Il Garante della Privacy per aiutare le aziende private nell’ambito della nomina del DPO ha deciso di realizzare una FAQ dedicata a loro, che permette di delineare in modo chiaro preciso il ruolo del Data Protection Officer, i suoi compiti e la necessità o meno delle aziende private.

Quali sono i compiti della protezione dati personali? E chi è il DPO?

Il responsabile della Protezione dei dati personali, conosciuto anche con il nome di DPO, è una figura che è stata introdotta dall’articolo 3 del Regolamento Europeo 2016/679. Questo è un soggetto che viene designato dal responsabile del trattamento e dal titolare al fine di assolvere alle funzioni di controllo, consulto, supporto, informazione e formazione relativa all’applicazione del medesimo regolamento. Questo professionista deve cooperare con l’Autorità, per questo la sua nomina non solo è importante ma si deve anche comunicare al Garante della Privacy e costituisce un punto di contatto rispetto agli interessati, per questioni che sono connesse al trattamento dei dati personali, come previsto dall’articolo 38 e dall’articolo 39 del regolamento.

Quali sono i requisiti che deve avere il DPO?

Il responsabile per la protezione dei dati personali, al quale non vengono richieste delle specifiche attestazioni formali o l’iscrizione a un albo specifico, deve avere una conoscenza approfondita della normativa e delle prassi previste in materia di privacy. Non solo deve essere a conoscenza anche delle procedure amministrative e delle norme che sono caratterizzate da questo settore di riferimento.

Devi offrire anche un grado di professionalità adeguata al proprio compito, dev’essere in grado di svolgere delle consulenze nel campo della privacy. Il DPO deve anche mantenere organizzato e gestire al meglio i dati personali. Deve portare il titolare ad adottare delle misure, anche di sicurezza, e garantire il mantenimento corretto dei dati raccolti. Infine, questo professionista deve agire in modo autonomo e indipendente, senza ricevere delle istruzioni dal proprietario o titolare dell’azienda.

Quali sono i soggetti privati che devono designare un Responsabile dei Dati Personali?

Secondo il Regolamento Europeo, come previsto dall’articolo 37, devono designare un responsabile dei dati personali, tutte le attività che prevedono il trattamento e il monitoraggio regolare, sistematico e preciso di dati personali. In particolar modo, viene richiesta la nomina del DPO per quelle aziende che monitorano dati personali, dati relativi a reati e condanne penali. Dati questi presupposti devono nominare il DPO:

1. Istituti di credito
2. Imprese nel campo delle assicurazioni
3. Sistemi per l’informazione creditizia
4. Società per le informazioni commerciali
5. Società finanziarie
6. Società per le revisioni contabili
7. Istituto di vigilanza
8. Società per il recupero dei crediti
9. Patronati
10. Caf
11. Sindacati
12. Partiti e movimenti politici
13. Aziende che lavorano nel campo delle comunicazioni
14. Distribuzione di gas ed energia elettrica
15. Imprese per la somministrazione del lavoro e della ricerca del personale
16. Società che operano nel campo della cura della salute
17. Diagnostica e prevenzione sanitaria
18. Terme
19. Laboratorio d’analisi mediche
20. Centri di riabilitazione
21. Società di Call Center
22. Società che forniscono servizi informatici
23. Società che forniscono servizi televisivi a pagamento.

I gruppi imprenditoriali devono nominare un solo DPO?

Secondo quanto previsto dal Regolamento Europeo è necessario che il gruppo imprenditoriale possa designare un responsabile unico della protezione dati personali. Nonché questo responsabile sia facilmente raggiungibile da qualunque sia lo stabilimento. Inoltre, bisogna essere in grado a comunicare in modo efficace con le autorità di controllo.

Il responsabile della protezione dati dev’essere un professionista interno o esterno?

Il responsabile della protezione dati può essere un dipendente del titolare, a meno che non vi siano conflitti d’interessi e non ci sia una realtà operativa nel quale avvengono i trattamenti. L’incarico può essere affidato anche a soggetti esterni, a patto che venga garantito l’effettivo assolvimento dei compiti previsti dal Regolamento Europeo. Il responsabile del DPO dev’essere nominato con un atto di designazione se viene proclamato all’interno dell’azienda. All’esterno invece bisognerà fare un contratto di servizi. Questi atti, devono essere redatti in forma scritta, e bisogna indicare quali sono i compiti che gli sono stati attribuiti, le risorse che gli sono state assegnate e le informazioni dovute al contesto a cui si fa riferimento.

Il DPO può svolgere anche altri incarichi?

Il DPO o Responsabile del trattamento dati, come previsto dalla FAQ pubblicate dal Garante della Privacy può svolgere anche altri incarichi, a patto che non ci sia un conflitto d’interessi. Quindi il DPO non dovrebbe avere anche in carichi quali: amministratore delegato, direttore generale, membro del consiglio di amministrazione. Quindi non deve avere alcuna carica che gli dà poteri decisionali.

Il responsabile della protezione dati personali dev’essere per forza una persona fisica o si può essere anche soggetti diversi?

Infine, nelle FAQ del Garante della Privacy viene indicato come il Regolamento dell’Unione Europea prevede espressamente che il responsabile della protezione dati sia un dipendente o un professionista titolare di Partita IVA esperto nel campo della privacy. Ovviamente, nelle realtà di medie e grandi dimensioni, il responsabile della protezione dati personali, prevede che si individua una persona fisica, che possa essere supportata da un ufficio con le apposite competenze che gli permettano di assolvere ai propri compiti.

Vuoi continuare a rimanere aggiornato sulla privacy? Segui il nostro Blog! Se invece vuoi diventare un professionista nel settore privacy: scopri il Corso in Data Protection Officer di Musa Formazione.