Il prossimo 25 maggio 2018 il GDPR, il General Data Protection Regulation, diventa legge. Il provvedimento, che riguarda tutti gli Stati membri UE, impone la revisione dei processi di gestione dei dati, la nascita di nuovi ruoli organizzativi e l’applicazione di pratiche e strumenti più evoluti e complessi. L’obiettivo è quello di migliorare la responsabilità delle aziende nei confronti della privacy dei cittadini.
Le novità all’orizzonte
Il GDPR prevede l’implementazione di un vero e proprio sistema di gestione dei dati personali, con un duplice risvolto: da una parte l’adeguamento delle tecnologie utilizzate per la protezione e la gestione dei dati, per massimizzarne la sicurezza e garantire la tutela degli utenti. Dall’altra, l’istituzione di un nuovo ruolo specializzato e già molto richiesto: il DPO, Data Protection Officer. Qual è il suo ruolo e come si integra nell’organico delle aziende?
Il DPO e le aziende
A metà tra una figura IT e un controller, il DPO è il responsabile della protezione dei dati. Il suo ruolo è orientato a tutelare in prima istanza gli interessi degli utenti, e solo successivamente a garantire il bene dell’azienda in cui opera. Le sue mansioni prevedono di assicurare il rispetto dei requisiti previsti dal GDPR, sorvegliare l’osservanza del regolamento, fornire consulenza al titolare o al responsabile di area e curare i rapporti con l’autorità di controllo. Ad esempio, è tenuto a segnalare esternamente eventuali anomalie o situazioni di non conformità delle tecnologie adottate in azienda, quando queste si rivelano non idonee a garantire la sicurezza dei dati trattati dalle imprese.
Una figura in crescita
Rispetto al 2016, quando appena 1 azienda su 3 sentiva l’esigenza di dotarsi di un DPO, l’imminente entrata in vigore del GDPR ha accelerato l’interesse verso questa nuova figura. Secondo le ultime statistiche disponibili* il 15% delle aziende ha introdotto un Data Protection Officer, il 3% ha stipulato una collaborazione con un consulente esterno e oltre il 50% delle imprese dichiara di voler nominare un DPO a breve.
DPO interno o esterno?
Recentemente in Germania un’azienda è stata multata per aver indicato come Data Protection Officer il proprio IT Manager. In linea generale il DPO può svolgere in azienda altre funzioni ma queste non devono creare un potenziale conflitto di interesse con il trattamento dei dati personali. Ad esempio, sono da escludere funzioni legate al marketing, alle risorse umane e all’ufficio legale.
Per evitare qualsiasi contestazione, l’invito è quello di non nominare un dipendente già assunto ma di introdurre una nuova figura ad hoc, inserendo nel contratto di servizio specifiche garanzie in termini di regole e organizzazione interna, per tutelare il rispetto della nuova normativa e favorire la massima indipendenza d’azione.
*POLIMI, Osservatorio Information Security & Privacy – 2017.
