Il DPO: chi è e quando coinvolgerlo

Nelle informative privacy, nei siti degli enti pubblici, nelle procedure interne compare spesso una sigla: DPO, Data Protection Officer, in italiano responsabile della protezione dei dati, a volte abbreviato in RPD. È una figura introdotta dal GDPR, e per chi lavora in ufficio è un riferimento prezioso, spesso poco conosciuto.

Cosa fa

Il DPO non è chi decide come trattare i dati: quella responsabilità resta all'organizzazione, il titolare del trattamento. Il DPO ha un ruolo di consulenza e sorveglianza:

• informa e consiglia l'organizzazione e chi lavora al suo interno sugli obblighi derivanti dalle norme sulla protezione dei dati;
• sorveglia il rispetto del GDPR e delle politiche interne, anche con verifiche e formazione;
• fornisce pareri sulle valutazioni d'impatto sulla protezione dei dati, quando richieste;
• coopera con il Garante e fa da punto di contatto per l'autorità;
• è il riferimento per le persone interessate che vogliono esercitare i propri diritti.

Il DPO deve poter agire in modo indipendente: non riceve istruzioni su come svolgere i propri compiti, non può essere penalizzato per averli svolti e riferisce direttamente ai vertici. Può essere un dipendente o un professionista esterno.

Quando è obbligatorio

Il GDPR prevede l'obbligo di nominare un DPO in tre casi:

• quando il trattamento è effettuato da un'autorità pubblica o un organismo pubblico, con l'eccezione delle autorità giurisdizionali nell'esercizio delle loro funzioni;
• quando le attività principali consistono in trattamenti che richiedono il monitoraggio regolare e sistematico delle persone su larga scala;
• quando le attività principali consistono nel trattamento su larga scala di categorie particolari di dati, come quelli sanitari, o di dati relativi a condanne e reati.

Molte altre organizzazioni lo nominano volontariamente. I dati di contatto del DPO vanno pubblicati e comunicati al Garante.

Quando coinvolgerlo

Per chi lavora in ufficio, il DPO è la persona a cui rivolgersi, direttamente o tramite il proprio responsabile, quando:

• si avvia un nuovo progetto o servizio che tratta dati personali;
• si vuole adottare un nuovo strumento, ad esempio un software in cloud o un assistente basato sull'intelligenza artificiale;
• si ha un dubbio su cosa si può fare con certi dati: conservarli, condividerli, inviarli all'estero;
• è avvenuta, o si sospetta, una violazione di dati: un invio sbagliato, un dispositivo perso, un attacco;
• arriva una richiesta di una persona che vuole accedere ai propri dati, correggerli o cancellarli;
• si riceve una comunicazione del Garante.

Il momento migliore per coinvolgerlo è all'inizio, quando le scelte si possono ancora orientare facilmente. Consultarlo a progetto concluso significa spesso dover rifare parte del lavoro.

Come trovarlo

I contatti del DPO compaiono di solito nelle informative privacy dell'organizzazione e, per le pubbliche amministrazioni, sul sito istituzionale. Se non li conosci, chiedili al tuo responsabile e salvali: in caso di violazione dei dati, il tempo per agire è breve.

In sintesi

Il DPO non è un controllore da temere, ma un consulente da usare. Coinvolgerlo presto rende più semplice rispettare le regole e protegge sia le persone di cui trattiamo i dati sia l'organizzazione.