DPO obbligatorio per chi profila la clientela
La nomina del DPO è obbligatoria in tre casi:
- se il trattamento è svolto da un’autorità pubblica o da un organismo pubblico;
- se le attività principali del titolare o del responsabile del trattamento consistono in trattamenti che richiedono il monitoraggio degli interessati su larga scala;
- se le attività principali del titolare o del responsabile consistono nel trattamento di categorie particolari di dati personali.
Il GDPR specifica che, nel privato, le attività principali del titolare del trattamento riguardano le sue attività primarie. Le Linee guida del Gruppo di lavoro ex art. 29 chiariscono che con attività principali devono intendersi le operazioni necessarie al raggiungimento degli obiettivi perseguiti dal titolare o dal responsabile del trattamento compreso il caso in cui il trattamento è «componente inscindibile» dalle attività (core business aziendale).
Il lavoro interpretativo può condurre a ritenere obbligatorio il DPO anche in situazioni meno definite come le aziende che si occupano di produzione e vendita di beni e che svolgono attività di raccolta e trattamento massivo di dati personali dei consumatori.
I dati costituiscono la base di partenza per l’elaborazione della strategia commerciale, ma soprattutto sono funzionali a far incontrare domanda e offerta in modo efficiente per l’impresa. Le strategie di marketing mirato finiscono dunque per saldare l’attività di promozione alla fase di vendita in modo molto più stretto. In questo senso non può escludersi che tali attività costituiscano una componente inscindibile dalle attività di produzione e vendita svolte in via principale e impongano la nomina del DPO.
Il tema sarà approfondito nell’ambito del workshop organizzato da Optime il prossimo 16 novembre a Milano su La profilazione della clientela e l’attività di marketing.
