Il DPO, acronimo di Data Protection Officer, sta per Responsabile per la protezione dei dati.
È una figura specializzata, introdotta dal GDPR, i cui compiti e le sue responsabilità sono indicate all’art 39, in particolare svolge almeno uno dei seguenti compiti:
- informare e fornire consulenza al titolare del trattamento o al responsabile del trattamento nonché ai dipendenti che eseguono il trattamento in merito agli obblighi derivanti dal presente regolamento nonché da altre disposizioni dell’Unione o degli Stati membri relative alla protezione dei dati;
- sorvegliare l’osservanza del presente regolamento, di altre disposizioni dell’Unione o degli Stati membri relative alla protezione dei dati nonché delle politiche del titolare del trattamento o del responsabile del trattamento in materia di protezione dei dati personali, compresi l’attribuzione delle responsabilità, la sensibilizzazione e la formazione del personale che partecipa ai trattamenti e alle connesse attività di controllo;
- fornire, se richiesto, un parere in merito alla valutazione d’impatto sulla protezione dei dati e sorvegliarne lo svolgimento ai sensi dell’articolo 35;
- cooperare con l’autorità di controllo;
- fungere da punto di contatto per l’autorità di controllo per questioni connesse al trattamento, tra cui la consultazione preventiva di cui all’articolo 36, ed effettuare, se del caso, consultazioni relativamente a qualunque altra questione.
Nell’eseguire i propri compiti il responsabile della protezione dei dati considera debitamente i rischi inerenti al trattamento, tenuto conto della natura, dell’ambito di applicazione, del contesto e delle finalità del medesimo.
È di solito un consulente esperto ma può essere anche interno all’organizzazione, si tratta di un soggetto con compiti di informazione, formazione, consulenza e sorveglianza dell’adempimento della disciplina ‘privacy‘.
Per il GDPR la scelta per un DPO interno o esterno non è rilevante. La decisione riguarda opportunità imprenditoriali che riguardano i costi della consulenza e i costi del lavoro dipendente.
La sua nomina è obbligatoria solamente quando il titolare:
- è un’autorità/organismo pubblico (eccettuate le autorità giurisdizionali quando esercitano le loro funzioni giurisdizionali);
- effettua trattamenti che richiedono il monitoraggio regolare e sistematico degli interessati su larga scala;
- effettua come attività principali trattamenti su larga scala di dati sensibili, genetici, biometrici, giudiziari.
È nominata solamente in presenza di alcune circostanze quali ad esempio il trattamento su larga scala di dati particolari ex “dati sensibili”.
https://www.privacylab.it/IT/163/Cosa-fa-il-Data-Protection-Officer-%28DPO%29%3F
Condividi