Con l’introduzione del Regolamento UE 2016/679 subentra l’obbligo, nei casi previsti dall’art. 37 del Regolamento Europeo, di inserire un Data Protection Officer o, in italiano, un Responsabile per la Protezione dei Dati, quale figura intorno alla quale, permangono dubbi sulla specifica certificazione delle competenze.
Il DPO è l’esperto che deve essere in grado di fornire consulenza al management aziendale circa le prescrizioni della legge sulla protezione dei dati personali, sorvegliando poi che esse siano correttamente applicate, fungendo inoltre da punto di contatto con l’Autorità per la privacy e con gli interessati.
Si tratta, quindi, di un compito con profili di consulenza, ma anche di controllo, a favore del Titolare e del Responsabile del trattamento dei dati, con l’obiettivo di assicurare che la organizzazione dell’Azienda, dell’Amministrazione, dell’Ente, dell’Ordine professionale, etc., sia conforme alle pretese del medesimo Regolamento, e che pertanto sia svolta in maniera che i dati trattati siano effettivamente ed assolutamente tutelati.
Questa è, semplicemente, la ragione per la quale il DPO deve possedere una puntuale ed adeguata conoscenza della normativa, attraverso, non solo la conoscenza dei principi e degli istituti unitari, ma al contempo la conoscenza degli aspetti gestionali e tecnici dell’Organizzazione che lo incarica, operando, comunque, con indipendenza e terzietà.
Ecco perché assume peculiare importanza riferirsi alla Norma UNI 11697:2017 “Attività professionali non regolamentate – Profili professionali relativi al trattamento e alla protezione dei dati personali – Requisiti di conoscenza, abilità e competenza” che, nell’appendice B, in relazione alla figura del DPO, richiede in modo specifico al professionista: il possesso di requisiti su “Gestione della Privacy e Sicurezza delle Informazioni” con attestazione finale, con la finalità di assicurare che “determinate figure professionali possiedano, mantengano e migliorino nel tempo la necessaria competenza”.
Se da un alto il Regolamento Europeo ha configurato, per ampie linee, le caratteristiche del DPO, la normativa UNI 11697:2017, che ha solo carattere volontario e giammai obbligatorio, li ha ulteriormente dettagliati, ma non imponendoli.
Di conseguenza, la frequentazione di un corso e/o di un modulo formativo organizzato da un soggetto formatore, con certificazione di ente terzo, ai sensi dell’art. 42, comma terzo, del Regolamento UE, più che un dovere, in collegamento con gli artt. 39 e ss., rappresenta un’oggettiva possibilità formativa ed abilitante e di garanzia per professionisti, imprese, amministrazioni, organizzazioni in generale.
