Cosa può fare il DPO per la tua azienda

Il DPO, ovvero Data Protection Officer, è una figura professionale (che può essere sia interna che esterna all’azienda) prevista dal GDPR con competenze giuridiche e informatiche, oltre ad avere un’adeguata preparazione in termini di risk management e analisi dei processi produttivi.

Il DPO è essenziale all’interno di un’azienda soprattutto perché il ruolo che ricopre prevede di supervisionare e garantire la corretta gestione e protezione dei dati personali all’interno di un’azienda.

Le responsabilità del DPO in un’azienda prevedono:

•            Stabilire la necessità di eseguire una valutazione dei rischi

•            Definizione e controllo delle politiche di protezione dei dati

•            Cooperazione con le autorità di controllo

•            Rispondere alle richieste degli interessati

•            Formazione del personale in materia di protezione dei dati

Come previsto dal regolamento GDPR 2016/679, l’obiettivo della figura del DPO è affiancare e supportare il titolare di un’azienda per eseguire i controlli necessari a verificare l’adeguatezza dei trattamenti alla normativa vigente, oltre a raccogliere informazioni per individuare i trattamenti svolti.

Per quali categorie è obbligatorio il DPO

L’articolo 37 del GDPR chiarisce per quali tipologie di organizzazione è obbligatoria la nomina del DPO. Nello specifico si tratta di:

• Pubblica amministrazione, ente pubblico e autorità giudiziarie.
• Aziende che si occupano di profilazione su larga scaladi dati sensibili, genetici, giudiziari, biometrici e relativi alla salute o alla vita sessuale.
• Sistemi di monitoraggio e tracciamento regolare e sistematico degli interessati su larga scala.

Dal momento che le diciture “su larga scala” e “regolare” non forniscono una misura precisa, il Gruppo di lavoro art. 29 (costituito al fine di fornire indicazioni utili per la conformità al Regolamento GDPR), raccomanda di tenere in considerazione alcuni fattori:

• Il numero di soggetti espressi in percentuale della popolazione interessati dal trattamento
• Il volume dei dati
• Le diverse tipologie di dati oggetto di trattamento
• La durata del trattamento e la portata geografica del trattamento.

Per quanto riguarda tutte le altre tipologie di aziende ed organizzazioni, la scelta e nomina del DPO è facoltativa, benché sia innegabile che rappresenti un’opportunità. Vediamo perché nel dettaglio.

DPO: perché rappresenta un’opportunità per le aziende

Il ruolo svolto dal DPO all’interno di un’azienda è quello di un professionista che facilita una serie di procedure che, diversamente, rappresenterebbero una criticità all’interno del sistema produttivo.

Secondo l’articolo 39 del GDPR, il DPO ha il compito di fornire consulenza specialistica, efficace e pertinente, al titolare o al responsabile del trattamento per assicurare l’adeguata tutela dei dati personali trattati e la corretta osservanza del Regolamento.

Per quanto non tutte le aziende siano obbligate alla nomina del DPO, avvalersi di questa figura professionale è una pratica consigliata, soprattutto alla luce del principio di accountability.

Il principio di accountability (o responsabilizzazione), infatti, prevede che vengano adottati comportamenti proattivi e tali da dimostrare la concreta adozione di misure finalizzate ad assicurare l’applicazione del regolamento.

Il DPO, quindi, ha la responsabilità di aiutare aziende ed imprese a perfezionare ogni processo operativo osservando, valutando e organizzando la gestione del trattamento di dati personali, affinché sia conforme sia ai principi di legge, che alle best practice di settore.

Inoltre, un’azienda che si dota di questa figura professionale aumenta il proprio livello di affidabilità nei confronti dei clienti, grazie al fatto che la presenza di un DPO aumenta la qualità del servizio offerto.

Il ruolo del DPO in caso di Data Breach

Come anticipato, i compiti del DPO sono esplicati in modo dettagliato nell’art. 39 del GDPR. Tra questi, viene menzionata la funzione di “fungere da punto di contatto per l’autorità di controllo per questioni connesse al trattamento, tra cui la consultazione preventiva di cui all’articolo 36, ed effettuare, se del caso, consultazioni relativamente a qualunque altra questione”.

Le casistiche racchiuse in questo paragrafo comprendono anche il Data Breach, ovvero una violazione, accidentale o illecita, di sicurezza che comporta la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o comunque trattati.

Nel caso in cui si verifichi un Data Breach, il DPO deve essere tempestivamente informato di quanto accaduto. Successivamente, il ruolo del DPO si potrebbe rivelare fondamentale per gestire la crisi in quanto è incaricato di aiutare il titolare o il responsabile a valutare la gravità del breach verificatosi, analizzando numerosi parametri come la natura dei dati oggetto del breach, le categorie di interessati cui i dati appartengono, la quantità di dati coinvolti.

In secondo luogo, ove sussistano i presupposti indicati all’art. 33/34 del GDPR, cooperare con il titolare o il responsabile per notificare l’Autorità Garante e/o gli interessati dell’avvenuta violazione dei dati personali, senza ingiustificato ritardo.

Inoltre, il DPO è chiamato cooperare con il titolare o il responsabile al fine di registrare la violazione all’interno di un apposito documento, valutando quali misure di sicurezza implementare per evitare che il data breach si verifichi nuovamente.

Datapro: servizi di consulenza DPO per le aziende

Datapro è in grado di fornire il servizio di consulenza Data Protection Officer grazie alla presenza, all’interno del team, di un professionista certificato che, al momento, riveste diversi incarichi DPO. Le conoscenze multidisciplinari del professionista consulente GDPR e Privacy Datapro permettono di rispondere in maniera veloce e concreta alle esigenze delle aziende: l’obiettivo è il raggiungimento della compliance normativa ed un livello di sicurezza dei dati appropriato, a tutto vantaggio dello sviluppo del business.

Se sei un’azienda con l’obbligo di nomina DPO o sei in cerca di maggiori informazioni riguardo le opportunità ad esso legate, il professionista Datapro è disponibile per approfondire l’argomento e chiarire ogni eventuale dubbio.