Il DPO, Data Protection Officer – in italiano RPD, Responsabile della Protezione dei Dati – è la nuova figura introdotta dal GDPR e che lavora di concerto con il titolare, gli addetti e i responsabili del trattamento perchè siano in grado di conservare i dati evitando rischi per la privacy e la sicurezza di questi dati, e perseguendo i princìpi e le indicazioni del Regolamento europeo.
Il DPO è quindi un consulente tecnico e legale, che allo stesso tempo ha un potere esecutivo. Infatti, il suo ruolo è duplice, perché non solo consiglia e sorveglia, ma serve da tramite fra l’organizzazione e l’autorità responsabile. Le mansioni del Data Protection Officer sono indicati in maniera puntuale nel GDPR all’articolo 39 e sono tre: informare, sorvegliare e cooperare. Ma per maggiore chiarezza qui sotto, nel prossimo paragrafo, le elencheremo nel dettaglio.
Cosa fa Data Protection Officer
Se sei interessato a svolgere il lavoro da Data Protection Officer e possiedi i requisiti per ricoprire questo ruolo ecco quali saranno i compiti che dovrai svolgere.
- Garantire l’applicazione corretta dei regolamenti in merito al trattamento dei dati, collaborando con le altre autorità di controllo.
- Ammonire i responsabili del trattamento dati in caso di violazione del Regolamento e nel contempo imporre l’adeguamento alle disposizioni.
- Intimare la limitazione, provvisoria o definitiva, del trattamento.
- Ordinare il divieto di trattamento.
- Ordinare la rettifica o la cancellazione dei dati personali.
- Esaminare i reclami, le segnalazioni e i ricorsi.
- Segnalare al Parlamento o ad altre istituzioni la necessità di adottare atti normativi e amministrativi a situazioni relative alla protezione dei dati.
- Partecipare alle audizioni presso il Parlamento al fine di discutere e formulare pareri sulle iniziative che riguardano la normativa.
- Redigere annualmente una relazione inerente l’attività svolta.
- Partecipare alle attività, correlate all’argomento privacy, predisposte dall’UE e dalle altre autorità internazionali.
- Predisporre efficaci attività di informazione rivolte a sensibilizzare il pubblico in merito alla protezione dei dati personali.
- Curare l’aggiornamento dei registri contenenti le violazioni più rilevanti.
Il Garante interviene in svariati settori, sia pubblici che privati: Pubblica Amministrazione, giornalismo, ordini professionali, sanità, giustizia, politica, banche, assicurazioni, telecomunicazioni, marketing.
Al di là di questa lista vogliamo declinare al meglio il ruolo di questa figura. Il GDPR ci dice che il DPO (abbreviazione del Data Protection Officer) deve fornire consulenza tecnica e legale al titolare del trattamento o al responsabile e agli addetti affinché rispettino il Regolamento europeo. Come consulente ha quindi delle responsabilità, deve prima di tutto informare il titolare del trattamento, gli addetti ed i responsabili esterni sulle modalità di raccolta, trattamento e conservazione dei dati personali in modo conforme al GDPR. La sua è una posizione fondamentale di supporto e sostegno su un tema che spesso le aziende trascurano e per cui non hanno altra scelta se non richiedere consulenza a persone formate in questo ambito, come appunto il DPO. Possiamo definire quella di un counselor che facilita il percorso di autoconsapevolezza nel cliente. Guarda alla tua azienda e individua quali dati tratti e a come li stai proteggendo, con l’aiuto del DPO valutate il rischio che corrono: è un rischio residuale basso? Bene. Se il rischio è medio è opportuno correre ai ripari, e adottare le giuste contromisure. Potrai proporre di cambiare gestionale o sistema di back-up, modificare il modo in cui vengono trasmesse le buste paga ai dipendenti e così via, tutte azioni che sommate rendono l’azienda più sicura nella gestione dei dati, per il benessere di tutti.
Come diventare Data Protection Officer
Nel GDPR viene consigliato un percorso di studi specializzati come privacy specialist per diventare Data Protection Officer: esistono corsi online e in aula, master universitari di I° e II° livello, sessioni formative e lezioni organizzate da aziende che si occupano di Privacy.
Uno dei master più adatti per prepararsi a svolgere questa mansione è il Master La gestione dell’innovazione digitale nella sanità: Data protection officer, cybersecurity and information security specialist di Unicusano.
Questo master mira a formare nuovi professionisti nell’ambito della sanità pubblica e privata, tra i quali in particolare la figura del Data Protection Officer (RPD/DPO), che svolge anche un ruolo di sensibilizzazione dell’organizzazione e altre figure di consulenza con abilità in ambito cybersecurity. Pertanto, durante il corso verranno illustrati dei casi di studio e dei metodi di lavoro di tali figure, unendo la parte teorica di analisi della normativa agli aspetti pratici della professione. Accanto al RPD/DPO vi è la necessità impellente di formare altre figure di supporto privacy, inclusi i componenti dei gruppi di lavoro privacy e degli uffici dedicati. Gli specialisti privacy, che hanno compiti più o meno operativi all’interno delle Aziende Ospedaliere, Asl, ma anche all’interno di Ospedali e strutture sanitarie private accreditati o meno, hanno la necessità di acquisire conoscenze e competenze specifiche.
Per la figura del Data Protection Officer l’esperienza effettiva nel settore e la conoscenza approfondita della normativa sulla protezione dei dati applicata nel quotidiano, sono dei requisiti normativi necessari per ricoprire tale incarico unitamente all’obbligo di aggiornamento continuo. Analogamente, con l’aumento esponenziale di attacchi informatici, che sta colpendo in particolare il nostro Paese, non meno importanti appaiono la formazione e le nuove competenza delle figure tecniche IT, amministratori di sistema e impiegati informatici che necessitano di aggiornarsi e formarsi nell’ambito della sicurezza informatica e della cybersecurity. Infatti, un modulo rilevante sarà dedicato al ruolo di specialista di cybersecurity, modulo utile, sia per chi abbia una conoscenza base e la necessità di approfondire questo ambito, sia per chi abbia già acquisito una buona conoscenza di sicurezza informatica e di cybersecurity e abbia necessità di aggiornarsi sulle nuove tecniche e metodologie di attacco e difesa. Infine, per l’organizzazione dell’impresa pubblica e soprattutto privata, anche al fine di partecipare a bandi di gara, diventa sempre più importante dimostrare che i propri processi aziendali e i sistemi di gestione siano conformi agli standard internazionali con l’ottenimento di certificazioni riconosciute sul mercato, sia in base agli standard ISO che in base agli altri standard di settore. A tale tema, anch’esso di estrema rilevanza, è stato dedicato un intero modulo, coinvolgendo docenti con esperienza internazionale e altamente qualificati.
Il Master ha durata annuale pari a 1500 ore di impegno complessivo per il corsista, corrispondenti a 60 cfu e sarà articolato in:
- lezioni video e materiale fad appositamente predisposto;
- congruo numero di ore destinate all’auto-apprendimento, allo studio individuale e domestico;
- eventuali verifiche intermedie
Tutti coloro che risulteranno regolarmente iscritti al Master dovranno sostenere un esame finale che accerti il conseguimento degli obiettivi proposti, presso la sede dell’Università sita in Roma – Via Don Carlo Gnocchi 3
Per l’iscrizione al Master è richiesto il possesso di almeno uno dei seguenti titoli:
- laurea conseguita secondo gli ordinamenti didattici precedenti il decreto ministeriale 3 novembre 1999 n. 509;
- lauree specialistiche ai sensi del D.M. 509/99 e lauree magistrali ai sensi del D.M.270/2004;
- I candidati in possesso di titolo di studio straniero non preventivamente dichiarato equipollente da parte di una autorità accademica italiana, potranno chiedere al Comitato Scientifico il riconoscimento del titolo ai soli limitati fini dell’iscrizione al Master. Il titolo di studio straniero dovrà essere corredato da traduzione ufficiale in lingua italiana, legalizzazione e dichiarazione di valore a cura delle Rappresentanze diplomatiche italiane nel Paese in cui il titolo è stato conseguito.
I candidati sono ammessi con riserva previo accertamento dei requisiti previsti dal bando.
Crediti foto in evidenza: Depositphotos.com – Rawpixel