Indagini per Aziende: Il Responsabile Protezione Dati (DPO)

Chi è il DPO, quali sono i requisiti previsti per ricoprire tale posizione, in quali casi è previsto e quali funzioni esplica:

La rapidità dell’evoluzione tecnologica e la globalizzazione hanno comportato effetti tanto positivi quanto negativi. Tra questi ultimi vi è da segnalare il notevole rischio al quale sono esposti i dati personali. La portata della condivisione e della raccolta di tali dati è infatti aumentata in modo significativo e tanto le imprese, quanto le Pubbliche Amministrazioni hanno oggi il potere di gestire e di utilizzare una quantità impressionante di informazioni sensibili rispetto al passato. Le persone fisiche oggigiorno rendono sempre più spesso disponibili contenuti ed informazioni strettamente personali e, proprio per questo motivo, è necessario dunque prevedere delle misure di sicurezza per la protezione di tali dati.

Il Regolamento UE 679/2016 ha risposto a questa esigenza introducendo la figura professionale del Data Protection Officer (DPO) al fine di garantire un’effettiva protezione di queste informazioni. Nello specifico, per DPO si intende il Responsabile della Protezione dei Dati (RPD). Tale provvedimento, entrato in vigore il 25 maggio 2016, si applicherà a tutti i 28 Stati membri UE a decorrere dal 25 maggio 2018.

L’introduzione del DPO non è una novità assoluta nel panorama legislativo europeo. Nonostante infatti nessuna legge comunitaria abbia mai previsto fino ad ora l’obbligatorietà di tale figura professionale, molti Stati dell’Unione l’avevano già ufficializzata recependo la direttiva 95/46/CE. Si pensi ad esempio al mondo anglosassone, in cui questo soggetto è conosciuto sotto diversi nomi: Chief Privacy Officer (CPO); Privacy Officer, Data Protection Officer o Data Security Officer.

Il DPO o RPD viene selezionato in base alle sue qualità professionali e alla sua preparazione in ambito di trattamento dati. Tale figura può essere selezionata tra i dipendenti del titolare del trattamento oppure può essere un libero professionista, esterno e autonomo, ingaggiato in base a un contratto di servizi. Il Responsabile della protezione dei dati, nominato dal titolare del trattamento o dal responsabile del trattamento, per ricoprire tale ruolo dovrà possedere i seguenti requisiti:

• possedere un’adeguata conoscenza della normativa e delle prassi di gestione dei dati personali, anche in termini di misure tecniche e organizzative o di misure atte a garantire la sicurezza dei dati. Non sono richieste attestazioni formali o l’iscrizione ad appositi albi professionali, anche se la partecipazione a master e a corsi di studio/professionali può rappresentare un utile strumento per valutare il possesso di un livello adeguato di conoscenze;
• adempiere alle sue funzioni in piena indipendenza e in assenza di conflitti di interesse;
• operare alle dipendenze del titolare o del responsabile oppure sulla base di un contratto di servizio (RPD/DPO esterno).

Il titolare o il responsabile del trattamento dovranno mettere a disposizione del Responsabile della protezione dei dati le risorse umane e finanziarie necessarie all’adempimento dei suoi compiti.

Tale Regolamento prevede dunque che il DPO debba possedere un insieme di competenze (giuridiche, informatiche, di risk management, di analisi dei processi, ecc.) in modo da assicurare un’effettiva messa in sicurezza di questi dati. La sua responsabilità principale è infatti quella di osservare, valutare e organizzare la gestione del trattamento di dati personali, e dunque la loro protezione, all’interno di un’azienda (sia essa pubblica che privata), affinché questi siano trattati nel rispetto delle normative della privacy europee e nazionali.

Il Regolamento, che obbliga aziende e Pubbliche Amministrazioni che trattano dati critici o su larga scala a dotarsi di tale professionista, prevede che dovrà esser designato obbligatoriamente un RPD o DPO dal titolare e dal responsabile del trattamento dati in tre occasioni: quando il trattamento è effettuato da amministrazioni pubbliche, da enti pubblici o da organismi pubblici (fatta eccezione per le autorità giudiziarie nell’esercizio delle loro funzioni).

NOTE

[1] Un gruppo di imprese o soggetti pubblici possono nominare un unico RPD. [2] Nonostante le garanzie di autonomia e indipendenza sancite dalla legge, bisogna chiedersi effettivamente quanti dipendenti sarebbero pronti a denunciare comportamenti o valutazioni errate del titolare e del responsabile del trattamento al top manager. [3] Qualora la valutazione d’impatto indichi che il trattamento presenta un rischio elevato in assenza dell’adozione di apposite misure di attenuazione del rischio, il titolare del trattamento deve consultare l’autorità di controllo competente prima di iniziare il trattamento. In tale occasione il titolare non deve limitarsi a inviare la sola valutazione d’impatto, ma anche tutte le altre informazioni circa il trattamento e i soggetti che ne saranno i titolari-responsabili.