Come scegliere il Responsabile della protezione dei dati personali: le indicazioni del Garante

«Le pubbliche amministrazioni, così come i soggetti privati, dovranno scegliere il Responsabile della protezione dei dati personali con particolare attenzione, verificando la presenza di competenze ed esperienze specifiche, per il possesso delle quali non sono richieste attestazioni formali o l’iscrizione ad appositi albi professionali»: queste alcune delle principali indicazioni fornite dal Garante della privacy in seguito alle richieste di chiarimento giunte in merito alla nomina di questa nuova importante figura, introdotta dal Regolamento UE 2016/679, che tutti gli enti pubblici e molti soggetti privati dovranno designare entro maggio 2018. Nella nota inviata dall’Ufficio del Garante a un’azienda ospedaliera, si ricorda che «I Responsabili della protezione dei dati personali, spesso indicati con l’acronimo inglese DPO (Data Protection Officer), dovranno avere un’approfondita conoscenza della normativa e delle prassi in materia di privacy, nonché delle norme e delle procedure amministrative che caratterizzano lo specifico settore di riferimento. Nella selezione sarà poi opportuno privilegiare i soggetti che possano dimostrare qualità professionali adeguate alla complessità del compito da svolgere, magari documentando le esperienze fatte, la partecipazione a master e corsi di studio o professionali». In particolare, secondo il Garante, le aziende ospedaliere, in considerazione della delicatezza dei dati trattati, relativi alla salute o alla genetica, dovranno preferire candidati con specifiche esperienze al riguardo e che possano garantire un impegno esclusivo per la gestione dei compiti assegnati. Gli enti dovranno quindi valutare personalmente le qualità dei soggetti, in quanto «la normativa attuale non prevede l’obbligo per i candidati di possedere attestati formali delle competenze professionali. Tali attestati, – chiarisce la nota – rilasciati anche all’esito di verifiche al termine di un ciclo di formazione, possono rappresentare un utile strumento per valutare il possesso di un livello adeguato di conoscenza della disciplina, ma, tuttavia, non equivalgono a una “abilitazione” allo svolgimento del ruolo del RPD. La normativa attuale, tra l’altro, non prevede l’istituzione di un albo apposito che possa attestare i requisiti e le caratteristiche di conoscenza, abilità e competenza di chi vi è iscritto». Ulteriori orientamenti saranno forniti dal Garante, alla luce dell’esito dei quesiti e delle richieste di approfondimento sul Regolamento privacy, raccolti nell’ambito di specifici incontri che l’Autorità ha in corso con imprese e Pubblica Amministrazione. Tali nuove indicazioni verranno pubblicate sul sito istituzionale.