Tre anni dopo il GDPR, i DPO devono ora convincere le imprese sulla loro utilità

A quasi tre anni dall’operatività del Gdpr, ora la sfida dei data protection officer è quella di convincere le imprese sulla vera utilità di questa figura. Questo perché il DPO è una “figura artificiale”, cioè creata "ex lege" anziché dal mercato, e i precedenti nella storia del diritto insegnano che il rischio è che i risultati siano modesti, o addirittura deludenti.

Si è sviluppato intorno a questo concetto il dibattito dell'incontro "Il Data Protection Officer tra regole e prassi” organizzato da Federprivacy a cui hanno partecipato oltre 400 professionisti di multinazionali ed altre grandi realtà italiane.

Anche se non vi sono dubbi che l'inserimento del data protection officer nell'ordinamento europeo della protezione dei dati sia stata una scelta quantomeno opportuna, “la vera scommessa sta nel verificare se tale figura, nella pratica, riuscirà a fare la differenza e garantire un innalzamento qualitativo del livello di applicazione concreta delle regole e di rispetto dei diritti degli interessati o, se al contrario, si rivelerà solo un ennesimo adempimento formale privo di qualsivoglia beneficio concreto per la società”.

A dirlo è Guido Scorza, componente del Garante per la protezione dei dati personali, che è intervenuto all’evento, insieme a Nicola Bernardi, presidente di Federprivacy, e a Rocco Panetta (nella foto), Country Leader di IAPP per Italia, che ha osservato:

“Se il DPO sia l’opzione giusta, solo il tempo potrà dirlo. Ma di certo è una grande opportunità che il Gdpr ha offerto ad aziende e cittadini. Rafforziamolo con iniezioni di indipendenza, autorevolezza e competenza, sia esso esterno od interno all’azienda e magari riusciremo meglio sia a tutelare i dati personali che a valorizzarli”.

Durante l’incontro, Federprivacy ha effettuato anche alcuni sondaggi in tempo reale attraverso il proprio canale Telegram, dai quali è emerso che il 27% dei professionisti del settore concordano che l’introduzione del DPO è stata una scelta opportuna del legislatore, mentre il 41% di essi la considera addirittura necessaria. Inoltre, il 54% degli addetti ai lavori ritiene che il data protection officer si sia rivelato una figura utile alle imprese, anche se per scansare rischi di conflitti d’interesse e pregiudicarne l’indipendenza il 69% degli addetti ai lavori pensa che sarebbe meglio affidare l’incarico ad un professionista esterno, e il 73% di essi vorrebbe l’introduzione di tariffe di riferimento specifiche per la categoria professionale dei data protection officer.

Nel corso dei lavori è stato affrontato anche il tema delle competenze, e a proposito delle certificazioni professionali in ambito privacy, Bernardi ha precisato che “per fare il DPO non esistono titoli abilitanti, ma occorre avere la conoscenza specialistica della normativa e delle prassi sulla protezione dei dati personali. Tuttavia quello che dà una certificazione è un valore aggiunto con il quale un ente terzo e indipendente rilascia al professionista un’attestazione formale sull’effettivo possesso delle competenze richieste dal Gdpr”.

A tal proposito, un altro dei sondaggi proposti ai partecipanti ha evidenziato che le certificazioni professionali, di natura volontaria per chi deve ricoprire il ruolo di DPO, sono considerate un “must-have” dal 29% dei professionisti, mentre quasi la metà (47%) degli intervistati la considera come una credenziale opzionale di importanza relativa.