È obbligatorio per gli enti pubblici e per chi tratta dati particolari o effettua monitoraggio sistematico su larga scala. Molte PMI non hanno l’obbligo, e nominarne uno volontariamente comporta comunque gli obblighi che ne derivano: va deciso con cognizione, non per sicurezza.
Il requisito che viene ignorato più spesso è l’indipendenza. Il DPO non può controllare decisioni che ha preso lui stesso: nominare il responsabile IT o chi gestisce i sistemi crea un conflitto che il Garante ha già sanzionato in più occasioni.
Perché conta per un’azienda
Quando serve, la scelta della persona conta più della nomina in sé: un DPO che non ha accesso alla direzione e non viene coinvolto nelle decisioni è una casella riempita.
L’errore che vediamo più spesso
Il fornitore informatico non può essere il vostro DPO se gestisce anche i sistemi: sarebbe controllore di se stesso. È l’errore più comune fra le organizzazioni che nominano d’ufficio.