A scanso di equivoci, rispondiamo subito: si.

E dove sta scritto?

• Esplicitamente: al Punto 19.6 del Disciplinare Tecnico in Materia di Misure Minime di Sicurezza (Allegato B al Codice Privacy), rivolto a tutti coloro che sono obbligati a  redigere il DPS. 
• Implicitamente: in termini sia di generale misura di sicurezza (art. 31) che di particolare misura minima di sicurezza (art. 33, 34 e 35). 

Quali i rischi?

In caso di mancata formazione del personale incaricato del trattamento, il Titolare si espone al rischio di sanzioni:

• amministrative, da € 10.000 a € 120.000 
• penali: arresto sino a due anni.

Inoltre: il rischio del risarcimento danni cagionati a terzi

Il Titolare di trattamento che non adempie all’obbligo formativo può inoltre vedersi costretto anche a rispondere per gli eventuali danni cagionati a terzi per effetto delle operazioni di trattamento per il semplice fatto di non aver adottato tutte le misure di sicurezza idonee a ridurre al minimo il rischio.

L’Art. 15 Codice Privacy dispone che: “Chiunque cagiona danno ad altri per effetto del trattamento di dati personali è tenuto al risarcimento ai sensi dell’articolo 2050 del codice civile.” che, tradotto, significa elevare l’attività di trattamento dati al rango di attività pericolosa.

Il Titolare che cagioni danno ad altri per effetto del trattamento di dati personali sarà “…tenuto al risarcimento se non prova di aver adottato tutte le misure idonee a evitare il danno”, tra le quali misure idonee, ovviamente, è inclusa la formazione privacy.

Per ottenere il risarcimento, l’Interessato dovrà soltanto dimostrare che:

• il danno si è realizzato
• il danno è dipeso dall’attività di trattamento posta in essere sotto il controllo del Titolare.

Il Titolare, quindi, per liberarsi della responsabilità, sarà costretto a dimostrare di avere adottato tutte le misure possibili per impedire l’evento dannoso, ovvero che che tra l’attività di trattamento e l’evento dannoso non vi è un nesso di causalità.

La Formazione privacy come tutela del Titolare

Se il danno deriva da negligenza o errore imputabile ad un Incaricato del trattamento, il Titolare potrà rivalersi su di essi se proverà di aver adottato tutte le cautele del caso, ed in particolare di aver effettuato una corretta formazione privacy mirata a rendere edotti gli Incaricati circa:

• i rischi che incombono sui dati,
• le  misure disponibili per prevenire eventi dannosi,
• i  profili della disciplina sulla protezione dei dati personali più rilevanti in rapporto alle relative attività,
• le responsabilità che ne derivano
• le  modalità per aggiornarsi sulle misure minime adottate dal titolare.

In conclusione: il Titolare che abbia effettuato una corretta formazione privacy, oltre ad applicare le sanzioni disciplinari previste (art. 2106 c.c.) potrà rivalersi sui lavoratori per inadempimento contrattuale richiedendo il risarcimento dei danni subiti.