirare a garantire un elevato grado di tutela nella Comunità. L’armonizzazione delle suddette legislazioni nazionali non si limita quindi ad un’armonizzazione minima, ma sfocia in un’armonizzazione che, in linea di principio, è completa”[3].
Di conseguenza, gli Stati membri dell’Unione Europea hanno avuto un margine di autonomia limitato nell’implementazione della direttiva 95/46/CE. In particolare, se la normativa nazionale preesistente avesse garantito un livello di protezione più elevato rispetto agli standard minimi stabiliti dalla direttiva, tale disciplina avrebbe potuto continuare a produrre effetti. Al contrario, qualora la legislazione nazionale offrisse una tutela inferiore, questa doveva essere adeguata agli standard della direttiva.
La direttiva 95/46/CE ha concretizzato il principio del diritto alla vita privata, già sancito dalla Convenzione n. 108[4] del Consiglio d’Europa, ampliandone l’ambito di applicazione e introducendo strumenti di tutela aggiuntivi, come previsto dall’articolo 11. Tra questi, rilevano le autorità di controllo indipendenti (Data Protection Authorities)[5], istituite per monitorare e garantire una maggiore conformità alle norme in materia di protezione dei dati.
L’applicazione della direttiva non si è limitata ai ventotto Stati membri dell’Unione Europea, ma è stata estesa anche ai Paesi dello Spazio Economico Europeo (SEE), ovvero Islanda, Liechtenstein e Norvegia. La Corte di Giustizia dell’Unione Europea (CGUE)[6] è stata investita della competenza a vigilare sull’effettiva attuazione della direttiva da parte degli Stati membri e a pronunciarsi, in via pregiudiziale, sulla sua interpretazione, al fine di garantirne un’applicazione uniforme.
Va evidenziato che la direttiva è indirizzata principalmente agli Stati membri, rendendo necessario un ulteriore strumento normativo per disciplinare la protezione dei dati trattati dalle istituzioni e dagli organismi dell’Unione Europea. Tale funzione è stata assolta dal Regolamento (CE) n. 45/2001, che disciplina la tutela delle persone fisiche rispetto al trattamento dei dati personali da parte delle istituzioni comunitarie e garantisce la libera circolazione di tali dati.
Inoltre, ambiti specifici di applicazione della direttiva 95/46/CE sono stati ulteriormente dettagliati da normative settoriali, come la direttiva 2002/58/CE[7], concernente la protezione dei dati personali e della vita privata nel settore delle comunicazioni elettroniche, e la direttiva 2006/24/CE[8], che ha introdotto disposizioni sulla conservazione dei dati generati o trattati nell’ambito dei servizi di comunicazione elettronica.
Per circoscrivere l’ambito di tutela della privacy, è necessario, in via preliminare, definire il concetto di “dato personale” nei suoi tratti essenziali, spesso inteso nella sua accezione più ampia. Il Regolamento (UE) 2016/679, del Parlamento Europeo e del Consiglio del 27.04.2016, all’art. 4, definisce il “dato personale” come “qualsiasi informazione riguardante una persona fisica identificata o identificabile («interessato»); si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica,
culturale o sociale”.
All’interno dei dati personali, una categoria particolare è costituita dai cosiddetti “dati sensibili”, che la normativa descrive come quei dati personali che rivelano l’origine razziale o etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l’appartenenza a partiti, sindacati, associazioni o organizzazioni di carattere religioso, filosofico, politico o sindacale, nonché informazioni relative alla salute e alla vita sessuale[9]. Non è il dato personale in sé a essere qualificato come sensibile, ma piuttosto l’uso che ne viene fatto da parte di un soggetto determinato.
Proprio in ragione di questa peculiarità, i dati sensibili godono di un livello di protezione più elevato rispetto ai dati personali comuni. Analogamente, anche i dati “giudiziari”, che comprendono informazioni relative a procedimenti penali o reati, sono sottoposti a un regime di tutela equivalente a quello dei dati sensibili, garantendo così una protezione rafforzata.
Pertanto, l’’evoluzione del digitale richiede necessariamente una particolare attenzione alla tutela dei dati personali, soprattutto in un contesto sempre più globalizzato e interconnesso. Partendo da questa consapevolezza, il nuovo Regolamento europeo eleva la protezione dei dati personali a diritto fondamentale, definendo procedure rigorose per garantire una tutela concreta ed effettiva. Tra le novità introdotte, spicca l’istituzione di una figura professionale specifica: il Responsabile per la protezione dei dati personali, comunemente noto come Data Protection Officer (DPO)[10], che rappresenta un elemento innovativo rispetto agli strumenti tradizionalmente preposti a tale finalità.
Preliminarmente, è necessario fare un distinguo tra “titolare del trattamento” e “responsabile del trattamento”, anche per le diverse funzioni e titolarità collegate ai due diversi soggetti.
Il “titolare del trattamento” è “la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali” (art. 4. par. 1, n. 7 GDPR) mentre, per lo stesso Regolamento, il “responsabile del trattamento” è “la persona fisica o giuridica, l’autorità pubblica, il servizio oaltro organismo che tratta dati personali per conto del titolare del trattamento” (art. 4. par. 1, n. 8 GDPR).
2. L’inquadramento giuridico del DPO
Il Data Protection Officer (DPO)[11], figura centrale nell’architettura normativa del GDPR, è individuato dall’art. 37 come responsabile della protezione dei dati e deve essere designato sia dal titolare sia dal responsabile del trattamento. Da tale previsione emerge una nomina congiunta e condivisa. Sul piano delle caratteristiche soggettive, il DPO deve garantire l’assenza di conflitti di interesse rispetto alle altre funzioni esercitate nel contesto organizzativo, sia pubblico sia privato, e non deve subire interferenze esterne. In particolare, il titolare e il responsabile del trattamento non possono ingerire nello svolgimento delle sue attribuzioni, a riprova della configurazione del DPO quale figura indipendente e dotata dei mezzi necessari per l’espletamento dei propri compiti.
Il DPO, inoltre, deve essere un professionista che svolge tale ruolo in via principale, avendo acquisito specifiche competenze attraverso percorsi formativi finalizzati sia al mantenimento sia al costante aggiornamento delle proprie conoscenze. Tali requisiti lo distinguono nettamente dal responsabile del trattamento, la cui attività si limita all’esecuzione delle istruzioni impartite dal titolare.
Tra le attribuzioni del DPO rientrano funzioni di vigilanza sul rispetto della normativa in materia di protezione dei dati personali e delle politiche interne dell’organizzazione, che presuppongono non solo un’approfondita preparazione giuridica, ma anche competenze in ambito organizzativo, amministrativo e gestionale. Egli è inoltre incaricato di fornire pareri e supervisionare l’implementazione del Data Protection Impact Assessment (DPIA). Altrettanto rilevante è la sua collaborazione attiva con l’Autorità Garante per la Protezione dei Dati Personali, specialmente nell’ambito delle verifiche preliminari relative alle misure organizzative e tecniche da adottare.
Alla luce delle funzioni e delle responsabilità attribuite, il DPO emerge come una figura professionale interdisciplinare, dotata di un ruolo di supervisore indipendente e di uno status che può essere inquadrato sia all’interno di strutture aziendali o pubbliche, sia in qualità di professionista esterno (External Data Protection Officer), mediante un contratto di prestazione di servizi o d’opera professionale.
3. Obbligo di nomina, indipendenza e responsabilità principali del DPO nella protezione dei dati
Il GDPR (Regolamento UE 2016/679), ha introdotto il ruolo del Data Protection Officer (DPO) quale figura chiave nella gestione della protezione dei dati personali, rafforzando i principi di responsabilità e conformità delle organizzazioni.
Perché il DPO possa esercitare le sue funzioni, è indispensabile che venga formalmente nominato.
Nello specifico, il GDPR prevede in modo puntuale i casi in cui tale nomina è obbligatoria. Tra questi, assume particolare rilievo l’obbligo imposto alle autorità pubbliche e agli organismi pubblici, fatta eccezione per i tribunali nell’esercizio delle loro funzioni giurisdizionali. Infatti, la nomina è obbligatoria quando, secondo l’art. 37 del GDPR: “a) il trattamento è effettuato da un’autorità̀ pubblica o da un organismo pubblico, eccettuate le autorità̀ giurisdizionali quando esercitano le loro funzioni giurisdizionali; le attività̀ principali del titolare del trattamento o del responsabile del trattamento consistono in trattamenti che, per loro natura, ambito di applicazione e/o finalità̀, richiedono il monitoraggio regolare e sistematico degli interessati su larga scala; le attività̀ principali del titolare del trattamento o del responsabile del trattamento consistono nel trattamento, su larga scala, di categorie particolari di dati di cui all’articolo 9 (dati sensibili) o di dati relativi a condanne penali e a reati di cui all’articolo 10, il titolare del trattamento e il responsabile del trattamento designano sistematicamente un responsabile della protezione dei dati che indicheremo in seguito con la sigla DPO/RPD”.
Il DPO deve operare in assenza di conflitti d’interessi con le altre attività o funzioni assegnategli, sia all’interno di un’amministrazione pubblica sia in un contesto aziendale privato. Tale figura deve essere immune da ogni tipo di interferenza esterna, considerato che il responsabile o l’incaricato del trattamento dei dati non possono influire sulle sue funzioni. Questa impostazione sottolinea il ruolo indipendente del DPO, il quale deve disporre di tutte le risorse necessarie per adempiere ai compiti affidatigli[12].
Questa autonomia lo distingue nettamente dal responsabile del trattamento dei dati, disciplinato dall’art. 29 del Codice della Privacy[13], poiché, a differenza del DPO, il responsabile del trattamento agisce esclusivamente secondo le istruzioni impartite dal titolare del trattamento.
Tra le mansioni principali del DPO rientrano il monitoraggio sull’osservanza delle norme in materia di protezione dei dati personali e delle politiche interne dell’organizzazione presso cui opera. Questi compiti presuppongono – come ribadito in precedenza – competenze giuridiche avanzate e una conoscenza approfondita delle strutture amministrative e aziendali.
Il DPO fornisce altresì pareri, vigila sull’esecuzione corretta della valutazione d’impatto sulla protezione dei dati (Data Protection Impact Assessment – DPIA) e collabora con l’Autorità Garante per la protezione dei dati personali, specialmente in occasione delle verifiche preliminari sull’adeguatezza delle misure tecniche e organizzative da adottare.
Alla luce delle disposizioni normative e delle funzioni attribuite, il DPO emerge come un professionista dotato di competenze interdisciplinari, incaricato di esercitare una funzione di supervisione indipendente. La posizione del DPO può essere ricoperta sia da risorse interne, provenienti dall’amministrazione pubblica[14] o dall’azienda[15], sia da professionisti esterni, nell’ambito di contratti di servizio o prestazioni d’opera professionale, assumendo la veste di “External Data Protection Officer”.
In merito alla distinzione del diverso grado di responsabilità tra il titolare del trattamento, il responsabile del trattamento e il DPO, si sottolinea che quest’ultimo non può essere ritenuto responsabile direttamente dagli interessati per eventuali violazioni della normativa sulla protezione dei dati personali. Questo perché le responsabilità legali connesse a tali violazioni rimangono principalmente in capo al titolare del trattamento, il quale, in virtù del principio di accountability[16], è tenuto a dimostrare la conformità del trattamento e a prevenire eventuali danni a terzi.
La responsabilità del DPO, pertanto, si configura principalmente in termini contrattuali nei confronti del titolare o dell’organizzazione presso cui opera. In altri termini, il DPO può essere ritenuto responsabile esclusivamente per l’inadempimento delle proprie obbligazioni contrattuali. A titolo esemplificativo, tale responsabilità può derivare da omissioni, come la mancata segnalazione di non conformità, la scarsa consulenza sui rischi legati al trattamento dei dati o da un’errata supervisione delle attività di trattamento.
4. Il conflitto di interessi tra DPO e rappresentante legale: limiti normativi e sanzioni
Ai sensi dell’art. 37, par. 6, del GDPR, il DPO può essere sia un dipendente interno all’organizzazione del titolare o del responsabile del trattamento, sia un soggetto esterno incaricato tramite contratto di servizi. Tuttavia, tale previsione non legittima una designazione indiscriminata: l’elemento cardine che connota la posizione del DPO è rappresentato dall’assenza di conflitto di interessi, che si traduce nella necessaria autonomia e indipendenza nell’esercizio dei compiti previsti dall’art. 39 del Regolamento[17].
Il considerando 97 del GDPR chiarisce, infatti, che i DPO – siano essi interni o esterni – devono poter adempiere alle proprie funzioni in modo indipendente e senza subire interferenze, così da garantire un’effettiva vigilanza sul rispetto della normativa in materia di protezione dei dati. L’art. 38, par. 3, sancisce espressamente che il DPO “non riceve alcuna istruzione per quanto riguarda l’esecuzione di tali compiti” e “riferisce direttamente al vertice gerarchico del titolare o del responsabile del trattamento”.
In tale contesto, emerge in modo evidente l’incompatibilità strutturale tra le funzioni di DPO e quelle di rappresentante legale della medesima organizzazione. Il rappresentante legale, infatti, è per definizione colui che assume le decisioni strategiche e operative dell’ente, determinando in via diretta finalità e mezzi del trattamento dei dati personali. Tale posizione decisionale lo pone in una situazione di conflitto strutturale rispetto al ruolo di garante dell’osservanza della normativa privacy, attribuito al DPO, il quale dovrebbe esercitare funzioni di controllo proprio sull’operato del titolare del trattamento.
A conferma di tale impostazione si richiama il provvedimento dell’Autorità Garante per la protezione dei dati personali n.802 del 19 dicembre 2024, nel quale viene sanzionata una società per aver designato quale DPO il proprio rappresentante legale. L’Autorità ha sottolineato che la designazione di un soggetto strutturalmente incompatibile con il ruolo di DPO – quale è il rappresentante legale della stessa società – viola gli artt. 37, par. 6 e 38 del GDPR. L’Autorità ha inoltre ribadito che, anche in caso di designazione su base volontaria (e dunque non obbligatoria), trovano piena applicazione le disposizioni degli artt. 37-39 del Regolamento, come chiarito dalle Linee guida del Gruppo di lavoro ex art. 29 (oggi Comitato Europeo per la Protezione dei Dati – EDPB).
Ulteriore profilo di illegittimità rilevato dall’Autorità riguarda la mancata comunicazione all’Autorità stessa dei dati di contatto del DPO, in violazione dell’art. 37, par. 7, che impone tale obbligo a garanzia della trasparenza e del dialogo istituzionale. L’omessa comunicazione ha di fatto impedito all’Autorità di rilevare tempestivamente l’incompatibilità e di adottare le misure correttive necessarie.
Il provvedimento del Garante conferma, dunque, la centralità dell’indipendenza del DPO come presupposto imprescindibile per la validità della sua designazione. La violazione dei limiti normativi posti a presidio di tale indipendenza non determina soltanto una carenza di efficacia della funzione, ma può comportare l’invalidità della nomina stessa, come dichiarato nel caso di specie.
Dal punto di vista sanzionatorio, le violazioni contestate rientrano nel novero delle ipotesi sanzionabili ai sensi dell’art. 83 del GDPR, che prevede sanzioni amministrative pecuniarie fino a 10 milioni di euro o, per le imprese, fino al 2% del fatturato annuo mondiale. L’attribuzione della funzione di DPO a un soggetto incompatibile, come il legale rappresentante, configura una violazione sostanziale della cornice regolatoria in tema di governance e accountability in materia di trattamento dei dati personali.
5. Riflessioni conclusive
L’introduzione della figura del Data Protection Officer (DPO) nel quadro normativo europeo ha rappresentato un’importante innovazione nella governance della protezione dei dati personali. La sua funzione, svincolata da legami gerarchici e ispirata a criteri di indipendenza e competenza, costituisce oggi uno degli strumenti più efficaci per garantire l’effettività dei principi di accountability e trasparenza.
Dall’analisi svolta emerge chiaramente che il DPO non può essere considerato un semplice adempimento formale, bensì un presidio sostanziale di legalità all’interno delle organizzazioni, pubbliche e private. Il suo ruolo richiede non solo competenze tecniche e giuridiche, ma anche la capacità di operare in un contesto spesso attraversato da tensioni tra esigenze operative e obblighi normativi.
In tale ottica, l’autonomia del DPO si configura come condizione necessaria – sebbene non sufficiente – per lo svolgimento efficace delle sue funzioni. L’individuazione di profili di conflitto d’interessi, come nel caso della designazione del rappresentante legale quale DPO, mina alla radice la credibilità e l’efficacia del controllo interno, con ricadute significative anche in termini di responsabilità e sanzioni per l’ente.
Le prassi più recenti, e in particolare il provvedimento del Garante n.802 del 19 dicembre 2024, confermano la crescente attenzione delle Autorità di controllo rispetto all’effettività del ruolo del DPO e all’esigenza di garantirne la reale indipendenza. La violazione di tale principio, oltre a rendere inefficace la funzione di vigilanza, può determinare l’illegittimità della nomina e l’esposizione dell’ente a gravi conseguenze giuridiche e reputazionali.
Alla luce di quanto emerso, appare sempre più urgente promuovere una cultura organizzativa fondata sulla consapevolezza dei rischi e sulla valorizzazione del DPO quale alleato strategico nel presidio della conformità normativa. La sua figura, infatti, non si esaurisce nella mera consulenza tecnica, ma assume una dimensione sistemica, contribuendo in modo determinante alla costruzione di un modello sostenibile di gestione dei dati personali, rispettoso dei diritti fondamentali e coerente con le sfide dell’era digitale[18].
[1] Direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati. In Gazzetta ufficiale n. L 281, del 23/11/1995 pp. 31 – 50.
[2] cfr. Tesauro G., I diritti fondamentali nella giurisprudenza della Corte di giustizia, in Ridu, 1992, pp. 426-440.
[3] cfr. Gorga G., Profili giuridici del data protection officer, Juribit, 2018
[4] La CDE, Convenzione sulla protezione delle persone rispetto al trattamento automatizzato dei dati a carattere personale. Consiglio d’Europa, STCE n. 108, 1981, si applica a tutti i trattamenti dei dati personali effettuati sia nel settore privato che nel settore pubblico e, in tale ambito, anche a quelli effettuati da autorità giudiziarie e di polizia.
[5] cfr. Pagallo U., La tutela della privacy e in negli Stati Uniti d’America Europa, cit., pag. 96. Sulla natura delle Autorità indipendenti, le quali rappresentano un chiaro elemento di avvicinamento dei modelli di civil law a quelli di common law, si v. Clarich M., Autorità indipendenti. Bilancio e prospettive di un modello, Bologna, 2005.
[6] cfr. Morrone F., Nozione e contenuto del diritto alla tutela giurisdizionale nella giurisprudenza della Corte di giustizia delle Comunità europee e della Corte europea dei diritti dell’uomo, inLa cittadinanza europea, Roma, 2/2007, pp. 16-20.
[7] cfr. Direttiva 2002/58/CE del Parlamento europeo e del Consiglio, del 12 luglio 2002, relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elet- troniche (Gazzetta Ufficiale L 201 del 31.7.2002).
[8] cfr. Direttiva 2006/24/CE del Parlamento europeo e del Consiglio, del 15 marzo 2006, riguardante la conservazione di dati generati o trattati nell’ambito della fornitura di servizi di comunicazione elettronica accessibili al pubblico o di reti pubbliche di comunicazione e che modifica la direttiva 2002/58/CE (Gazzetta Ufficiale L 105 del 13.4.2006).
[9]cfr. D’Argenio G., Gobbato M., Gestione dati e privacy. Guida agli adempimenti, FAG Editore,
2011. 8. Guarda G., Fascicolo sanitario elettronico e protezione dei dati personali, Università
di Trento, 2011.
[10] cfr. Gorla S., Savino N., Fornasiero S., Mairani L., Iaselli M., Prosseda M. Ri-vieccio L., Stumpo G., Tursini R., Colombo M., Secondo Quaderno del Data Protection Officer, formato Kindle, 2015.
[11] cfr. Bernanrdi N., Perego M., Polacchini M., Soffientini M., Manuale operativo: Privacy Officer. La figura chiave della data protection europea, IPSOA, 2013
[12] cfr. Bernanrdi N., Perego M., Polacchini M., Soffientini M., Manuale operativo: Privacy Officer. La figura chiave della data protection europea, IPSOA, 2013.
[13] cfr. D. lgs. n. 196/2003. Codice in materia di protezione dei dati personali.
[14] cfr. Locoratolo B., Privacy e pubblica amministrazione. La normativa in materia di protezione dei dati personali (D.Lgs. 196/2003), Simone, 2013.
[15] cfr. Polacchini M., Privacy in azienda. La protezione dei dati personali nelle imprese: casi pratici e soluzioni, IPSOA, 2009.
[16] cfr. M. Iaselli, V. Iaselli, Nuove Tecnologie, Sicurezza e Protezione dei Dati, Giuffrè, 2024..
[17] cfr. R. Panetta, T. Mauro, F. Sartore, Il Data Protection Officer tra Regole e Prassi, Giuffrè, 2023.
[18] cfr. M. Proto, A. Panzarola, R. Giordano, Il Diritto nell’Era Digitale, Giuffrè, 2022.
Scarica il PDF
