Data Protection Officer (DPO): chi è, cosa fa e come diventarlo

Chi è il DPO (Data Protection Officer)?

Il DPO, o Responsabile per la Protezione dei Dati (RPD) è una figura che è stata introdotta dal nuovo regolamento europeo riguardo il trattamento dei dati personali (art. 37 GDPR).

Questa figura è essenziale per garantire una gestione corretta delle informazioni personali degli utenti che hanno a che fare con un’azienda o un’organizzazione. In questo articolo vogliamo parlarti di questa figura, di cosa si occupa e in come diventarlo.

Cosa fa il data protection officer?

Il data protectin officer può essere considerato come l’evoluzione di una figura già prevista in passato, il privacy officer. Quest’ultimo era previsto da una direttiva europea 95/46 e consentiva agli Stati Uniti di avere semplificazioni o esenzioni in caso di soggetti indipendenti che assicuravano la corretta applicazione della normativa.

Oggi, il DPO è un consulente esperto, una figura in grado di affiancare il titolare in tutto ciò che concerne la gestione delle problematiche legate al trattamento dei dati personali. Essendo una figura qualificata è sempre aggiornata sui rischi e sulle misure di sicurezza, tenendo sempre in considerazione l’elevata complessità della materia e l’importanza della sua applicazione.

Di cosa si occupa nello specifico? Avendo un ruolo consultivo, i suoi compiti prevendono:

• informare e consigliare il titolare, o il responsabile del trattamento e i dipendenti, su tutto ciò che riguarda gli obblighi previsti dalla legge;
• dare un parere e assistere il titolare qualora sia necessaria una valutazione dell’impatto sulla protezione dei dati e il controllo sugli adempimenti;
• verificare che le norme vengano attuate e applicate correttamente;
• rappresentare un punto di contatto per tutti gli interessati, per qualunque problematica legata ai dati o all’esercizio dei diritti;
• dare supporto e cooperare con le autorità di controllo.

È importante ricordare che il DPO non è considerato personalmente responsabile nei confronti dei terzi dell’inosservanza degli obblighi. Questo compito spetta al titolare, così come espresso dall’articolo 24. Il DPO dovrà rispondere solo di obblighi legati alla consulenza e all’assistenza nei confronti del titolare.

Avere un DPO in azienda è obbligatorio?

La nomina del DPO è definita dal titolare o dal responsabile del trattamento e deve essere comunicata all’Autorità di controllo nazionale. Avere un DPO è obbligatorio solo in alcune circostanze, espresse nell’articolo 37 del GDPR. Le organizzazioni che non sono presenti in questo elenco possono scegliere se nominare un DPO oppure no.

L’obbligo di nomina è presente se:

• in caso di amministrazioni ed enti pubblici, escluse le autorità giudiziarie nell’esercizio delle proprie funzioni;
• quando il soggetto svolge come attività principale il trattamento dei dati che hanno una natura o una finalità che necessitano di un monitoraggio costante e sistematico degli interessati su larga scala;
• nel caso in cui l’attività principale consista nel trattamento su larga scala di dati sensibili, biometrici, giudiziari, oppure legati alla salute o alla vita sessuale del soggetto.

Come diventare “Data Protection Officer”

Per diventare Data Protection Officer non è necessario iscriversi ad alcun albo e non esiste alcun attestato specifico da avere in seguito a corsi con programmi di formazione stabiliti per legge. Per rivestire questo incarico è necessario però avere una conoscenza profonda della materia, della normativa sulla privacy e delle procedure amministrative da seguire. Per questo motivo è importante seguire un corso DPO che fornisce tutte le informazioni base sui compiti che spettano al DPO e sulla normativa di riferimento.