Come diventare Data Protection Officer (DPO): requisiti e formazione

Quella del Data Protection Officer (o DPO) è una professione relativamente recente. Eppure, soprattutto negli ultimi anni, la richiesta di figure atte a garantire la protezione dei dati personali è cresciuta. Sono infatti tantissime le attività che, praticamente ogni giorno, devono fare i conti con il GDPR europeo. Chi tratta dati personali deve farlo nel rispetto delle norme previste dall’Unione Europea: per tale ragione, la figura del responsabile protezione dati è diventata fondamentale.

In questa guida scopriremo tutto sul DPO: chi è il Data Protection Officer, quando è necessario e come diventarlo.

Chi è il Data Protection Officer DPO

Inizieremo proprio con una delle domande più frequenti in merito a questa professione: chi è il Data Protection Officer? Conosciuto anche con l’acronimo DPO, questo professionista è il responsabile della protezione dati.
Tale figura è stata introdotta dal GDPR n. 679/2016, ossia il regolamento europeo introdotto per la protezione dei dati personali. Il GDPR ha di fatto creato questa nuova figura del responsabile, che deve occuparsi di proteggere i dati. In dettaglio, il DPO si può trovare in contesti aziendali o nella Pubblica Amministrazione. Il Data Protection Officer fa da tramite tra titolari aziendali e Garante della Privacy.

DPO: cosa fa il responsabile protezione dati

Il GDPR n. 679/2016 ha anche provveduto a stabilire quali sono i compiti del Data Protection Officer. In dettaglio, le mansioni del responsabile protezione dati sono state chiarite all’Art. 39 del GDPR.
Il DPO, secondo quanto stabilito dal regolamento, deve innanzitutto occuparsi di erogare consulenza. Il responsabile deve cioè informare Titolare e Responsabile del trattamento in merito agli obblighi previsti dal regolamento europeo. Le informazioni, inoltre, vanno fornite anche a eventuali dipendenti coinvolti nel trattamento.

Una delle mansioni del DPO è quella relativa alla vigilanza. Il Data Protection Officer deve infatti verificare l’applicazione corretta del GDPR. Il responsabile per la protezione dei dati personali deve inoltre fornire pareri e svolgere attività di formazione del personale.
Infine, sono di sua competenza la valutazione dei rischi e la collaborazione con i soggetti coinvolti.

Gestione della privacy e protezione dei dati personali: il GDPR

Come abbiamo già anticipato, la figura del Data Protection Officer è relativamente nuova. È stata infatti introdotta con il GDPR n. 679/2016.
Secondo quanto disposto da regolamento europeo, non sempre la figura del DPO è obbligatoria. Tuttavia, il GDPR impone l’obbligo in diversi casi. Se, infatti, un ente pubblico svolge operazioni di raccolta dati, allora è necessario dotarsi di un Data Protection Officer.
Devono inoltre nominare un responsabile protezione dati coloro che effettuano monitoraggi regolari sui dati personali raccolti su vasta scala.

Vengono considerati trattamenti su vasta scala, a titolo di esempio, quelli relativi a:

• spostamenti degli utenti di un servizio di trasporto pubblico
• geolocalizzazioni raccolte in tempo reale con finalità statistiche
• informazioni su pazienti di un ospedale, anche in caso di attività ordinarie
• dati dei clienti di una banca o di un’assicurazione, anche per ordinarie attività.

Inoltre, nel caso in cui vengano svolte attività di trattamento su dati sensibili o penali, tale figura è necessaria per legge.
L’obbligo di dotarsi di un responsabile, in tutti questi casi, è scattato dal 25 maggio 2018. A partire da questa data, i 28 Paesi membri dell’UE hanno dovuto rispettare l’obbligo. Ovviamente, anche l’Italia è inclusa negli Stati tenuti al rispetto degli obblighi previsti dal GDPR.
Anche nei casi in cui il GDPR non lo prevede, comunque, è preferibile nominarlo. La protezione dei dati personali espone infatti il Titolare e il Responsabile del trattamento a diversi rischi. Sono proprio Titolare e Responsabile a dover nominare, quando necessario, il DPO.

Come diventare Data Protection Officer

Il Data Protection Officer può essere nominato tra i dipendenti dell’organizzazione che effettua il trattamento. Può inoltre essere un consulente esterno.
Di solito, nel contesto della Pubblica Amministrazione il DPO è nominato tra i dipendenti dell’ente. Quando il responsabile viene individuato tra i membri del personale, generalmente la scelta ricade su un dirigente. Il GDPR prevede infatti che il DPO sia scelto tra funzionari di alta professionalità in grado di svolgere le proprie mansioni in maniera indipendente e autonoma.

Invece, nel caso in cui il responsabile sia necessario in contesto aziendale, sono spesso interpellati liberi professionisti esterni all’azienda.
Ad ogni modo, per svolgere adeguatamente le mansioni previste, è necessario disporre di conoscenze specifiche. Non solo sul GDPR, ma anche in materie giuridiche. Il Data Protection Officer, inoltre deve possedere competenze di risk management e informatica.

Per acquisire tutte queste abilità, non esiste ad oggi un corso di studi specifico. Allo stesso modo, al momento non è stato neppure istituito un albo specifico al quale iscriversi per esercitare la professione. Tuttavia, data la crescente richiesta di DPO e visto che si tratta di una professione complessa, esistono corsi da frequentare su base volontaria.
Si tratta, nella maggior parte dei casi, di corsi di Alta formazione, universitari e non. I corsi consentono di acquisire tutte le hard skills necessarie per svolgere adeguatamente la professione di consulente per la privacy in contesti pubblici o aziendali.

Ricordiamo poi che, pur non essendo una professione regolamentata, quella del Data Protection Officer fa riferimento alla L. n. 4/2013. Tale legge prevede la possibilità di certificare le competenze professionali ai sensi della normativa EN-ISO/IEC 17065/2012. Conseguire una certificazione che rispetti tale normativa significa ottenere una formazione in linea con le norme dell’Unione Europea.

Quanto guadagna un Data Protection Officer

Ma quanto guadagna un Data Protection Officer in Italia e In Europa? Abbiamo già approfondito la complessità di questa professione, che interviene per garantire la protezione dei dati personali. Il compenso erogato può variare a seconda dell’ambito in cui il professionista opera. In Italia, e in generale in Europa, un DPO guadagna in media 70.000 euro annui.
Ovviamente, il compenso annuo varia a seconda del livello: per le figure entry level, il guadagno atteso scende a 50.000 euro l’anno. Ci sono però professionisti esperti il cui guadagno supera anche i 100.000 euro annui.