Con l’introduzione del Regolamento Europeo sulla protezione dei dati personali n.679/2016 (GDPR) General Data Protection Regulation si è imposta a tutti gli enti pubblici o privati la figura professionale del Responsabile della protezione dei dati o Data Protection Officer (DPO). Il DPO va nominato dal titolare del trattamento o dal responsabile del trattamento e, come indicato dal Garante della Privacy, dovrà:

1. possedere un’adeguata conoscenza della normativa e delle prassi di gestione dei dati personali, anche in termini di misure tecniche e organizzative o di misure atte a garantire la sicurezza dei dati. Non sono richieste attestazioni formali o l’iscrizione ad appositi albi professionali, anche se la partecipazione a master e corsi di studio/professionali può rappresentare un utile strumento per valutare il possesso di un livello adeguato di conoscenze;
2. adempiere alle sue funzioni in piena indipendenza e in assenza di conflitti di interesse. In linea di principio, ciò significa che il RPD non può essere un soggetto che decide sulle finalità o sugli strumenti del trattamento di dati personali;
3. operare alle dipendenze del titolare o del responsabile oppure sulla base di un contratto di servizio (RPD/DPO esterno).

Questa figura è altamente specializzata ed è obbligatoria per quegli enti pubblici e privati che trattano dati critici o su larga scala. Il percorso formativo per DPO si focalizza sulle nuove norme in materia di dati personali, alla valutazione della tipologia di trattamento dei dati personali, all’individuazione dei relativi rischi e delle conseguenti misure di protezione. Un’attenzione particolare sarà dedicata ai rischi che il nuovo Regolamento pone a carico dei titolari del trattamento.