Data Protection Officer: chi è e che cosa fa?

DPO significato, caratteristiche e responsabilità

Il General Data Protection Regulation, meglio noto come GDPR, ha introdotto in Europa il concetto di Responsabile della Protezione dei Dati, in inglese Data Protection Officer (DPO), il cui compito è quello di garantire che l’organizzazione tratti i dati personali del suoi dipendenti, clienti, fornitori o di qualsiasi altra persona nel rispetto delle norme applicabili in materia di protezione dei dati.

Data Protection Officer chi è e perché è una figura indispensabile per le aziende? Il GDPR impone alla maggior parte delle organizzazioni che gestiscono informazioni private di persone di nominare un dipendente incaricato di supervisionare la conformità dell’organizzazione al Regolamento UE 2016/679. L’assunzione di un DPO evita pesanti sanzioni che possono corrispondere al 4% del fatturato o a 20 milioni di euro.

La designazione del Data Protection Officer è obbligatoria nei seguenti casi:

Amministrazioni, enti pubblici e autorità giudiziarie nell’esercizio delle loro funzioni;
Tutti i soggetti la cui attività principale consiste in trattamenti che, per la loro natura, il loro oggetto o le loro finalità, richiedono il monitoraggio regolare e sistematico degli interessati su larga scala;
Tutti i soggetti la cui attività principale consiste nel trattamento, su larga scala, di dati sensibili, relativi alla salute o alla vita sessuale, genetici, giudiziari e biometrici.

Il Responsabile della Protezione dei Dati, le cui responsabilità di informare, controllare e cooperare sono descritte nell’art.39 del Regolamento, deve possedere un’approfondita conoscenza delle leggi e delle pratiche in materia di protezione dei dati, svolgere i propri compiti in modo totalmente indipendente e in assenza di conflitti di interesse (è preferibile che, ad esempio, il DPO non sia un dipendente con contratto a breve o a tempo determinato).

L’azienda deve mettere a disposizione personale e risorse per sostenere il DPO nello svolgimento dei suoi compiti, il quale deve avere accesso immediato a tutti i dati personali e alle operazioni di trattamento dei dati.

Ricapitolando, non sono le dimensioni di un’organizzazione a rendere necessario un DPO, ma le dimensioni e la portata del trattamento dei dati. Il GDPR non definisce in modo specifico cosa si intenda per trattamento di dati su “larga scala”, tuttavia ci sono dei fattori chiave da tenere in considerazione:

Il numero di persone interessate, sia come numero specifico che come proporzione della popolazione rilevante;

Il volume dei dati e/o la gamma dei diversi dati trattati;
La durata dell’attività di trattamento dei dati;
L’estensione geografica dell’attività di trattamento.

Le linee guida elencano anche diversi esempi di trattamento su larga scala, tra cui il trattamento dei dati dei pazienti da parte di un ospedale, il trattamento dei dati dei clienti nel corso della normale attività commerciale da parte di una banca o il trattamento dei dati personali per la pubblicità comportamentale da parte di un motore di ricerca.

In definitiva, un’azienda può condurre un trattamento di dati su larga scala anche se le sue dimensioni relativamente modeste. E se per le organizzazioni più piccole non è possibile assumere un Data Protection Officer a tempo pieno? In questo caso, il DPO privacy può essere assunto e condiviso tra diverse organizzazioni più piccole, a condizione che sia facilmente raggiungibile da ognuna di loro e che possa svolgere efficacemente i propri compiti per ciascuna di esse.

Quali sono le responsabilità e i compiti del DPO?

Come indicato nell’articolo 39 del GDPR, le responsabilità del DPO includono, ma non si limitano a, quanto segue:

Educare l’azienda e i dipendenti sui requisiti di conformità;
Formare il personale coinvolto nel trattamento dei dati;
Condurre audit per garantire la conformità e affrontare potenziali problemi in modo proattivo;
Fungere da punto di contatto tra l’azienda e le autorità di vigilanza del GDPR;
Monitorare le prestazioni e fornire consulenza sull’impatto delle attività di protezione dei dati;
Mantenere registri completi di tutte le attività di trattamento dei dati condotte dall’azienda comprese le finalità di tutte le attività di trattamento, che devono essere rese pubbliche su richiesta;
Interfacciarsi con gli interessati per informarli su come vengono utilizzati i loro dati, sul loro diritto alla cancellazione dei dati personali e sulle misure adottate dall’azienda per proteggere i loro dati personali.

Quali competenze deve avere un Responsabile della Protezione dei Dati?

L’importanza e l’ampiezza dei compiti del DPO rendono la ricerca di un candidato qualificato è un compito essenziale per la conformità al GDPR. Sebbene il Regolamento UE 2016/679 non elenchi skills specifiche, lo stesso stabilisce che il livello di conoscenza ed esperienza richiesto al DPO deve essere determinato in base alla complessità delle operazioni di trattamento dei dati di cui deve occuparsi.

Ecco quindi quali sono alcune delle competenze da valutare quando si assume un Data Protection Officer:

Esperienza di oltre 5 anni nella gestione delle leggi sulla privacy a livello europeo e globale, compresa la stesura di politiche sulla privacy, disposizioni tecnologiche e attività di conformità;
Esperienza nella programmazione o nell’infrastruttura IT, compresa la certificazione degli standard di sicurezza delle informazioni;
Esperienza nell’esecuzione di audit di sistemi informativi, audit di attestazione e valutazioni del rischio;
Capacità di leadership e gestione di più progetti contemporaneamente;
Capacità di sapersi coordinarsi continuamente con più soggetti pur mantenendo la propria indipendenza;
Capacità di comunicazione che gli permettano di relazionarsi facilmente con diversi interlocutori, dal consiglio di amministrazione al personale fino alle autorità esterne;
Capacità di confrontarsi con le leggi e le tecnologie emergenti.

Le soluzioni Namirial per i DPO

Per evitare violazioni del GDPR e con l’obiettivo di elevare gli standard produttivi e l’efficienza dell’attività lavorativa, Namirial mette a disposizione dei DPO due soluzioni che rispondono ai requisiti del Regolamento Europeo: GdprDox e GdprXls.

Ecco quali sono le principali caratteristiche dei due strumenti Namirial:

GdprDox: è la piattaforma web dedicata a professionisti, consulenti e DPO che cercano una soluzione completa, dinamica ed efficiente. GdprDox è un alleato nella realizzazione del modello organizzativo privacy e aiuta a conseguire la conformità legale al GDPR: il suo scopo è quello di rendere più efficace la gestione di tutti gli adempimenti connessi e correlati;
GdprXls: è la soluzione gestionale privacy web-based, dedicata a studi e aziende che vogliono adempiere agli obblighi normativi senza pensieri, supportati da un team help-desk e materiale dedicato, rimanendo sempre aggiornati ed informati.