Il GDPR, Regolamento Europeo sul trattamento dati personali (2016/679) , avrà piena applicabilità a partire dal 25 Maggio 2018. Il Testo introduce una specifica figura professionale denominata DPO, acronimo per Data Protection Officer, professione non nuova in Europa ma assoluta novità nel nostro paese.

Il DPO viene designato dal titolare e dal responsabile trattamento dati ed è un professionista con conoscenze specialistiche della normativa e delle prassi in materia di protezione dati, conoscenze in ambito informatico e di analisi dei processi. Il Garante della privacy sottolinea, però, come al DPO non siano richieste specifiche attestazioni formali o l’iscrizione in appositi albi professionali, quindi Enti pubblici e società private dovranno scegliere questa figura professionale valutando autonomamente il possesso dei requisiti necessari.

Il titolare del trattamento e il responsabile del trattamento dati devono fornire al DPO tutte le informazioni e le risorse necessarie a svolgere il suo lavoro in piena indipendenza: infatti il GDPR prevede che il Data Protection Officer abbia ampia autonomia decisionale.

Ma quali sono i compiti minimi del DPO? Essi vengono esplicitati nell’art 39 del GDPR:

• informare e fornire consulenza al titolare e al responsabile del trattamento in merito agli obblighi derivanti dal Regolamento 679/2016 o dalle altre disposizioni legislative interne o europee in materia di protezione dati;
• sorvegliare l'osservanza del Regolamento da parte del titolare e del responsabile del trattamento in tutte le sue parti, compresi l'attribuzione delle responsabilità, la sensibilizzazione e la formazione del personale che partecipa al trattamento e alle connesse attività di controllo;
• fornire su richiesta pareri in merito alla valutazione d'impatto sulla protezione dei dati e sorvegliarne lo svolgimento;
• cooperare con l'autorità di controllo;
• fungere da punto di contatto per l'autorità di controllo per questioni connesse al trattamento, tra cui la consultazione preventiva, ed effettuare, se del caso, consultazioni relativamente a qualunque altra questione.

La prima azione in seguito alla nomina riguarda l’analisi dei meccanismi di raccolta e conservazione dei dati personali e la valutazione dei rischi connessi al fine di mappare in modo puntuale la realtà esistente; in seguito il DPO avrà il compito di correggere le criticità e controllare l’adeguamento alla normativa vigente. Tra i suoi compiti è fondamentale il ruolo di intermediario con l’autorità, in particolar modo per tutte le questioni che riguardano la consultazione preventiva e per qualsiasi analisi richiesta per attestare la conformità con le norme vigenti. Il DPO svolge anche funzione di interfaccia tra l’interessato ed il titolare del trattamento dati: per questo i dati di contatto del DPO devono essere pubblicati ed essere comunicati agli interessati e all’autorità di controllo competente.

Nella Normativa (art 37) sono elencati i casi in cui la nomina del DPO è obbligatoria:

• nel caso in cui il trattamento è effettuato da un’autorità pubblica o da un organismo pubblico;
• se i trattamenti richiedono un monitoraggio regolare e sistematico di dati su larga scala;
• se i trattamenti riguardano categorie particolari di dati personali (elencati nell’art. 9: relativi alla salute, alla vita sessuale, genetici, giudiziari e biometrici) o dati relativi a condanne penali e a reati di cui all’art 10.

Fondamentale, infine, sottolineare come il DPO ha il compito di tutelare i dati personali e non gli interessi del titolare del trattamento; è responsabile solo per lo svolgimento dei suoi obblighi di consulenza ed assistenza verso il titolare che resta il solo a rispondere delle eventuali violazione del GDPR.