Seit 25. Mai 2018 besteht für öffentliche Verwaltungen die Pflicht, einen Datenschutzbeauftragten (DPO) gemäß Art. 37 der EU-Verordnung 2016/679 zu benennen. Dies bestätigt auch die Aufsichtsbehörde "Garante della Privacy" in  seiner Maßnahme Nr. 272 vom 17. Dezember 2020.

Öffentliche Verwaltungen sind nun in den "Radar" der Aufsichtsbehörde geraten, da immer noch viele Öffentliche Verwaltungen  dieser Pflicht nicht nachgekommen sind oder die strategische Bedeutung eines Datenschutzbeauftragten vernachlässigt haben, indem sie auf rein formelle Aufträge mit Dienstleistungsunternehmen zurückgegriffen haben, welche nicht immer in der Lage sind, die erforderliche Betriebsüberwachung sicherzustellen.
Dies wurde am Beispiel einer Gemeinde in Varese deutlich, nachdem ein Nutzer Beschwerde wegen der Veröffentlichung von unzureichend anonymisierten  personenbezogenen Daten einreichte. Diese Beschwerde zog eine Prüfung des Sachverhalts nach sich, im Zuge derselben  die  Ausichtsbehörde festgestellt hat, dass die entsprechende Gemeinde keinen Datenschutzbeauftragten gemäß Art. 37 bestellt hat. Die Vernachlässigung dieser Pflicht hatte eine hohe Geldstrafe zur Folge.
Für Eigenverwaltungen bürgerlicher Nutzungsrechte ist anzumerken, dass auch diese der Verpflichtung der Ernennung eines DPO unterliegen. Auch wenn diese nicht als öffentliche Körperschaften in der offiziellen ISTAT Liste der öffentlichen Körperschaften des gesamten Staatsgebietes, gemäß Art. 1, Abs. 3 des Gesetzes vom 31.12.2009, Nr. 19 angeführt werden, sind sie  im sog. „Indice PA“, dem staatlichen Verzeichnis der „Agenzia per l’Italia digitale“ registriert, und sind somit dem Ministerrat als öffentliche Körperschaft bekannt.

Was ist ein Datenschutzbeauftragter?
Der Datenschutzbeauftragte ist jene Person, welche die Einhaltung datenschutzrechtlicher Vorschriften überwacht und Ansprechpartner für Datenschutzthemen ist. Seine zentralen Aufgaben, definiert in Art. 39 EU-DSGVO, sind die Unterrichtung, Beratung und Sensibilisierung der öffentlichen Verwaltungen und deren Beschäftigte im Zusammenhang mit Datenschutzvorschriften, Folgeabschätzungen und zugleich die Überwachung der Einhaltung dieser Vorschriften. Somit spielt er eine zentrale Rolle für den Schutz der Rechte von Betroffenen in Zusammenhang mit der Verarbeitung personenbezogenen Daten.
 
Abschließend wird empfohlen, dass alle Öffentlichen Verwaltungen die bisher keinen Datenschutzbeauftragten gemäß Art. 37 bestellt haben, dieser Pflicht dringend nachkommen sollten, um eventuelle Sanktionen zu vermeiden.

Bruneck, 13.04.2021
RA Dr. Oberleiter Andreas