Con l’entrata in vigore del nuovo Regolamento europeo sul trattamento dei dati personali (GDPR), avvenuta il 25 maggio 2018, è stata introdotta una nuova figura che ha un ruolo chiave nell’applicazione della normativa: il Data Privacy Officer (DPO).

Chi è il DPO?

Il DPO è una persona che ha una conoscenza specialistica della normativa e delle pratiche in materia di protezione dei dati e che favorisce l’osservanza del Regolamento all’interno della struttura che lo ha nominato.

Più nello specifico, il Regolamento prevede i seguenti compiti per il DPO:

• informare e fornire consulenza al titolare e al responsabile, nonché ai dipendenti che eseguono il trattamento
• sorvegliare l’osservanza del Regolamento
• fornire, se richiesto, un parere in merito alla valutazione d’impatto e sorvegliarne lo svolgimento
• cooperare con l’autorità di controllo e fungere da punto di contatto con l’autorità per questioni connesse con il trattamento

I suddetti compiti sono quelli minimi previsti dalla normativa, ma nulla vieta che gli stessi vengano ampliati in accordo tra le parti.

Il DPO può essere un soggetto interno ma anche un soggetto esterno che svolge questa attività in maniera professionale.

Quando è obbligatorio nominare il DPO?

La nomina del DPO è obbligatoria:

• se il trattamento dei dati viene svolto da un’autorità pubblica o da un organismo pubblico (ad esempio tutti gli enti locali)
• se l’attività principale consiste in trattamenti che richiedono il monitoraggio regolare e sistematico di interessati su larga scala (ad esempio chi traccia l’ubicazione di un utente attraverso un’app installata sullo smartphone)
• se l’attività principale consiste in trattamenti su larga scala di categorie particolari di dati o di dati relativi a condanne penali e reati (ad esempio che tratta i dati relativi alla salute dei propri pazienti)

In tutti gli altri casi la nomina del DPO è meramente facoltativa.

Che requisiti deve avere il DPO?

Il DPO è designato in funzione delle proprie qualità professionali, in particolare:

• conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati
• capacità di assolvere i propri compiti

Il DPO dovrebbe conoscere lo specifico settore di attività e la struttura organizzativa del titolare del trattamento, avere buona familiarità con le operazioni di trattamento svolte nonché con i sistemi informativi e le esigenze di sicurezza e protezione dati manifestate dal titolare.

Nel caso di un’autorità pubblica o di un organismo pubblico, il DPO dovrebbe possedere anche una conoscenza approfondita delle norme e procedure amministrative applicabili.

È quindi di fondamentale importanza, per chiunque voglia intraprendere l’attività di DPO, lo svolgimento di un’adeguata attività formativa sull’attuale normativa di protezione dei dati personali e sulla correlata prassi, in particolar modo quella emanata dal Garante italiano.

Per approfondire

Sull’argomento il gruppo WP29 (l’insieme dei garanti europei, ora confluiti nel Comitato europeo per la protezione dei dati) ha emanato delle apposite linee guida che si possono reperire al seguente indirizzo: https://bit.ly/2CejOcc