In seguito all’entrata in vigore del GDPR, diverse società si sono trovate nella condizione di dover modificare il proprio organigramma privacy, che è stato integrato con l’aggiunta del Data Protection Officer, una figura che a dir la verità era già presente in diverse legislazioni del panorama europeo. Un esempio fra i tanti è quello degli ordinamenti anglosassoni, che contemplano la presenza del Data Security Officer, del Privacy Officer e del Chief Privacy Officer.

Cosa prevede la legge

Il Data Protection Officer rappresenta, dal 25 maggio del 2018, un obbligo in tutti e 28 i Paesi che fanno parte della Ue, inclusa ovviamente l’Italia. Si tratta di una figura di fondamentale importanza dal punto di vista della tutela dei dati personali, anche perché altamente qualificata. Chi svolge questo ruolo deve, fra l’altro, essere dotato di specifiche competenze non solo in ambito giuridico e nel settore informatico, ma anche per ciò che concerne l’analisi dei processi e la valutazione del rischio. La più importante mansione che spetta al Data Protection Officer è quella di osservare il trattamento dei dati personali, gestirlo e valutarlo in maniera che le norme in vigore in materia di privacy a livello nazionale ed europeo vengano rispettate.

I requisiti

Quali sono, nel dettaglio, le qualifiche richieste a un dipendente che riceva la nomina di Data Protection Officer? In linea di massima è auspicabile che si tratti di una figura interna, e in tal caso la designazione dovrebbe essere conferita – prendendo in considerazione il livello di complessità dei trattamenti e le caratteristiche della struttura organizzativa – a un dirigente o a un funzionario professionale, in grado di svolgere i propri compiti in modo indipendente e autonomo, oltre che collaborando con i vertici. Per quel che riguarda la necessità di evitare i potenziali conflitti di interessi, è stato stabilito che il ruolo di Data Protection Officer non possa essere assegnato al direttore delle risorse umane, al direttore marketing, al responsabile sanitario, al responsabile finanziario, al responsabile operativo o all’amministratore delegato.

Le responsabilità del Data Protection Officer

Se vuoi sapere a chi rivolgerti per fruire di corsi di formazione per i Data Protection Officer, clicca qui. Nelle prossime righe, invece, prenderemo in esame le principali mansioni di questa figura, la cui responsabilità più importante consiste nel sovrintende le modalità con le quali il trattamento dei dati personali viene gestito, tanto nelle aziende private quanto nelle aziende pubbliche, in modo che tali informazioni vengano trattate in base a quanto previsto dalle norme in vigore. Il Data Protection Officer deve, tra l’altro, informare il responsabile e il titolare del trattamento a proposito degli obblighi di legge che derivano dalle norme europee; inoltre deve verificare che il responsabile e il titolare del trattamento osservino il regolamento, formando il personale e sensibilizzandolo a tal fine. Ancora, il Data Protection Officer è tenuto a collaborare con l’autorità di controllo e a fornire pareri in merito alla valutazione di impatto riguardante la protezione dei dati.

Obblighi ed esigenze

Il Data Protection Officer, pertanto, deve essere un soggetto qualificato che possa vantare doti significative dal punto di vista organizzativo e manageriale, così che possa consigliare al responsabile o al trattamento dei dati le modifiche più utili dal punto di vista organizzativo e tecnico. In mancanza di regole certe, allo stato attuale, non è possibile indicare con precisione e in maniera assoluta quali sono le aziende per le quali è obbligatoria la presenza del Data Protection Officer. Non ci sono, infatti, paletti precisi riguardanti l’obbligo di applicare le regole relative a tale figura, il che vuol dire che le aziende si trovano ad applicare la legge come ritengono opportuno, esponendosi però alla discrezionalità degli organismi di controllo.

Cosa prevede la legge

L’articolo 37 del GDPR indica che la nomina del Data Protection Officer è obbligatoria nel momento in cui la core activity svolta dal responsabile o dal titolare del trattamento preveda un monitoraggio su larga scala per i trattamenti o il trattamento di dati riguardanti reati e condanne penali. Non è chiaro, però, a che cosa si fa riferimento quando si parla di core activity, e in particolare se essa debba rappresentare unicamente l’oggetto dell’attività imprenditoriale oppure no.