Verificare prima se la nomina è dovuta
Il GDPR prevede la designazione del Responsabile della protezione dei dati in specifiche ipotesi, tra cui autorità e organismi pubblici e attività principali che comportano monitoraggio regolare e sistematico su larga scala o trattamento su larga scala di categorie particolari di dati. Una struttura sanitaria deve analizzare natura, dimensione e attività effettive; la sola denominazione dell’ente non sostituisce questa verifica.
Anche quando la designazione non risulta obbligatoria, l’organizzazione può scegliere di nominare un DPO. In ogni caso, deve chiarire per iscritto mandato, compiti, canali di contatto e risorse, e pubblicare i dati di contatto quando richiesto.
Proteggere autonomia e accesso
Il DPO informa e consiglia, sorveglia l’osservanza, offre pareri sulla valutazione d’impatto, coopera con l’autorità e funge da punto di contatto. Deve essere coinvolto tempestivamente, avere accesso ai trattamenti e poter riferire al livello gerarchico più alto. Non riceve istruzioni su come svolgere i suoi compiti e non può subire penalizzazioni per averli svolti.
La designazione da sola non basta. Un DPO senza tempo, accesso ai responsabili di processo, supporto amministrativo o risorse adeguate rischia di restare una casella nell’organigramma. Prima della nomina è utile verificare carico di lavoro, competenze necessarie, accessibilità per gli interessati e modalità di sostituzione.
Individuare chi decide finalità e mezzi
Il conflitto di interessi dipende dai compiti effettivi e va valutato nel contesto. È problematico affidare la funzione a chi decide finalità e mezzi dei trattamenti che dovrebbe sorvegliare. Il Garante richiama, tra gli esempi, ruoli di alta direzione e funzioni come IT, gestione del rischio o risorse umane quando comportano poteri decisionali rilevanti. Anche un consulente esterno può trovarsi in conflitto se progetta o gestisce per il titolare le stesse attività che dovrebbe controllare.
Il titolo professionale non risolve il problema: occorre mappare responsabilità, deleghe, budget e poteri di approvazione. La funzione legale può essere compatibile in alcuni contesti, previa verifica concreta. Una dichiarazione generica di indipendenza è meno utile di una matrice che mostri chi decide, chi consiglia e chi verifica.
Tenere distinta consulenza e responsabilità
Il titolare mantiene la responsabilità delle decisioni e dell’accountability. Il DPO può fornire indicazioni, monitorare e mettere in evidenza criticità; non dovrebbe diventare il proprietario operativo di ogni adempimento, redigere da solo la DPIA che poi valuta o assumere decisioni che dovrà sorvegliare. La documentazione dell’incarico può indicare come il titolare esamina i pareri, gestisce i dissensi e verifica periodicamente eventuali conflitti.