Chi è e come viene designato il Data Protection Officier secondo quanto previsto dal Regolamento UE 2016/679?
Il DPO (Data Protection Officer) o RDP (Responsabile della protezione dei dati), è un soggetto che ha il compito di svolgere attività di supporto, controllo, consulenza, formazione e informazione in merito all’applicazione del Regolamento UE 2016/679 per le questioni relative al trattamento dei dati personali. Inoltre, ha il dovere di cooperare con il Garante della privacy, fungendo da punto di contatto per l’Autorità su ogni questione connessa al trattamento dei dati.
Viene nominato dal titolare o dal responsabile del trattamento. Secondo il suddetto Regolamento, il Responsabile della protezione dei dati è obbligatorio nel caso in cui il core business aziendale consista in attività che richiedono il monitoraggio “regolare e sistematico” dei dati personali su larga scala. Sulla base di questi presupposti ad esempio, sono tenuti a nominarlo le società che operano in ambito finanziario e di recupero crediti, istituti di vigilanza, società del settore dell’energia e delle telecomunicazioni, società di informazioni commerciali, imprese di somministrazione di lavoro e ricerca del personale; società operanti nel settore della sanità, call center etc. Lo ha precisato il Garante per la Privacy Italiano e l’elenco dei soggetti menzionati in precedenza, indicativo e non esaustivo, lo si può leggere sul sito web della stessa Autorità.
L’RDP o il DPO come viene comunemente chiamato, può essere uno per azienda o per gruppo di aziende, anche qualora si tratti di un gruppo industriale che fa capo a più sedi, purché il soggetto sia facilmente rintracciabile e raggiungibile da ciascun stabilimento e sia messo in condizioni ottimali per svolgere la sua attività. L’incarico può essere affidato sia a un dipendente aziendale quanto un soggetto esterno. Nel caso in cui il Responsabile della protezione dei dati venga scelto internamente, esso andrà nominato mediante uno specifico atto di designazione, mentre se viene scelto all’esterno dovrà avere le stesse prerogative e tutele di quello interno e dovrà operare in base a un contratto di servizi. Tali atti, da redigere in forma scritta, dovranno indicare espressamente i compiti attribuiti, le risorse assegnate per il loro svolgimento, nonché ogni altra utile informazione in rapporto al contesto di riferimento.
Nell’assoluzione dei propri doveri, il Responsabile della protezione dei dati dovrà ricevere supporto adeguato in termini di risorse finanziarie, infrastrutturali e, dove si rivelino opportune, di personale. I dati di contatto del DPO o RDP dovranno essere pubblicati dal titolare/responsabile e il suo nominativo, compresi i relativi dati di contatto, dovranno essere comunicati al Garante della privacy. Va aggiunto comunque, che secondo il Regolamento il titolare (o il responsabile del trattamento) rimane pienamente responsabile dell’osservanza della normativa in materia di protezione dei dati e deve essere in grado di dimostrarla.