Nel diritto europeo , il delegato per la protezione dei dati (abbreviato DPD , o DPO per protezione dei dati ) è la persona responsabile per la protezione dei dati personali all'interno di un'organizzazione.
Il regolamento europeo è entrato in vigore il 25 maggio 2018. Una nuova formulazione del Data Protection Act del 6 gennaio 1978 è in vigore dal 1 giugno 2019 e definisce il principio di protezione dei dati. La normativa europea è valida a livello europeo e prevede che le società che svolgono attività nel settore dei dati personali debbano essere controllate da un DPO appositamente incaricato a tal fine. L'articolo 37 del regolamento europeo stabilisce le disposizioni relative al Responsabile della protezione dei dati, in virtù delle quali le società interessate devono adempiere agli obblighi di legge.
Le sue principali missioni sono, da un lato, informare e consigliare la propria organizzazione e, dall'altro, controllare l'applicazione dei testi giuridici e delle norme interne in materia di dati personali. Funge da punto di contatto tra la sua organizzazione e un'autorità di controllo nazionale, come la CNIL .
La nomina di un responsabile della protezione dei dati a volte è obbligatoria. Il Delegato può essere un membro dell'organizzazione che consiglia o lavorare come consulente esterno. Può anche essere condiviso , quando lo stesso Delegato è nominato da più strutture. In tutti i casi, il Delegato deve essere dotato dei mezzi per svolgere la sua missione ed essere in grado di agire in modo indipendente.
A livello europeo, il Data Protection Officer è il responsabile del rispetto del Regolamento Europeo sulla Protezione dei Dati Personali (GDPR) all'interno di un'organizzazione.
I dati personali di protezione professionale sono attualmente designati con i nomi di Beauftragter für Datenschutz in Germania , Personuppgiftsombude in Svezia , functionaris voor de gegevensbescherming nei Paesi Bassi , Personas datu aizsardzības Specialista in Lituania , Isikuandmete kaitse eest vastutav isik in Estonia , Chargé Data Protection Officer in Lussemburgo , Protezione dei dati Ufficiale in Belgio , Datenschutzberater / responsile della Protezione dei dati in Svizzera, Rapprezentant ta'data Personali in Malta , Belső adatvédelmi Fele LOS in Ungheria , Dohľad nad ochranou osobných údajov in Slovacchia e responsabile seguridad in Spagna .
I responsabili della protezione dei dati sono nominati formalmente e ufficialmente presso la Commissione nazionale per l'informatica e le libertà ( CNIL ). I loro contatti sono resi pubblici sul data.gouv.fr piattaforma .
La relazione annuale della CNIL per il 2015 indica che 4.321 corrispondenti per la protezione dei dati sono stati nominati alla Commissione da 16.406 responsabili del trattamento, privati o pubblici. Nella sua relazione annuale per il 2018 "La CNIL in breve", la CNIL indica che 39.500 organizzazioni hanno nominato un delegato, che rappresenta 16.000 delegati alla protezione dei dati. Si prevede che questo numero supererà i 21.000 entro la fine del 2019.
Nell'ambito del passaggio alle nuove regole, l' Associazione francese dei corrispondenti per la protezione dei dati personali (AFCDP), un'associazione che riunisce in Francia i professionisti della conformità e delle libertà IT e della protezione dei dati personali , aveva richiesto che un prevedere una " clausola nonno " che avrebbe consentito di confermare nella loro funzione di DPO i CIL che lo desideravano e che rispondevano ai nuovi requisiti, al fine di capitalizzare il lavoro già svolto e garantire la più ampia diffusione possibile del spirito della legge. Il segretario generale della CNIL, nel gennaio 2017, ha dichiarato pubblicamente in una conferenza che ha riunito quattrocento CIL: "Abbiamo tutto l'interesse che la maggior parte di voi venga confermata come DPO".
Prima della normativa europea, la nomina di un corrispondente informatico non era un obbligo legale. Con il regolamento europeo la designazione può essere effettuata in forma non scritta. L'imprenditore nomina il responsabile della protezione dei dati in conformità con la normativa e si impegna a informare immediatamente l'autorità di controllo ea pubblicare i dati di contatto del rappresentante. In alternativa, gli imprenditori possono optare per un responsabile della protezione dei dati aziendali, a condizione che siano facilmente raggiungibili da qualsiasi filiale. Questa opzione è particolarmente vantaggiosa per le aziende di tutta l'UE con più sedi, in quanto elimina la necessità di avere più contatti, garantendo una maggiore trasparenza e sicurezza nell'elaborazione e nella gestione.
Un incarico esterno non è necessariamente necessario se esiste un DPO interno con le qualifiche appropriate. Il metodo più adatto dipende dalla forma e dalle dimensioni dell'azienda nonché dal carico di lavoro del DPO.
La designazione di una persona responsabile del rispetto della legge sulla protezione dei dati e delle future disposizioni del regolamento generale sulla protezione dei dati ha quindi diversi vantaggi:
È anche la prova di un impegno etico e civico e uno strumento per la valorizzazione del patrimonio informativo.
La funzione di Data Protection Officer è definita nel Regolamento generale sulla protezione dei dati (GDPR), 2016/679 del 27 aprile 2016, principalmente dal considerando 97 e dalla sua sezione 4. La nomina di un Data Protection Officer per la protezione dei dati è obbligatoria per qualsiasi organizzazione che soddisfa uno dei seguenti criteri:
In altri casi, le organizzazioni possono nominare volontariamente un responsabile della protezione dei dati. Un responsabile della protezione dei dati può essere condiviso tra più organizzazioni. Il responsabile della protezione dei dati può essere un membro del personale o svolgere le sue funzioni sulla base di un contratto di servizio.
Le principali missioni del Responsabile della protezione dei dati sono le seguenti (art. 39):
Gli attuali Data Protection Officer hanno profili molto eterogenei.
Uno studio condotto su richiesta del CNIL in occasione del decimo anniversario della professione di corrispondente di informatica e libertà, nell'ottobre 2015, ha evidenziato che il 47% dei professionisti aveva una formazione tecnica (informatica), seguita da persone con formazione giuridica. Uno studio simile, condotto nel 2012 dall'AFCDP, ha mostrato che il resto dei CIL aveva seguito gli studi iniziali sulla qualità, la gestione del rischio, il controllo di gestione e la gestione delle risorse umane.
Questa diversità persiste all'interno dei DPO, poiché l'indagine condotta nel 2019 dalla Delegazione generale per l'occupazione e la formazione professionale (DGEFIP) mostra una distribuzione equilibrata tra legale (31,1%), IT (34, 9%) e altri (34%). Questa diversità si riscontra in diversi settori, con un aumento del profilo legale come confermato dalle indagini condotte tra il 2011 e il 2019 dal network SupDPO : nel 2019 era composto dal 38% dei DPO con profili legali, e dal 41% dei DPO con profili legali Profilo IT.
Sebbene non sia obbligatorio, esistono certificazioni per diventare DPO. Il 20 settembre 2018 la CNIL ha adottato due standard per la certificazione delle competenze del responsabile della protezione dei dati:
Alla professione sono dedicati anche corsi di alta formazione, come master specialistici e diplomi universitari.
Lo studio "Privacy Professional's - Role, Function and Salary Survey 2011" condotto dall'IAPP ( International Association of Privacy Professionals ) indica che i professionisti della privacy americani guadagnano più di $ 300.000 all'anno per l'1% di questi, tra 200.000 $ e 300.000 $ all'anno al 5% tra di loro, tra 150000 $ e 200000 $ per il 13% e tra 100000 $ e 150000 $ al 37%.
Lo studio "Privacy Professional's - Role, Function and Salary Survey 2011" IAPP Canada indica che la protezione professionale canadese della privacy guadagna tra 100.000 $ e 200.000 $ all'anno nel settore privato (più il bonus) e tra 75.000 $ e 150 000 $ all'anno nel settore pubblico.
Lo studio "Privacy Professional's - Role, Function and Salary Survey 2010" IAPP Europe, afferma che i professionisti europei per proteggere la privacy guadagnano tra 150.000 $ e 200.000 $ all'anno al 9%, tra 100.000 $ e 150.000 $ per il 26% e tra 50.000 $ e 100.000 $ al 49%. Inoltre, il 30% di questi professionisti riceve anche stock option e bonus del 60%.
Secondo lo studio condotto da AFCDP nel 2012, lo stipendio medio di un CIL era di 47.000 euro lordi annui.
Il Data Protection Officer essendo un'evoluzione del distaccato alla protezione dei dati personali della Direttiva 95/46 / CE , molte caratteristiche sono state mantenute, come la sua indipendenza, la possibilità di svolgere incarichi part-time, il fatto che deve rimanere esenti da conflitti di interesse, il suo collegamento il più direttamente possibile al titolare del trattamento o all'organo decisionale, il suo ruolo di interfaccia con la CNIL , la sua mancanza di responsabilità personale. È anche probabile che il Responsabile della protezione dei dati continui i compiti del CIL: preparazione dei fascicoli delle formalità presso la CNIL per il trattamento non esente da formalità, sviluppo di una politica di protezione dei dati personali , sensibilizzazione del personale alle disposizioni di legge, sviluppo e controllo dell'applicazione di specifici codici di condotta.
Le principali evoluzioni del responsabile della protezione dei dati rispetto al corrispondente IT e delle libertà attuali sono:
Altre modifiche non sono esplicitamente menzionate nel regolamento ma derivano dalle sue disposizioni. Pertanto, il responsabile della protezione dei dati:
Finora è stata comminata una multa massima di 50.000 euro per mancata nomina intenzionale o negligente di un responsabile della protezione dei dati. Dal 25 maggio 2018 la sanzione salirà al 2% del fatturato annuo complessivo fino a 10 milioni di euro. L'autorità di controllo si riserva il diritto di imporre una multa più elevata. I responsabili della protezione dei dati devono dimostrare qualifiche diverse ed essere preparati ad adattarsi ai cambiamenti nella tecnologia dell'informazione. La formazione continua e la competenza giuridica sono essenziali. Le persone che non fanno parte del consiglio di sorveglianza o della direzione dell'azienda sono responsabili della protezione dei dati. Anche se la combinazione è consentita, questa costellazione può portare a pregiudizi e ostacolare il rispetto del regolamento di base sulla protezione dei dati.
Gli uffici di credito e le società di elaborazione dati dovrebbero, con l'entrata in vigore dell'EU OVDS, essere soggetti al controllo di un responsabile della protezione dei dati, garantendo così l'integrità e la competenza della loro gestione dei dati. Il mancato rispetto di tale obbligo comporterà sanzioni significative per la società interessata.
Il GDPR introduce nuovi requisiti relativi al licenziamento e alla cessazione del rapporto di lavoro di un responsabile della protezione dei dati per le autorità pubbliche e le organizzazioni private. I DPO sono soggetti a una protezione speciale contro il licenziamento, il dovere di riservatezza e il diritto di rifiutarsi di testimoniare.