Il Sole 24 Ore: Data Protection Officer, figura strategica tra privacy e security
Riprendendo i risultati dell'ultima ricerca di Federprivacy, e citando alcune dichiarazioni del presidente Nicola Bernardi, Il Sole 24 Ore dedica un articolo al Data Protection Officer. Di questa figura professionale si sta iniziando a parlare con sempre maggiore insistenza perché, nella sostanza, la richiede il nuovo Regolamento europeo 2016/679 per la protezione e libera circolazione dei dati personali, il cosiddetto Gdpr, che andrà in vigore a partire da maggio del prossimo anno.
A dotarsi in organico di un Data protection officer, così prevede la normativa, devono essere tutte le imprese pubbliche e private che svolgono trattamenti (sui dati) potenzialmente in grado di ledere gravemente i diritti degli interessati e hanno, pertanto, la necessità di essere monitorati da un soggetto che sia indipendente rispetto alle logiche aziendali.
Questo soggetto, come prescrive l’articolo 37 del Regolamento Ue, «deve essere designato sulla base della conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati». Il concetto, ribadito anche dalle linee guida approvate dalle Autority di Garanzia comunitarie, è chiaro ma sono assai poche le imprese, italiane in primis, che hanno seguito alla lettera queste raccomandazioni. Alcuni studi evidenziano, per esempio, come diverse organizzazioni, evidentemente ancora poco preparate sulla questione, attribuiscano la funzione di Data protection Officer al proprio It manager (o a una risorsa appartenente alla funzione It), contravvenendo di conseguenza alle indicazioni Ue, incorrendo in sanzioni (è capitato a una società tedesca) e configurando una situazione di conflitto di interessi e di palese incompatibilità di ruoli.
Esplicito e chiarificatore, nell’ottica di evitare pericolose violazioni, è il commento in materia del presidente di Federprivacy, Nicola Bernardi: «Un titolare del trattamento dei dati che designa il proprio It manager come Data protection officer non solo deve dimostrare che tale persona possegga effettivamente le conoscenze specialistiche della normativa come richiesto all’art.37 del Regolamento, ma deve anche assicurare che altri compiti e funzioni da questo svolte non diano adito a un conflitto d’interessi, come prescritto nell'art.38, perché altrimenti il Dpo dovrebbe in pratica controllare se stesso. Quando il Regolamento Ue sarà direttamente applicabile, non ci sarebbe quindi da stupirsi se anche l’Authority italiana multasse imprese che non hanno prestato attenzione a questi due requisiti essenziali».
Nel processo di selezione del Dpo, insomma, uno dei rischi ricorrenti è quello di trascurare colpevolmente le conoscenze giuridiche indispensabili per districarsi fra le maglie della normativa e ridurre ai minimi termini la possibilità di incorrere in sanzioni che possono arrivare fino a 20 milioni di euro o al 4% del fatturato annuo. La difficoltà nel mettere a fuoco la problematica e nel distinguere la differenza sostanziale tra la conformità al Regolamento sulla protezione dei dati personali e la sicurezza informatica (e quindi l’analisi delle minacce, delle vulnerabilità e dei rischi associati agli asset informatici) sono altresì spesso evidenti.
A maggior ragione, quindi, la selezione di questa nuova figura per l’impresa assume importanza strategica. Come e dove reperirla? Il suo profilo ideale, secondo gli esperti, risponde a quello di un professionista esterno all’azienda, dotato delle necessarie competenze giuridiche (per poter interpretare correttamente le norme da applicare) ed informatiche (per potersi rapportare adeguatamente con i responsabili dei sistemi informativi). Dalla sua dovrebbe quindi avere anche capacità per realizzare una completa analisi dei rischi connessi al trattamento dei dati e per valutare le interazioni con le altre discipline che riguardano, anche indirettamente, la sicurezza e la gestione delle informazioni.
I compiti del Data Protection Officer non sono quindi paragonabili a quelli di un’altra nuova figura “imposta” dalla rivoluzione digitale, e cioè quella del Privacy Officer, che rispetto al primo può essere un dipendente dell’azienda e riveste un ruolo meramente esecutivo. Al Dpo tocca la sorveglianza dell’osservanza del Regolamento Ue e delle specifiche prescrizioni delle autorità nazionali, la cooperazione con l’autorità di controllo, la responsabilità di informare e consigliare chi gestisce il trattamento dei dati sull’eventuale non conformità delle soluzioni adottate e sulle possibili azioni di miglioramento. Il 25 maggio 2018, data in cui il Gdpr entrerà ufficialmente in vigore, sembra lontano. Ma il consiglio degli esperti rivolto alle aziende in cerca di questa figura è all’unisono: occorre muoversi subito, anche per poter eventualmente rimediare e rivalutare le scelte fatte finora.
Fonte: Il Sole 24 Ore - Articolo a cura di Gianni Rusconi
