DPO: il Responsabile della protezione dei dati

Quando è obbligatorio

L'art. 37 del Regolamento (UE) 2016/679 impone la designazione del Responsabile della protezione dei dati (DPO o RPD) quando:

• il trattamento è effettuato da un'autorità pubblica o da un organismo pubblico, eccettuate le autorità giurisdizionali nell'esercizio delle loro funzioni;
• le attività principali del titolare o del responsabile consistono in trattamenti che, per natura, ambito di applicazione o finalità, richiedono il monitoraggio regolare e sistematico degli interessati su larga scala;
• le attività principali consistono nel trattamento su larga scala di categorie particolari di dati o di dati relativi a condanne penali e reati.

Rientrano tipicamente in queste ipotesi, ad esempio, ospedali e case di cura e le imprese la cui attività principale consiste nel monitoraggio sistematico delle persone. Fuori dai casi obbligatori, la designazione volontaria è possibile e soggiace alle stesse regole.

Requisiti e designazione

Il DPO è designato in funzione delle qualità professionali, in particolare della conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati, e della capacità di assolvere i propri compiti (art. 37, par. 5). Può essere un dipendente o un soggetto esterno che opera sulla base di un contratto di servizi (par. 6). Il titolare pubblica i dati di contatto del DPO e li comunica al Garante (par. 7).

Compiti

L'art. 39 attribuisce al DPO almeno questi compiti:

• informare e fornire consulenza al titolare, al responsabile e ai dipendenti sugli obblighi derivanti dalla normativa;
• sorvegliare l'osservanza del Regolamento e delle politiche del titolare, compresi l'attribuzione delle responsabilità, la sensibilizzazione e la formazione del personale e i relativi audit;
• fornire, se richiesto, un parere sulla valutazione d'impatto e sorvegliarne lo svolgimento;
• cooperare con il Garante e fungere da punto di contatto per le questioni connesse al trattamento.

Gli interessati possono contattare il DPO per tutte le questioni relative al trattamento dei loro dati e all'esercizio dei loro diritti (art. 38, par. 4).

Posizione e indipendenza

Il titolare coinvolge il DPO tempestivamente in tutte le questioni riguardanti la protezione dei dati, gli fornisce le risorse necessarie e l'accesso ai dati e ai trattamenti. Il DPO non riceve istruzioni sull'esecuzione dei propri compiti, non può essere rimosso o penalizzato per averli adempiuti e riferisce direttamente al vertice. Può svolgere altri compiti purché non diano adito a un conflitto di interessi (art. 38). Un DPO esterno assicura con più facilità questa condizione, che per un dipendente con funzioni direttive è difficile da garantire.

Cosa facciamo

1. Designazione: atto di nomina, pubblicazione dei dati di contatto e comunicazione al Garante.
2. Piano di attività annuale, con le verifiche sui trattamenti a rischio più elevato.
3. Consulenza continuativa e pareri scritti: valutazioni d'impatto, nuovi trattamenti, fornitori, violazioni dei dati.
4. Sorveglianza attraverso audit e verifiche documentali, con relazioni periodiche all'organo di vertice.
5. Punto di contatto con il Garante e con gli interessati, anche nella gestione dei reclami.
6. Formazione del personale.

Cosa consegneremo

• Atto di designazione e comunicazione dei dati di contatto al Garante
• Piano annuale delle attività del DPO
• Pareri scritti su valutazioni d'impatto, nuovi trattamenti e violazioni
• Verbali delle verifiche
• Relazioni periodiche e relazione annuale al vertice

Come lavoriamo

Ogni materia ha la sua disciplina, ciò che si ripete è il modo di arrivarci: parliamo con chi lavora, guardiamo come funziona l'impresa, scriviamo la compliance su misura per voi. Dove due sistemi si toccano, creiamo sinergia e forza comune.

Domande frequenti