DPO: chi è e quando è obbligatorio
Il DPO (Data Protection Officer), in italiano Responsabile della protezione dei dati (RPD), è la figura prevista dagli articoli 37–39 del GDPR che informa, consiglia e sorveglia l'organizzazione sul rispetto delle norme in materia di dati personali.
In breve
Il DPO non è il titolare del trattamento e non è il "responsabile del trattamento" (il fornitore che tratta dati per conto dell'azienda): è un consulente interno o esterno, indipendente, che controlla e consiglia. Le decisioni, e la responsabilità di rispettare il GDPR, restano al titolare.
Quando è obbligatorio
L'articolo 37 lo impone in tre casi:
- il trattamento è svolto da un'autorità pubblica o un organismo pubblico, eccetto le autorità giudiziarie nell'esercizio delle loro funzioni;
- le attività principali consistono in trattamenti che richiedono il monitoraggio regolare e sistematico degli interessati su larga scala;
- le attività principali consistono nel trattamento su larga scala di categorie particolari di dati (per esempio salute) o di dati relativi a condanne penali e reati.
Negli altri casi la nomina è facoltativa, ma se l'azienda nomina un DPO valgono le stesse regole. Il DPO può essere un dipendente o un professionista esterno con un contratto di servizi; i suoi dati di contatto vanno pubblicati e comunicati al Garante.
Requisiti e compiti
Deve avere conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati. L'articolo 38 ne tutela l'indipendenza: non riceve istruzioni sull'esecuzione dei propri compiti, non può essere rimosso o penalizzato per averli svolti, riferisce direttamente al vertice e non deve trovarsi in conflitto di interessi (per esempio chi decide finalità e mezzi dei trattamenti non può controllarli). L'articolo 39 elenca i compiti: informare e consigliare titolare e dipendenti, sorvegliare l'osservanza del GDPR (anche con audit e formazione), fornire pareri sulla valutazione d'impatto, cooperare con il Garante e fare da punto di contatto.
Perché è importante
Il DPO è spesso la persona che, durante un data breach, aiuta a valutare il rischio per gli interessati e a preparare la notifica entro 72 ore. Per farlo bene ha bisogno di strumenti aggiornati: il registro dei trattamenti, le nomine, le misure di sicurezza documentate. Nel CSIRT aziendale è utile che abbia un ruolo definito.
Esempio
Un poliambulatorio privato tratta ogni giorno dati sanitari di migliaia di pazienti: è un trattamento su larga scala di categorie particolari, quindi il DPO è obbligatorio. La direzione affida l'incarico a un consulente esterno, ne comunica i dati al Garante e li pubblica sul sito. Il DPO verifica il registro dei trattamenti, segnala che le cartelle cliniche sono conservate anche su una cartella condivisa accessibile a tutto il personale amministrativo e raccomanda di restringere gli accessi. La decisione, e la correzione, spettano al titolare.
Termini collegati
Dove lo trovi in Dottor Box
Il DPO trova in Dottor Box il registro dei trattamenti dell'articolo 30, la modulistica per nomine e informative e il registro delle violazioni. Anche Dottor Marc, come fornitore, ha nominato un proprio Responsabile della protezione dei dati.
Registro dei trattamenti
Il registro dell'articolo 30 GDPR, con i trattamenti proposti dall'analisi del tuo Drive.
Scopri di più GovernareModulistica GDPR
Nomine, informative e lettere di incarico per tutto il personale, generate in un passaggio.
Scopri di più ConformitàGDPR
Registro dei trattamenti, nomine, misure dell'art. 32 e data breach.
Scopri di più