Oggi dopo l’entrata in vigore del GDPR nelle aziende pubbliche e private è diventato obbligatorio avvalersi di un Data Protecnion Officer ossia DPO. Questa è una figura relativamente nuova che è entrata a far parte da poco del mercato del lavoro. Ma chi è il DPO? Come si nomina, e quali sono i compiti e le competenze che gli sono affidate? Scopriamolo insieme!

DPO: chi è il Data Protection Officer?

Il Data Protection Officer o DPO è una figura professionale che fa ingresso nel mondo del lavoro dopo l’approvazione del regolamento del GDPR, ossia il Regolamento generale sulla protezione dati 2016/679 che è stato pubblicato sulla Gazzetta Ufficiale con la L.119 il 4 maggio del 2016. 

La norma pubblicata nel 2016 prevede che gli enti pubblici e alcune aziende privati procedano alla nomina di un soggetto professionale e qualificato che s’occupi in modo esclusivo della protezione dati personali, aggiornandosi sulle misure di sicurezza e sui rischi.

In merito a quanto designato da questo soggetto, l’articolo 37 del GDPR prevede che: Il titolare del trattamento, e il responsabile di questo, designino in modo sistematico un responsabile per la protezione dati, in ogni caso in cui:

• Il trattamento viene eseguito da un organismo pubblico o da un’autorità pubblica, sono escluse le autorità giurisdizionali e quelle che esercitano funzioni nel campo della giustizia
• Le attività principali del titolare del trattamento o del responsabili prevedono trattamenti che per loro natura, ambito, applicazione e finalità necessitano del monitoraggio sistematico e regolare degli interessati su un ampio spettro
• le attività principali del trattamento o del responsabili del trattamento su larga scala, di categorie particolari di dati personali, cui l’articolo 9 (che riguarda i cosiddetti dati sensibili in ambito etnico, politico, religioso, orientamento sessuale e filosofico) o di dati relativi a condanne penali e reati previsti dall’articolo 10.

In tutti i casi elencati è necessario che un DPO si occupi correttamente del trattamento dati specie se opera su larga scala. 

DPO: cosa deve fare?

Il DPO o Data Protection Officer è un professionista che può operare sia come libero professionista sia come dipendente nel campo del trattamento dati sensibili con competenze giuridiche, informatiche, analisi dei processi e di risk management. Il compito principale è quello di valutare, osservare e organizzare al meglio la gestione del trattamento dati personali e della sua protezione all’interno dell’azienda sia pubblica sia privata.

L’articolo 39 del Regolamento Europeo sulla protezione dei dati personali, tra i compiti principali del DPO elenca gli incarichi del professionista, ossia:

1. Fornire consulenza al titolare del trattamento, al responsabile e ai dipendenti che eseguono il trattamento in merito agli obblighi che derivano dal regolamento attuato dall’Unione Europea e dagli Stati membri relativo alla protezione dei loro dati.
2. Sorvegliare il regolamento e tutte le disposizioni dell’Unione Europea e dei suoi stati membri relativo alla protezione dati e alle politiche del titolare del trattamento o responsabile di questo, in materia di protezione dei dati personali, compresi anche le attribuzioni di responsabilità, la sensibilizzazione e la formazione del personale.
3. Fornire, nel caso in cui lo si abbia richiesto, un parere in merito alla valutazione dell’impatto sulla protezione dati e sorvegliare lo svolgimento ai sensi dell’articolo 35.
4. Cooperare con l’autorità di controllo 
5. Fungere da punto di contatto per le autorità di controllo comprese le questioni che sono connesse al trattamento dati, compresa la consultazione preventiva da effettuare in caso di consultazioni relative ad altre questioni. 

Come scegliere il DPO

Secondo le indicazioni del Garante della Privacy, il responsabile della protezione dati personali non deve iscriversi ad un apposito albo professionale, ed anche se non sono previste formali attestazioni, sia le pubbliche amministrazioni sia i soggetti privati devono scegliere un Responsabile della Protezione dati con molta attenzione, verificando anche la presenza di esperienza e competenze specifiche. 

Dunque, il DPO dovrà avere una conoscenza approfondita in materia di privacy, conoscere la normativa europea e il GDPR, essere in grado di padroneggiare le norme e le procedure amministrative caratterizzate nello specifico settore nel quale opera. Inoltre, si consiglia di scegliere soggetti che siano in grado di dimostrare le loro qualità professionali e le esperienze idonee alla complessità del compito che bisogna svolgere.

Considerato che il DPO può essere anche dipendente dell’azienda o dell’Ente è possibile anche far seguire a qualcuno che lavora già in azienda un corso specifico per fargli assumere le competenze necessarie. In quanto è difficile che all’interno dell’ente o azienda sia già presente una figura con i requisiti richiesti dalla normativa in vigore dopo il GDPR. 

Vuoi rimanere aggiornato nel campo della privacy, continua a seguire il nostro blog! Se invece vuoi diventare uno specialista del settore Clicca Qui e scopri il corso in Privacy Specialist DPO di Musa Formazione.