Il Responsabile della protezione dei dati (Data Protection Officer – DPO)
La figura del Responsabile della protezione dei dati non era stata istituita dal Codice della Privacy (d.lgs. n. 196/2003), con il nuovo regolamento UE sulla protezione dei dati personali la predetta figura è divenuta obbligatoria per cui è ora necessario introdurre tale nuova figura professionale seguendo non solo i dettami del Regolamento UE, ma anche considerando il contesto legislativo nazionale.
Il Garante per la protezione dei dati personali ha aggiornato i dati relativi alla figura del Responsabile della protezione dei dati(Data Protection Officer) in base al Regolamento (UE) 2016/679 concernente la tutela delle persone fisiche con riguardo al trattamento dei dati personali e la libera circolazione di tali dati. Il Regolamento è entrato in vigore il 24 maggio 2016 e diventerà direttamente applicabile in tutti gli Stati membri a partire dal 25 maggio 2018
I REQUISITI
Il Responsabile della protezione dei dati è un professionista con conoscenze specialistiche della normativa e delle prassi in materia di protezione dati, nominato dal titolare del trattamento o dal responsabile del trattamento, dovrà:
1. possedere un’adeguata conoscenza della normativa e delle prassi di gestione dei dati personali;
2. adempiere alle sue funzioni in piena indipendenza ed in assenza di conflitti di interesse;
3. operare alle dipendenze del titolare o del responsabile oppure sulla base di un contratto di servizio.
Il titolare o il responsabile del trattamento dovranno mettere a disposizione del Responsabile della protezione dei dati le risorse umane e finanziarie necessarie all’adempimento dei suoi compiti.
Pertanto il DPO deve essere selezionato e scelto in base alle sue qualità professionali e in particolar modo il titolare e il responsabile del trattamento devono considerare la preparazione del DPO in ambito di trattamento dati, sia sul piano teorico che su quello pratico. Il responsabile della protezione dei dati può essere selezionata tra i dipendenti del titolare del trattamento oppure può essere un libero professionista, esterno e autonomo, ingaggiato in base a un contratto di servizi.
In ogni caso, i dati di contatto del DPO devono essere pubblicati e resi noti agli interessati oltre ad essere comunicati all’autorità di controllo competente.
INSORGENZA dell’OBBLIGO di NOMINA
Dovranno designare obbligatoriamente un Responsabile della protezione dei dati:
a) amministrazioni ed enti pubblici, fatta eccezione per le autorità giudiziarie;
b) tutti i soggetti la cui attività principale consiste in trattamenti che, per la loro natura, il loro oggetto o le loro finalità, richiedono il controllo regolare e sistematico degli interessati;
c) tutti i soggetti la cui attività principale consiste nel trattamento, su larga scala, di dati sensibili, relativi alla salute o alla vita sessuale, genetici, giudiziari e biometrici.
Nei casi in cui la nomina del DPO non è obbligatoria è comunque facoltà del titolare del trattamento o del responsabile del trattamento poter comunque designare un Responsabile della protezione dei dati anche in casi diversi da quelli sopra indicati.
Anche un gruppo di imprese o soggetti pubblici possono nominare un unico Responsabile della protezione dei dati.
I COMPITI del RESPONSABILE della Protezione dati
Il Responsabile della protezione dei dati, ai sensi dell’art. 39 del Regolamento (UE) 2016/679 dovrà:
a) informare e consigliare il titolare o il responsabile del trattamento, nonché i dipendenti, in merito agli obblighi derivanti dal Regolamento europeo e da altre disposizioni dell’Unione o degli Stati membri relative alla protezione dei dati;
b) verificare l’attuazione e l’applicazione del Regolamento, delle altre disposizioni dell’Unione o degli Stati membri relative alla protezione dei dati nonché delle politiche del titolare o del responsabile del trattamento in materia di protezione dei dati personali, inclusi l’attribuzione delle responsabilità, la sensibilizzazione e la formazione del personale coinvolto nelle operazioni di trattamento, e gli audit relativi;
c) fornire, se richiesto, pareri in merito alla valutazione d’impatto sulla protezione dei dati e sorvegliare i relativi adempimenti;
d) fungere da punto di contatto per gli interessati in merito a qualunque problematica connessa al trattamento dei loro dati o all’esercizio dei loro diritti;
e) fungere da punto di contatto per il Garante per la protezione dei dati personali oppure, eventualmente, consultare il Garante di propria iniziativa.
Il DPO per tutte le questioni inerenti la protezione dei dati deve essere tempestivamente e adeguatamente coinvolto ed inoltre va sostenuto nell’esecuzione dei suoi compiti dal titolare e dal responsabile del trattamento che gli devono fornire tutte le risorse necessarie sia per svolgere il suo lavoro, sia per permettergli di mantenere aggiornata la sua conoscenza specialistica.
Il DPO deve svolgere i propri compiti in assoluta autonomia e indipendenza, per cui nessuno può dargli alcuna istruzione circa l’esecuzione dei suoi compiti e il responsabile della protezione dati non può svolgere altre mansioni o compiti in conflitto di interessi con quelle proprie del DPO, essendo tenuto in ogni caso al segreto e alla riservatezza in ordine alle sue funzioni di responsabile della protezione.
