D.P.O. - Data Protection Officer
Il Responsabile della protezione dei dati deve possedere conoscenza della normativa sulla gestione dei dati personali nel paese in cui opera (Legge sulla Privacy).
Deve poter offrire la consulenza per progettare, verificare e mantenere un sistema organizzato di gestione dei dati personali, interagendo coi sistemi di gestione aziendali, per curare l'adozione di misure di sicurezza finalizzate alla tutela dei dati, che soddisfino i requisiti di legge e per evitare i rischi di distruzione o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta.
L'articolo 39 del Regolamento Europeo sulla protezione dei dati personali, elenca i compiti del responsabile della protezione dei dati, che sono almeno i seguenti:
a. informare e consigliare il titolare del trattamento o il Responsabile nonché i dipendenti;
b. sorvegliare l'osservanza del Regola-mento e delle altre leggi vigenti nell'Unione Europea in materia nonché delle policy;
c. fornire se richiesto un parere sulla valutazione di impatto sulla prote-zione dei dati personali e sorvegliare lo svolgimento;
d. fungere da punto di contatto per l'autorità di controllo per questioni connesse al trattamento di dati personali.
In ragione del fatto che l'acquisizione e la gestione dei dati personali avviene in modo preponderante per mezzo digitale, il responsabile della protezione dei dati deve possedere, oltre che competenze legali, anche competenze di carattere informatico.
Il 4 giugno 2015, all'interno delle Linee guida in materia di Dossier sanitario, il Garante per la Protezione dei dati personali italiano ha precisato che "in ragione della particolare delicatezza delle informazioni trattate mediante il dossier sanitario, il Garante auspica che i titolari del trattamento individuino al loro interno una figura di responsabile della protezione dei dati che svolga il ruolo di referente con il Garante (cosiddetto DPO - data protection officer), anche in relazione ai casi di data breach".
A seguito dell'entrata in vigore (25 maggio 2016) del regolamento europeo, che troverà applicazione a partire dal 25 maggio 2018 (articolo 99), la figura del responsabile della protezione dei dati (data protection officer) diventa obbligatoria anche per i titolari del trattamento aventi stabilimento principale in Italia che presentano i requisiti dettati dall'articolo 37 del regolamento stesso.
A tal fine, a marzo 2016 il Garante per la Privacy ha reso disponibile, sul proprio sito web, una scheda informativa che presenta la figura del Responsabile della protezione dei dati personali (Data Protection Officer).
Poiché la professione del responsabile della protezione dei dati non è regolamentata, non è obbligatoriamente soggetta a esami, certificazioni, né all'iscrizione ad albi professionali. Si rientra quindi nell'ambito di applicazione della Legge 4/2013 sulle professioni non organizzate in ordini e collegi. In Italia, sono presenti tre associazioni che rappresentano i responsabili della protezione dei dati (Data Protection Officer) iscritte nell'elenco delle associazioni di natura privatistica che rilasciano l'attestato di qualità del Ministero dello Sviluppo Economico: Federprivacy, ASSO DPO e Uniquality.
