Responsabile della protezione dei dati

In taluni casi che vedremo, il dpo e' quella figura stipendiata dal Titolare e dotato di tutte le risorse necessarie per controllare l'operatività anche quotidiana dell'azienda, e indicare cosa modificare.

Obbligatorietà

E' obbligatorio in caso di 1. enti pubblici, 2. Trattamento di dati particolari, o di Trattamento su 3. larga scala.

Si noti che al 37.1.b e 37.2.c troviamo: "le attività principali". Nell'interpretazione molti omettono questo riferimento, suggerendo la necessità di assumere un dpo anche per le semplici segnalazioni di malattia sul lavoro, che non costituiscono l'attività principale di un negoziante. A richiesta gli uffici del GDPR negli eventi alternano le risposte sul non dovuto e sul potrebbe esserlo comunque.

Conflitto di interessi

Non deve essere in conflitto di interessi: secondo l'interpretazione corrente non deve rivestire posizioni decisionali all'interno dell'ente nel Trattamento di dati personali.

Detto questo e' stato spesso chiamato lo sceriffo del Garante. E' il dpo che risponde agli interessati in caso di contestazione, ed e' lui che intermedia con il Garante durante i controlli in azienda, motivo per il quale durante i controlli a sorpresa la GdF (negli eventi formativi) si vanta correttamente di poter pretendere legittimamente che si presenti immediatamente, da qualunque parte del mondo debba provenire.

Compiti

I compiti sono dettagliati agli artt. 38, 28 e 39: per un contratto basterebbero questi, per restare irresponsabile di qualsiasi illecito del titolare. E' solo un controllore: gli basta scrivere cosa va modificato, se non viene modificato, e se non lo indica (salvo colpa grave o dolo da provare), non e' responsabile.

Deve persino essere rimborsato di tutte le spese necessarie per formarsi e per verificare in azienda i trattamenti.

Compensi e il dpo interno

Nella realtà ci sono dpo che ricevono meno di 500 euro l'anno. La fattura non e' un gran indice di adempimento per l'azienda che, oltre a questo, non può chiedere da lui consulenze prima ne' durante, perche' non vi sia conflitto di interessi.

Una prima interpretazione escludeva che il dpo potesse essere un qualsiasi dipendente, pur preparato, già inserito in azienda. Dipendente ma non dirigente in grado di determinare il modo di trattare i dati.

Oltre il formalismo, un dpo indipendente che potesse anche dare consulenze e non solo suggerimenti sarebbe veramente utile, invece di richiedere un'ulteriore figura esterna.

Per completare il quadro, il conflitto di interessi e' evidentemente solo con il titolare, l'unico che puo' e deve decidere come far trattare i dati da collaboratori (interni ed esterni) e responsabili del Trattamento (fornitori), secondo le mansioni determinate.

Forma

Il contratto deve essere scritto e il dpo registrarsi sul sito del Garante