Protezione dei dati personali: la formazione è ancora inadeguata

Sin dagli albori della normativa in materia di protezione dei dati personali, in Italia ricorre il concetto, più o meno espressamente previsto, che chiunque tratti i dati per conto del titolare dovrebbe attenersi alle sue istruzioni. Questo concetto era espresso nella Direttiva 95/46/CE, era stato recepito con la L 657/1996, in particolare con gli artt. 8, co. 5, e 9 (peraltro richiamati dal DPR 318/1999), si era poi evoluto nel Codice (art. 29), per trovare la sua dimensione attuale con il GDPR, che non solo statuisce (ulteriormente) che chiunque agisca sotto l’autorità del titolare del trattamento e che abbia accesso a dati personali non può trattare tali dati se non è istruito in tal senso (cfr. art. 29 del GDPR), ma include (nuovamente) tale aspetto nel novero delle misure di sicurezza (cfr. art. 32 del GDPR), mettendolo addirittura sotto la diretta sorveglianza del RPD, se presente (cfr. art. 39, par. 1, lett. b) del GDPR). In estrema sintesi, sono almeno 25 anni che la norma in materia di protezione dei dati personali vuole che le persone fisiche che trattano tali informazioni siano istruite e, conseguentemente, seguano corsi di formazione.