La nomina di un DPO non è sufficiente per evitare l’applicazione di sanzioni
Il Garante Privacy del Lussemburgo ha sanzionato una società di logistica perché, durante un’ispezione, aveva accertato che:- il DPO non era stato convocato ai meeting rilevanti ai fini dell’applicazione del GDPR;
- il DPO non riferiva al vertice gerarchico del titolare del trattamento
- l’azienda era priva di un piano di Audit e di controlli.
La decisione riveste particolare interesse per tutti i titolari del trattamento perché quest’ultimi, per essere GDPR compliant, non soltanto devono nominare un DPO (quando obbligatorio), ma anche coinvolgerlo – tempestivamente e adeguatamente – in tutte le questioni riguardanti la protezione dei dati personali.