Come diventare DPO: Data Protection Officer

Come diventare DPO (Data Protection Officer)?

Come diventare DPO? Quando si parla di sicurezza e protezione dei dati il primo passaggio è cercare di capire chi si occupa di questo importante settore all’interno di un’azienda e ne ha la responsabilità applicativa.

La figura incaricata si chiama RPD, ovvero responsabile della protezione dei dati, meglio noto in gergo internazionale come Data Protection Officer (DPO).

Il DPO è un professionista che proviene dall’esperienza di sistemi di gestione della privacy e che con la nuova normativa comunitaria assurge a figura organica istituzionalizzata.

Argomenti trattati

– Chi è il DPO e quando è obbligatorio?
– Chi può diventare Responsabile del Trattamento dei Dati?
– Quali sono i compiti del Data Protection Officer
– Il percorso formativo

—–

Chi è il DPO, Data Protection Officer? Quando è obbligatorio data protection officer?

Per Data Protection Officer (DPO, appunto), viene incaricato un professionista che, sulla base delle evidenze della normativa comunitaria, deve avere le seguenti competenze:

• competenze giuridiche,
• informatiche,
• di risk management,
• di analisi dei processi.

Il suo ruolo, quindi, rientra nell’organizzazione aziendale della gestione del trattamento dei dati e nella loro protezione.

Le aziende sia private che pubbliche con determinate caratteristiche hanno l’obbligo di istituire questa figura, la quale, spesso e volentieri, è affidata ad un soggetto esterno professionalizzato in materia.

Il DPO viene quindi designato in queste circostanze:

• vi è un organismo pubblico o privato che tratta dati particolarmente rilevanti o per cui sia necessario un controllo sistematico e continuativo
• oppure quando il soggetto trattante ha a che fare con dati particolarmente sensibili, come potrebbero essere quelli sanitari o penali.

Arethusea fornisce il supporto di consulenza GDPR fino a diventare anche Data Protection Officer esterno alle aziende medio grandi e per tutti quei soggetti giuridici che sono obbligati ad avere questa figura che cura tutte le procedure per la Privacy.

Il ruolo di DPO è obbligatorio per alcune tipologie di aziende ed enti.

Nell’ambito della pubblica amministrazione sono tenuti alla designazione del responsabile della protezione dei dati, a mero titolo esemplificativo e non esaustivo:

• le amministrazioni dello Stato
• gli enti pubblici, non economici nazionali, regionali e locali
• le Regioni e gli enti locali
• le Università
• le CCIAA (Camere Commercio Industria Artigianato Agricoltura
• le aziende del servizio sanitario nazionale
• le autorità indipendenti

Nelle campo privato invece, le imprese che sono obbligate a nominare un DPO, a titolo di esempio, sono:

• istituti di credito
• imprese assicurative
• sistemi di informazione creditizia, società finanziarie
• società di informazioni commerciali
• società di revisione contabile
• società di recupero crediti
• istituti di vigilanza, partiti e movimenti politici
• sindacati, caf e patronati
• società operanti nel settore delle “utilities”(telecomunicazioni, distribuzione di energia elettrica e gas)
• imprese di somministrazione del lavoro e ricerca del personale
• società del terzo settore che operano nell’ambito sanitario o socio assistenziale
• società di call center
• società che forniscono servizi informatici
• società che erogano servizi televisivi a pagamento

Il Garante della privacy, comunque, anche laddove non pone l’obbligo, raccomanda la nomina di tale figura al fine di ottemperare al meglio alle direttive ce la legge sancisce.

I doveri delle imprese rimangono gli stessi, sia nel caso di designazione di un DPO in maniera volontaria o obbligatoria.

—–

Chi può diventare Data Protection Officer? Come diventare Data Protection Officer

Quella del DPO Data Protection Officer è una posizione che deve essere affidata ad una persona esperta e formata in questo settore.

Non ci sono lauree che formino in questo ambito, ma molta attività pratica contornata da tanto studio e approfondimento. 

Come diventare DPO? Diciamo innanzitutto che NON è necessaria alcuna certificazione o abilitazione specifica, ne tanto meno essere iscritti ad albi professionali, mentre è indispensabile possedere un importante bagaglio tecnico-informatico ed approfondita esperienza (Know how) in materia.

E’ importante perciò avere un ottimo livello di preparazione universitaria, che può essere rafforzata da una opportuna formazione GDPR, fra l’altro obbligatoria.

Per diventare DPO e al fine di garantire una completa e corretta esecuzione dei propri compiti, è necessario innanzitutto possedere un ottimo livello di formazione sulla privacy – che può essere acquisito seguendo opportuni corsi di formazione – in tema di:

• privacy,
• competenze multidisciplinari,
• conoscenza della legge che sovraintende la struttura organizzativa della privacy, ma anche delle metodologie tecniche/informatiche per l’acquisizione ed il trattamento dei dati.

In presenza di un gruppo imprenditoriale, secondo la normativa europea sulla privacy, è possibile nominare un unico responsabile della protezione dei dati personali, in grado di organizzare al meglio le attività interne e di dialogare con le istituzioni laddove necessario.

Arethusea in questa attività affianca direttamente il titolare o il dirigente dell’azienda nel ruolo di Data Protection Officer, favorendo la collaborazione tra comparti dell’impresa affinché siano rispettati tutti i dettami della legge.

—-

Quali sono i compiti del DPO?

I principali compiti del DPO, seguendo le indicazioni della normativa, sono:

• Informare e fornire consulenza al titolare del trattamento o al responsabile del trattamento dei dati (oltre che ai dipendenti che eseguono il trattamento dei dati).
• Verificare il rispetto della normativa GDPR sulla privacy, al fine di proteggere i dati in suo possesso.
• Assicurarsi che il personale addetto sia adeguatamente formato ed informato.
• Dare pareri e suggerimenti sui processi di miglioramento del trattamento dei dati.
• Cooperare con l’autorità di controllo
• Essere un punto di riferimento aziendale nei confronti del Garante per la Privacy per tutte le eventuali situazioni controverse che possano succedere.

Nell’eseguire i propri compiti, il DPO dovrà ricevere un supporto adeguato in termini di risorse finanziarie, infrastrutturali e, ove necessario, di personale.

Il Garante per la Privacy dovrà essere messo nelle condizioni di conoscere il nome ed i contatti di colui che assume il ruolo di DPO dell’azienda.

Il Sito Internet, in primis, dovrà indicare la Privacy Policy e il responsabile del trattamento dei dati.

—–

Il percorso formativo: come diventare DPO

Come diventare DPO? Non esiste un percorso specifico per la formazione dei Data Protection Officer, ma seguire un percorso di studi specializzante come ad esempio un corso dedicato al Privacy Specialist o un master DPO e portare avanti delle sessioni di studio, applicare modelli pratici e analizzare casi studio e rischi aziendali è certamente una strada corretta.

Per la formazione sulla privacy, Arethusea organizza periodicamente dei corsi sulla privacy GDPR che attestano l’avvenuta partecipazione degli addetti aziendali.