Il Data Protection Officer (in italiano Responsabile per la Protezione dei Dati – RPD) è designato dal titolare del trattamento ai sensi dell’art. 37 del GDPR. Può essere un dipendente o un consulente esterno ed ha almeno i compiti indicati nell’art. 39 del GDPR:
- informazione e consulenza al titolare del trattamento;
- sorvegliare l’osservanza del Regolamento;
- fornire un parere in merito alle Valutazioni di Impatto;
- cooperare con l’Autorità di controllo
- fungere da punto di contatto per l’autorità di controllo.
Secondo quanto previsto dall’art. 37 del GDPR, il titolare del trattamento (o il responsabile del trattamento) deve designare il DPO nel caso di:
- trattamenti effettuati da una autorità pubblica o da un organismo pubblico (eccetto le autorità giurisdizionali quando esercitano le loro funzioni giurisdizionali);
- le attività principali del titolare comportano il trattamento su “larga scala” degli interessati o consistono nel trattamento su larga scala di particolari categorie di dati personali (art. 9 – GDPR) o di dati relativi a reati e condanne penali (art. 10 – GDPR);
Il Responsabile per la Protezione dei Dati (DPO) riferisce direttamente al vertice gerarchico del titolare, non riceve alcuna istruzione in relazione ai propri compiti (è indipendente) ed il titolare (o il responsabile) del trattamento mettono a disposizione del DPO le risorse, anche economiche, necessarie a svolgere il proprio ruolo. Il DPO è tenuto alla riservatezza in merito all’adempimento dei proprio compiti. Il DPO può svolgere altri compiti, in questo caso il titolare (o il responsabile) del trattamento si assicura che tali compiti non diano luogo ad un conflitto di interesse.