Il Garante: per il responsabile privacy servono competenze specifiche anche senza attestati formali

Competenze ed esperienze specifiche, ma non attestazioni formali sul possesso delle conoscenze o l'iscrizione in albi professionali. Sono queste le indicazioni operative che il Garante della Privacy ha fornito in merito alla scelta il Responsabile della protezione dei dati personali (RPD), la nuova figura introdotta dal Regolamento Ue 2016/679 che tutti gli enti pubblici e anche molteplici soggetti privati dovranno designare non più tardi del prossimo maggio 2018.

L'Autorità ha subito chiarito che la normativa attuale non prevede l'obbligo per i candidati di possedere attestati formali delle competenze professionali. Attestati di questo tipo possono rappresentare un utile strumento per valutare il possesso di un livello adeguato di conoscenza della disciplina ma, tuttavia, non equivalgono a una “abilitazione” allo svolgimento del ruolo. La normativa attuale, tra l'altro, non prevede l'istituzione di un albo dei “Responsabili della protezione dei dati” che possa attestare i requisiti e le caratteristiche di conoscenza, abilità e competenza di chi vi è iscritto. Enti pubblici e società private dovranno quindi comunque procedere alla selezione del RPD, valutando autonomamente il possesso dei requisiti necessari per svolgere i compiti da assegnati.

I Responsabili della protezione dei dati personali - spesso indicati con l'acronimo inglese DPO (Data Protection Officer) – dovranno avere un'approfondita conoscenza della normativa e delle prassi in materia di privacy, nonché delle norme e delle procedure amministrative che caratterizzano lo specifico settore di riferimento. Nella selezione sarà poi opportuno privilegiare soggetti che possano dimostrare qualità professionali adeguate alla complessità del compito da svolgere, magari documentando le esperienze fatte, la partecipazione a master e corsi di studio/professionali (in particolare se risulta documentato il livello raggiunto).