Ai sensi del Regolamento in oggetto, la nomina di un Data Protection Officer (DPO) o Responsabile della Protezione dei Dati (RPD) è obbligatoria in tre casi specifici:
a) se il trattamento è svolto da un’autorità pubblica o da un organismo pubblico;
b) se le attività principali del titolare del trattamento o del responsabile del trattamento consistono in trattamenti che richiedono il monitoraggio regolare e sistematico di interessati su larga scala;
c) se le attività principali del titolare del trattamento o del responsabile del trattamento consistono nel trattamento su larga scala di categorie particolari di dati personali relativi a condanne penali e reati.
Una definizione oggettiva e quantificata di larga scala ancora non c’è.
Il GRUPPO DI LAVORO ARTICOLO 29 PER LA PROTEZIONE DEI DATI raccomanda di tenere conto, in particolare, dei fattori qui elencati al fine di stabilire se un trattamento sia effettuato su larga scala:
il numero di soggetti interessati dal trattamento, in termini assoluti ovvero espressi in percentuale della popolazione di riferimento;
la durata, ovvero la persistenza, dell’attività di trattamento;
la portata geografica dell’attività di trattamento.
Alcuni esempi di trattamento su larga scala sono i seguenti:
trattamento di dati relativi a pazienti svolto da un ospedale nell’ambito delle ordinarie attività;
trattamento di dati relativi agli spostamenti di utenti di un servizio di trasporto pubblico cittadino (per esempio, il loro tracciamento attraverso titoli di viaggio);
trattamento di dati relativi alla clientela da parte di una banca nell’ambito delle ordinarie attività;
trattamento di dati personali da parte di un motore di ricerca per finalità di pubblicità comportamentale;
trattamento di dati da parte di fornitori di servizi telefonici o telematici.
Alcuni esempi di trattamento non su larga scala sono i seguenti:
trattamento di dati relativi a pazienti svolto da un singolo professionista sanitario;
trattamento di dati personali relativi a condanne penali e reati svolto da un singolo avvocato.
Qualora un Titolare ritenga che i propri trattamenti non siano da considerarsi su Larga Scala, è tenuto a motivare la propria scelta e a dimostrare, in caso di controlli, che la sua valutazione si è basata su criteri oggettivi.