ll 25 gennaio 2012, la Commissione europea ha ufficialmente presentato con un Regolamento Europeo, la proposta di aggiornamento della normativa concernente la tutela delle persone fisiche con riguardo al trattamento dei dati personali e alla libera circolazione di tali dati.
Il Regolamento in questione, non solo andrà a sostituire la direttiva 95/46/CE in materia di protezione dei dati personali – recepita dal legislatore italiano con la legge 675/96, successivamente sostituita dal D.Lgs. 196/03, il nostro attuale “Codice Privacy” – ma uniformerà ed armonizzerà a livello europeo la legislazione in materia di protezione dei dati personali, risalente ormai a quasi 20 anni fa. Le imprese europee saranno agevolate da un quadro legislativo comune, senza così dover far fronte a normative differenti in ciascuno stato membro.
Il Regolamento UE, come atto “self-executing” (ai sensi dell’art. 288 del Trattato sul funzionamento dell’Unione europea – TFUE), sarà direttamente ed immediatamente esecutivo e non necessiterà del recepimento da parte degli Stati membri, divenendo operativo dal momento in cui sarà approvato. In linea con l’approccio pragmatico scelto dalla Commissione UE, sarà lasciato agli Stati membri ed alle Autorità competenti in materia un certo margine per mantenere o adottare, in conformità al Regolamento, norme specifiche di settore.
L’ultima versione del Regolamento, approvato in prima lettura dal Parlamento Europeo il del 12 marzo 2014 (il cui testo è stato votato in maniera schiacciante, 621 voti a favore, 10 contrari e 22 astensioni) è del 14/04/2016, la pubblicazione è avvenuta in data 4 maggio 2016 ed il Regolamento è diventato il n. 679/2016.
I Titolari del trattamento (imprese private, enti pubblici, studi professionali, etc.) avranno tempo due anni dalla pubblicazione del testo definitivo per mettersi in regola con gli adempimenti derivanti (il termine ultimo è quindi stabilito per il maggio 2018).
Sarà obbligatorio nominare il DPO nei seguenti casi:
Il DPO andrà designato per un dato periodo ed in funzione delle qualità professionali, della conoscenza specialistica della normativa. I Titolari del trattamento dovranno assicurarsi che ogni altra eventuale funzione professionale della persona che rivestirà il ruolo di DPO sia compatibile con i compiti e le funzioni dello stesso in qualità di DPO e non dia adito a conflitto di interessi (dovrà quindi essere autonomo, indipendente e non ricevere alcuna istruzione per l’esercizio delle sue attività).
L’articolo 39 del Regolamento 679/2016/UE prevede i compiti specifici del Data Protection Officer:
Essendo la figura del DPO obbligatoria sia per tutte le pubbliche amministrazioni che per particolari tipologie di aziende sarà necessario dotare i soggetti che ricopriranno tale ruolo di alcune competenze generali in ambito giuridico, informatico ed organizzativo, per poi integrare queste ultime con aspetti specifici per coloro che rivestiranno tale ruolo in ambito pubblico.
Le competenze generali comuni a tutti i percorsi che dovranno essere acquisite dai partecipanti ai percorsi formativi saranno le seguenti:
Competenze specifiche per coloro che dovranno operare in ambito pubblico:
Durata minima: corso di avviamento 4 ore, intermedio 12 ore, approfondito 20 ore; aggiornamento 4 ore; modulo aggiuntivo PA 8 ore.
