Consulenze e DPO

Il Data Protection Officer (DPO) è una figura introdotta dal Reg. Ue 679/2016 (GDPR), è una figura professionale con competenze giuridiche, informatiche e gestionali, la cui responsabilità principale è osservare, valutare e organizzare la gestione del trattamento di dati personali (e dunque la loro protezione) all’interno di un’organizzazione, affinché questi siano trattatati in modo lecito e pertinente, nel rispetto delle normative vigenti.

Per svolgere tali compiti, il DPO deve possedere un’adeguata conoscenza della normativa che regolamenta la gestione dei dati personali nel paese in cui opera. Deve dunque poter offrire ai propri vertici aziendali la consulenza necessaria per progettare, verificare e mantenere un sistema organizzato di gestione dei dati personali, curando l’adozione di un complesso di misure di sicurezza finalizzate alla tutela dei dati che soddisfino i requisiti di legge e assicurino sicurezza e riservatezza.

Il GDPR indica come obbligatoria all’interno delle aziende, la figura del Data Protection Officer (in italiano Responsabile della protezione dei dati) nei seguenti casi:

• il trattamento è effettuato da un’autorità pubblica o da un organismo pubblico, ad eccezione delle autorità giurisdizionali quando esercitano le loro funzioni giurisdizionali;
• le attività principali del Titolare del trattamento o del Responsabile del trattamento consistono in trattamenti che, per loro natura, ambito di applicazione e/o finalità, richiedono il monitoraggio regolare e sistematico degli interessati su larga scala;
• le attività principali del Titolare del trattamento o del Responsabile del trattamento consistono nel trattamento, su larga scala, di categorie particolari di dati personali (ex dati sensibili) o di dati relativi a condanne penali e a reati.

Alla luce di quanto sopra esposto, sicuramente tale obbligo ricade su istituti di credito, assicurazioni, sistemi di informazione creditizia, società finanziarie, società di informazioni commerciali, revisori contabili, società di recupero crediti, istituti di vigilanza, partiti e movimenti politici, sindacati, CAF e patronati, società di telecomunicazioni o distribuzione di energia elettrica o gas, imprese che si occupano di ricerca e selezione del personale, ospedali privati e altre attività operanti nel settore della salute, call center, aziende che offrono servizi televisivi a pagamento nonché quelle che forniscono servizi informatici.

Tuttavia il quadro normativo del GDPR non offre un’elencazione ben definita di quali siano effettivamente le realtà ricadenti in tale obbligo, in quanto le modalità attraverso le quali si può configurare un trattamento dei dati sono moltissime.

Per questo motivo anche l’Autorità Garante Privacy invita a considerare l’idea di dotarsi in qualunque caso di un DPO.

Il Regolamento Europeo 679/2016 indica i principali compiti del DPO (Responsabile della protezione dei dati):

• informare e fornire consulenza al Titolare del trattamento o al Responsabile del trattamento e ai dipendenti che eseguono il trattamento in merito agli obblighi derivanti dal Regolamento Privacy (GDPR), nonché da altre disposizioni dell’Unione o degli Stati membri relative alla protezione dei dati;
• sorvegliare l’osservanza del Regolamento Privacy (GDPR), di altre disposizioni dell’Unione o degli Stati membri relative alla protezione dei dati nonché delle politiche del Titolare del trattamento o del Responsabile del trattamento in materia di protezione dei dati personali, compresi l’attribuzione delle responsabilità, la sensibilizzazione e la formazione del personale che partecipa ai trattamenti e alle connesse attività di controllo;
• fornire, se richiesto, un parere in merito alla valutazione d’impatto sulla protezione dei dati e sorvegliarne lo svolgimento ai sensi dell’articolo 35 del GDPR;
• cooperare con l’autorità di controllo;
• fungere da punto di contatto per l’autorità di controllo per questioni connesse al trattamento, tra cui la consultazione preventiva di cui all’articolo 36 del GDPR, ed effettuare, se del caso, consultazioni relativamente a qualunque altra questione relativa al trattamento dei dati.

Nell’eseguire i propri compiti il Responsabile della protezione dei dati considera debitamente i rischi inerenti al trattamento, tenuto conto della natura, dell’ambito di applicazione, del contesto e delle finalità del medesimo.