Glossario
Che cos’è DPO (Data Protection Officer)?
Il DPO (Data Protection Officer, in italiano Responsabile della protezione dei dati o RPD) è la figura che sorveglia il rispetto del GDPR dentro un’organizzazione. Non decide i trattamenti: informa, consiglia, verifica e fa da punto di contatto con il Garante e con gli interessati. È disciplinato dagli articoli 37-39 del GDPR.
La nomina è obbligatoria in tre casi (art. 37.1): quando il trattamento è svolto da un’autorità o da un organismo pubblico, esclusi gli organi giurisdizionali; quando l’attività principale del titolare o del responsabile consiste in trattamenti che richiedono un monitoraggio regolare e sistematico degli interessati su larga scala; quando l’attività principale consiste nel trattamento su larga scala di categorie particolari di dati (art. 9) o di dati giudiziari (art. 10). Fuori da questi casi la nomina è facoltativa, ma se si designa un DPO volontariamente valgono comunque tutti gli obblighi degli artt. 37-39.
Il DPO deve poter operare in autonomia: riferisce al vertice, non riceve istruzioni sull’esercizio dei suoi compiti, non può essere rimosso o penalizzato per averli svolti, e non deve trovarsi in conflitto di interessi. È questo il motivo per cui il responsabile IT, il direttore HR o l’amministratore delegato non possono ricoprire il ruolo: deciderebbero i trattamenti che poi dovrebbero controllare.
Il DPO può essere un dipendente o un professionista esterno con contratto di servizi. Per molte PMI la seconda strada è l’unica praticabile: la norma chiede conoscenza specialistica della normativa e delle prassi in materia di protezione dati, proporzionata alla complessità dei trattamenti, e quella competenza va mantenuta aggiornata nel tempo.
Domande frequenti
Chi è obbligato a nominare il DPO?
Le autorità e gli organismi pubblici (esclusi gli organi giurisdizionali), chi svolge come attività principale un monitoraggio regolare e sistematico su larga scala degli interessati, e chi tratta su larga scala categorie particolari di dati o dati giudiziari. Sono i tre casi dell’art. 37.1 GDPR.
Il DPO può essere esterno all’azienda?
Sì. L’art. 37.6 GDPR consente espressamente che il DPO sia un professionista esterno, legato all’organizzazione da un contratto di servizi. I requisiti di indipendenza, competenza e assenza di conflitto di interessi restano identici a quelli del DPO interno.
Che cosa fa concretamente un DPO?
Informa e consiglia titolare, responsabile e dipendenti sugli obblighi; sorveglia l’osservanza del GDPR, comprese l’attribuzione delle responsabilità, la sensibilizzazione e la formazione del personale e gli audit; fornisce il parere sulla DPIA e ne sorveglia lo svolgimento; coopera con il Garante e funge da punto di contatto (art. 39).
Il responsabile IT può fare il DPO?
No, salvo casi limite. Chi definisce finalità e mezzi dei trattamenti (IT, HR, marketing, direzione) si troverebbe a controllare le proprie decisioni: è il conflitto di interessi vietato dall’art. 38.6, e le autorità di controllo europee lo hanno sanzionato più volte.
Fonti: Artt. 37-39 GDPR (Regolamento UE 2016/679) · Garante privacy — Responsabile della protezione dei dati (RPD)
Su questo ti affianchiamo: DPO – Data Protection Officer
Verificalo da solo: Verifica obbligo DPO
Termini collegati: DPIA (valutazione d’impatto sulla protezione dei dati) · Data breach (violazione di dati personali)