GDPR: Il ruolo del Data Protection Officer “DPO”
La figura del responsabile della protezione dei dati (DPO), disciplinata dall’art. 37 del GDPR, rappresenta un consulente esperto che va ad affiancare il titolare nella gestione delle problematiche del trattamento dei dati personali, garantendo che un soggetto qualificato si occupi della materia, aggiornandosi sui rischi e le misure di sicurezza.
Non esiste alcun obbligo di nominare quale DPO dei soggetti che abbiano attestati o partecipazioni a corsi di formazione, né esiste alcun albo professionale, quanto piuttosto necessita l’approfondita conoscenza della normativa e delle prassi in materia di privacy, nonché delle norme e delle procedure amministrative che caratterizzano lo specifico settore di riferimento.
Il compito di Data Protection Officer può essere affidato ad uno dei dipendenti dell’azienda (con specifico atto di designazione) ma può anche essere esternalizzato a un fornitore di servizi (libero professionista o azienda) tramite apposito contratto di servizi, nel qual caso dovrà essere nominato anche responsabile del trattamento.
La designazione è obbligatoria in tre casi:
- Per le amministrazioni e gli enti pubblici(eccetto le autorità giudiziarie nell’esercizio delle loro funzioni);
- Se l’attività principale svolta dal titolare o dal responsabile del trattamento consiste nel trattamento di dati che per la loro natura, oggetto o finalità, richiedono il controllo regolare e sistematico degli interessati su larga scala;
- Se l’attività principale consiste nel trattamento su larga scala di dati sensibili, relativi alla salute, alla vita sessuale, genetici, giudiziari e biometrici.
Tra i sui compiti principali vi è quello di informare e fornire consulenza in merito agli obblighi derivanti dal GDPR, sorvegliare l’osservanza del GDPR e fornire, se richiesto, un parere in merito alla valutazione d’impatto sulla protezione dei dati e sorvegliarne lo svolgimento ai sensi dell’articolo 35 del GDPR.
Il ruolo del DPO è di tutelare i dati personali e deve adempiere alle proprie funzioni in piena autonomia e indipendenza in assenza di conflitti di interesse. Lo stesso però, non è personalmente responsabile nei confronti dei terzi dell’inosservanza degli obblighi in materia di protezione dei dati personali. Infatti il DPO risponde solo per lo svolgimento dei suoi obblighi di consulenza ed assistenza nei confronti del titolare ed è compito del titolare mettere in atto le misure tecniche ed organizzative adeguate.