Nel nuovo regolamento europeo in materia di protezione dei dati personali emerge la figura del Data Protection Officer – DPO (o RPD, Responsabile della Protezione dei Dati). In realtà, quella del DPO non è una novità assoluta in alcune legislazioni europee, come quella inglese ad esempio, dove già da anni esistono figure similari come quella di Chief Privacy Officer (CPO), Privacy Officer oltre alla figura di Data Security Officer. Il nostro Codice della Privacy (d.lgs. n. 196/2003) finora in vigore invece, non prevedeva una figura simile e quindi, per l’Italia, l’introduzione del DPO è a tutti gli effetti una novità. Ma vediamo di cosa si tratta. Il Data Protection Officer – altrimenti detto Data Protection Order - è un professionista con conoscenze specialistiche della normativa e delle prassi in materia di protezione dati che deve avere quindi particolari competenze in campo informatico, giuridico, di valutazione del rischio e di analisi dei processi. Il DPO deve perciò possedere le giuste competenze per poter intraprendere, a seconda delle diverse esigenze, tutte le azioni necessarie per massimizzare la sicurezza dei dati custoditi. Si può dunque affermare che il compito principale del DPO sia l’osservazione, la valutazione e la gestione del trattamento dei dati personali al fine di far rispettare le normative europee e nazionali in materia di privacy. Volendo entrare più nello specifico diremo anche che, considerato che la figura del DPO ha molteplici mansioni, il GDPR ha previsto che questo ruolo sia indipendente e abbia grande autonomia decisionale. In primo luogo, l’officer per la protezione dei dati fornisce consulenza al responsabile della conservazione e informa tutte le figure coinvolte, sia in merito alla normativa, sia riguardo alle soluzioni tecniche adottate per rispettare gli standard imposti dal nuovo Regolamento europeo. Appena nominato il DPO ha in primis il compito di analizzare i meccanismi di raccolta e conservazione dei dati applicati fino a quel momento. Dopo aver valutato la probabilità di perdite e tutti i possibili rischi, in relazione ai sistemi impiegati e alla particolare natura dei dati custoditi, il DPO produce un documento nel quale evidenzia anche l’eventuale necessità di un adeguamento tecnologico o di correttivi da apportare alle procedure in atto. Una volta svolta una mappatura della realtà in atto, il DPO si fa carico della redazione di un piano di aggiornamento e di manutenzione dei sistemi, aggiornandosi continuamente con l’evolversi delle normative in materia di privacy. Inoltre, compito del DPO, è anche quello di interfacciarsi con le autorità di controllo, per tutte le questioni che riguardano la consultazione preventiva, la possibilità di reperire i dati anche in caso di guasti e, più in generale, per qualsiasi verifica necessaria ad attestare la conformità con le norme previste dal GDPR. Quanto a chi possa essere designato come DPO la normativa dice - nell’art. 37, paragrafo 6 - che questo ruolo può essere affidato a risorse interne, purché queste abbiano i requisiti minimi previsti dal Regolamento UE. In alternativa, è possibile rivolgersi a consulenti esterni specializzati in privacy e tutela dei dati che assolvano i loro compiti in base ad un contratto di servizi. Le compagnie di grandi dimensioni, gli enti pubblici e tutti coloro che raccolgono Big Data, molto probabilmente designeranno den ruolo di DPO un ufficio strutturato, composto da più professionisti, da figure interne e consulenti esterni.
La presenza di un DPO non è comunque obbligatoria negli organigrammi di tutte le realtà aziendali. In tre casi tuttavia il GDPR ne impone per legge la nomina (art. 37, paragrafo 1):
1) Quando il trattamento dei dati è gestito da un Ente Pubblico
2) Quando l’azienda basa le proprie principali attività (core business) sul monitoraggio continuo e sistematico dei soggetti profilati
3) Quando le realtà imprenditoriali o le associazioni, nella loro operatività impiegano, su larga scala, dati personali, particolari tipologie di dati sensibili riferiti a situazioni economiche o patrimoniali e informazioni relative alla situazione giuridica dei soggetti
Da queste tre categorie perciò, sono escluse nella quasi totalità le piccole e medie imprese che, per raccogliere semplici dati sul web, attraverso una form di contatto, non avranno l’obbligo di dotarsi di un DPO.
Per gli enti o le aziende che abbiano quindi l’obbligo di nominare un DPO il GDPR prevede sanzioni severe con multe fino a 20 milioni di euro o per il 4% del fatturato mondiale annuo di una società.
È bene specificare tuttavia - per una più profonda comprensione delle finalità del GDPR - che, salvo ciò che è stato detto fin qui, quella del Data Protectionn Officer è una figura molto rilevante nell’azione di protezione dei dati personali, ma certamente non è il “centro” del sistema posto in essere dal GDPR, poichè il responsabile ultimo del trattamento dei dati rimane comunque sempre il Titolare del trattamento stesso. Oltre a ciò, quasi tutto ciò che si sa ad oggi sul DPO è frutto di interpretazione del gruppo degli esperti e dei garanti nazionali (WP29). In realtà, infatti, l’articolo 37 del Regolamento non specifica quali debbano essere nello specifico le qualità professionali necessarie a rivestire la figura del DPO. Si evince chiaramente, però, che il soggetto prescelto debba possedere comprovata esperienza sulla legislazione relativa alla protezione dei dati personali sia nazionale che europea, sulle prassi oltre che una approfondita conoscenza del Regolamento. Nel caso, poi, di un ente pubblico o di un organismo pubblico, il DPO dovrebbe anche avere una buona conoscenza delle regole e delle procedure dell’organizzazione amministrativa.
Il 25 Maggio 2108 è ormai alle porte: riusciranno le nostre aziende a vincere la sfida posta in essere dal nuovo regolamento europeo per la protezione dei dati personali?
Allit Srls - azienda di consulenza e formazione informatica - offre la propria consulenza per quella aziende che vogliano comprendere o approfondire la conoscenza della nuova normativa del GDPR e valutare le modalità per la messa a norma. Per maggiori informazioni potete contattarci al nostro numero 329/1621117 oppure scriverci all'indirizzo info@allit.it.
