Dpo obbligatorio per chi profila la clientela

Rilevante il rapporto tra trattamento dei dati e core business

La nomina del data protection officer prevista dal Gdpr è obbligatoria in tre casi: se il trattamento è svolto da un’autorità pubblica o da un organismo pubblico; se le attività principali del titolare o del responsabile del trattamento consistono in trattamenti che richiedono il monitoraggio degli interessati su larga scala; se le attività principali del titolare o del responsabile consistono nel trattamento di categorie particolari di dati personali.

Il maggiore sforzo interpretativo riguarda la nozione di «attività principali». Il regolamento puntualizza che, nel privato, le attività principali del titolare del trattamento riguardano le sue attività primarie. Le Linee guida del «Gruppo di lavoro ex art. 29» chiariscono che con attività principali devono intendersi le operazioni necessarie al raggiungimento degli obiettivi perseguiti dal titolare o dal responsabile del trattamento compreso il caso in cui il trattamento è «componente inscindibile» dalle attività. Ad esempiol’impresa di sorveglianza di centri commerciali: l’attività principale consiste nella sorveglianza e questa non sarebbe possibile senza trattare dati personali, da cui l’obbligo di nominare un Dpo.

Nell’esempio è intuibile il carattere di inscindibilità che lega il trattamento dei dati al core business dell’azienda. Il lavoro interpretativo può, tuttavia, condurre a ritenere obbligatorio il Dpo anche in situazioni meno definite come le aziende che si occupano di produzione e vendita di beni e che svolgono attività di raccolta e trattamento massivo di dati personali dei consumatori (ad esempio, attraverso i cookies installati sui siti internet).

L’analisi dei dati provenienti dalla profilazione e dalle scelte di vendita consente di avere un’idea precisa non solo dei trend di mercato, ma anche del profilo commerciale del cliente. Di conseguenza, il trattamento dei dati personali e la promozione del brand rappresentano due momenti cardine. Infatti, i dati costituiscono la base di partenza per l’elaborazione della strategia commerciale e il feedback valutativo della medesima, ma soprattutto sono funzionali a far incontrare domanda e offerta in modo efficiente per l’impresa. Le strategie di marketing mirato finiscono dunque per saldare l’attività di promozione alla fase di vendita in modo molto più stretto. In questo senso non può escludersi che tali attività costituiscano una componente inscindibile dalle attività di produzione e vendita svolte in via principale e impongano la nomina del Dpo.