Il DPO in realtà è l'evoluzione del responsabile della privacy o "privacy officer", figura prevista dalla direttiva europea 95/46 laddove, all'art. 18, che permetteva gli Stati dell'Unione Europea di avere delle semplificazioni in caso dell'individuazione di un soggetto terzo che garantiva il rispetto della Privacy. Di fatto il DPO acronimo di Data Protection Officer è un soggetto esperto di trattamento dei dati personali che affianca il titolare nella gestione delle problematiche del trattamento dei dati personali.
Devono nominare obbligatoriamente un Responsabile della Protezione dei Dati tutte le pubbliche amministrazioni ed enti pubblici, eccetto le autorità giudiziarie. L'obbligo riguarda anche tutti i soggetti (enti e imprese) che nelle loro attività principali trattano su larga scala dati sensibili, relativi alla salute o alla vita sessuale, genetici, giudiziari e biometrici, oppure che svolgono attività in cui i trattamenti richiedono il controllo regolare e sistematico degli interessati. Un gruppo di imprese o soggetti pubblici possono nominare un unico Responsabile della protezione dei dati. Le imprese, che non ricadono invece nell'obbligo di legge, possono comunque decidere di dotarsi ugualmente di un data protection officer. Il titolare del trattamento deve comunicare i dati di contatto del data protection officer all'Autorità di Controllo attraverso l'apposita procedura online.
l responsabile della protezione dei dati deve possedere conoscenza della normativa sulla gestione dei dati personali nel paese in cui opera (Legge sulla privacy).
Deve poter offrire la consulenza per progettare, verificare e mantenere un sistema organizzato di gestione dei dati personali, interagendo coi sistemi di gestione aziendali, per curare l'adozione di misure di sicurezza finalizzate alla tutela dei dati, che soddisfino i requisiti di legge e per evitare i rischi di distruzione o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta.
In ragione del fatto che l'acquisizione e la gestione dei dati personali avviene in modo preponderante per mezzo digitale, il responsabile della protezione dei dati deve possedere, oltre che competenze legali, anche competenze di carattere informatico.
Compiti
Secondo il testo del regolamento europeo sulla protezione dei dati personali, quando una persona viene designata come "responsabile della protezione dei dati", il titolare del trattamento dei dati (l'azienda o l'ente) deve assicurarsi che sia prontamente coinvolto, che adempia alle funzioni in piena indipendenza allo scopo di non creare un conflitto di interesse nello svolgimento del suo compito di vigilanza sull'attuazione e l'applicazione della normativa.[5] Il responsabile della protezione dei dati riferisce direttamente alla dirigenza e risponde gerarchicamente ad essa. Il responsabile del trattamento sostiene il titolare della protezione dei dati nel suo ruolo per l'esecuzione dei suoi compiti, fornendogli tutte le risorse necessarie, quali risorse finanziarie, personale, locali, attrezzature e quanto occorrente per adempiere alle funzioni.[6]. A seconda dell'organigramma stabilito dall'azienda o dall'ente, uno o più responsabili della protezione dei dati possono operare anche in gruppo, specialmente nei casi di grandi aziende e multinazionali, nelle quali può essere necessario ricorrere a più soggetti.
Ai sensi dell'art. 39 del regolamento europeo sulla protezione dei dati, il responsabile della protezione dei dati:
a. deve essere adeguatamente coinvolto in tutte le questioni riguardanti la protezione dei dati personali;
b. deve essere sostenuto dal titolare del trattamento e dal responsabile nell'esecuzione dei compiti assegnati;
c. deve avere le risorse necessarie per adempiere ai compiti assegnati;
d. deve poter accedere ai dati personali e ai trattamenti che riguardano la struttura in cui è inserito;
e. deve mantenere la sua conoscenza specialistica (corsi di aggiornamento);
f. deve essere indipendente nell'esercizio delle sue funzioni;
g. non deve essere penalizzato o rimosso per l'adempimento dei propri compiti;
h. è tenuto al segreto e alla riservatezza in merito all'adempimento dei propri compiti;
i. non può svolgere altre funzioni o compiti che determino un conflitto di interessi.
L'articolo 39 del regolamento europeo sulla protezione dei dati personali, elenca i compiti del responsabile della protezione dei dati, che sono almeno i seguenti:
a. informare e consigliare il titolare del trattamento o il Responsabile nonché i dipendenti;
b. sorvegliare l'osservanza del Regola-mento e delle altre leggi vigenti nell'Unione Europea in materia nonché delle policy;
c. fornire se richiesto un parere sulla valutazione di impatto sulla prote-zione dei dati personali e sorvegliare lo svolgimento;
d. fungere da punto di contatto per l'autorità di controllo per questioni connesse al trattamento di dati personali.
Come si può notare, è raro che una azienda di piccole o medie dimensioni abbia l'obbligo di nominare un DPO, ma è anche vero che oggi esistono aziende di piccole dimensioni che comunque trattano grandissime quantità di dati, grazie a strumenti informatici. Gli esempi possono essere parecchi, come un call center, oppure un centro commerciale che ha un impianto di videosorveglianza e che rientra nell'ipotesi di cui al numero 2.
Requisiti
Per la selezione del DPO sicuramente ci si può rifare alla norma UNI 11697:2017.
Obblighi del titolare verso il DPO
Vi sono numerosi obblighi che il titolare (o il responsabile) hanno verso il responsabile per la protezione dei dati, se nominato:
- supportare il DPO nell'esecuzione dei suoi compiti;
- fornire le risorse necessarie per l'esecuzione dei suoi compiti;
- consentire l'accesso ai dati e alle operazioni di trattamento;
- assicurare l'accesso del DPO ai massimi livelli manageriali dell'azienda;
- assicurarsi che gli altri compiti del DPO non interferiscano con la sua responsabilità primaria quale DPO;
- non fornire alcuna istruzione al DPO sui suoi compiti;
- non penalizzare o licenziare il DPO per l'esecuzione dei suoi compiti.
Compiti e responsabilità
Il DPO ha un ruolo consultivo, e svolge i seguenti compiti:
- informare e consigliare il titolare o il responsabile del trattamento, nonché i dipendenti, sugli obblighi previsti dalle norme in materia;
- verificare l’attuazione e l’applicazione delle norme;
- se richiesto, fornire pareri ed assistere il titolare in merito alla valutazione d’impatto sulla protezione dei dati e sorvegliare i relativi adempimenti;
- cooperare con le autorità di controllo;
- fungere da punto di contatto, non solo per l'autorità di controllo ma anche per gli interessati al trattamento, in merito a qualunque problematica connessa ai loro dati o all'esercizio dei loro diritti;
- consultare l'autorità di controllo anche di propria iniziativa.
Il DPO non è, però, personalmente responsabile dell'inosservanza degli obblighi in materia di protezione dei dati personali, infatti è compito del titolare (art. 24) mettere in atto le misure tecniche ed organizzative adeguate. Il DPO risponde solo per lo svolgimento dei suoi obblighi di consulenza ed assistenza nei confronti del titolare, che è (eventualmente in solido col responsabile) l'unico soggetto responsabile del rispetto della normativa. Il titolare, quindi, potrà solo avanzare pretese risarcitorie basate sulla responsabilità contrattuale, nei confronti del DPO.
Comunicazione all'Autorità di controllo
In base all'articolo 37, paragrafo 7 del regolamento europeo, il nominativo del DPO eventualmente designato deve essere comunicato all'Autorità di controllo (Garante per la protezione dei dati). Infatti, uno dei compiti principali del DPO è di fare da collegamento con l'Autorità.
L'obbligo scatta nel momento in cui si effettua la nomina.
Il nome del DPO andrà sicuramente inserito nel sito web dell'azienda, con i relativi contatti.
Sul sito del Garante è disponibile un modulo per la comunicazione del nominativo (link alla procedura online).
DPO nella prassi
Nella prassi il DPO definisce la policy (che ovviamente sarà approvata dal management) in materia di privacy dell'azienda, redigendo apposite istruzioni alle quali possano far riferimento i dipendenti che sono in dubbio. Questo è importante anche per evitare che ognuno si crei una propria interpretazione applicativa della normativa in materia. Nel documento saranno indicati gli obiettivi dell'azienda (in materia di data protection), le definizioni dei termini chiave della normativa, i principi della protezione dei dati, i ruoli e le responsabilità dei vari soggetti. Se il Data Protection Policy viene utilizzato anche per i trasferimenti dei dati tra le filiali dell'azienda, dovrà essere sottoposto all'approvazione dell'autorità di controllo, e poi potrà valere quale Binding Corporate Rules.
Il passo successivo è di condurre l'audit dei vari settori aziendali, per verificare se i trattamenti posti in essere sono conformi alla Policy. I membri di riferimento di ciascun settore, ovviamente, dovranno essere appositamente istruiti e preparati in materia.
Il DPO deve assicurarsi che l'azienda tenga il registro dei trattamenti e che sia costantemente aggiornato, anche se sono il titolare e il responsabile ad essere obbligati a tale adempimento e responsabilità nei confronti degli interessati e delle autorità di controllo. Inoltre, dovrà assicurarsi che l'azienda mantenga un registro o log delle richieste degli interessati, dei consensi ottenuti ed eventualmente revocati, Oltre ovviamente al registro dei data breach.