GDPR – Ufficio stampa interno. Ufficio Stampa esterno. Ruoli e responsabilità ai sensi del GDPR

Un ufficio stampa integrato nell’ambito di un’azienda è un ufficio stampa che, così come proprio in un ufficio all’interno di una stessa azienda, espone ad un rischio di violazione di privacy l’azienda stessa; questo è importante da capire perché il titolare del trattamento è l’azienda che manda fuori il comunicato stampa, infatti l’ufficio stampa per conto di questa azienda di cui fa parte, raccoglie i dati dei giornalisti e tratta quindi il dato, cioè il nome il cognome e indirizzo email piuttosto che le materie di interesse di questo giornalista, per fare una comunicazione mirata; quindi nell’ambito delle valutazioni interne, per rendere confluente l’intera azienda nella gestione dei dati personali di un’azienda, è importante valutare quali sono le attività svolte dall’ufficio della comunicazione.

Quando un’azienda si rivolge ad un ufficio stampa esterno o ad un’agenzia che si occupa della diffusione dei comunicati stampa per conto dell’azienda, rimane comunque titolare di quelle attività perché innanzitutto determina qual è l’azienda che sceglie quale proprio fornitore dei servizi e secondariamente perché i dati che l’agenzia raccoglie, cioè i dati personali dei giornalisti, vengono comunque raccolti per conto del titolare che è questa azienda.

L’azienda quindi risponde dell’attività dell’agenzia esterna in quanto ha l’obbligo di vigilare e dare istruzioni sul corretto trattamento dei dati; il titolare cioè l’azienda infatti, è il soggetto che fornisce le istruzioni per il trattamento dei dati, definisce le finalità, per esempio vuole fare una comunicazione rivolta solamente ai giornalisti che si occupano di sport piuttosto che di beni di consumo e quant’altro, in tutti questi casi la responsabilità è riconducibile sempre al titolare, per cui sarà molto importante innanzitutto scegliere l’agenzia di comunicazione più adeguata, che in qualche modo offre queste garanzie in merito al GDPR, secondariamente sarà necessario che il titolare si tuteli con un atto di nomina quale responsabile esterno, che è un contratto, il cosiddetto data processing payment, in base al quale vengono regolati quali sono le responsabilità e gli obblighi dell’una e dell’altra parte.