Il Garante Privacy del Lussemburgo è intervenuto su un tema di rilievo per le aziende in merito alla scelta del Data Protection Officer e alle valutazioni che le organizzazioni debbono porre in essere in merito agli standard qualitativi offerti dai professionisti nominati DPO.
Sul punto, l’Autorità ha infatti sottolineato la necessità che la persona individuata quale DPO di un’organizzazione – privata o pubblica – abbia almeno maturato tre anni di esperienza nel campo della protezione dei dati personali. È la prima volta che un’autorità di controllo europea si esprime in maniera così chiara e netta relativamente agli standard qualitativi di un DPO.
Il provvedimento qui in esame ha pertanto un’importanza di particolare rilievo per le organizzazioni che si affidano a un DPO, con particolare riguardo alle nomine dei responsabili della protezione dei dati che siano alle dipendenze dei titolari del trattamento. Secondo l’Autorità, infatti, è necessario che venga individuata una figura con una particolare conoscenza della normativa locale ed europea in materia di protezione dei dati personali.
Si ricorda tra l’altro che già il GDPR ha prescritto – seppure con una terminologia generica – la necessità di individuare un responsabile della protezione dei dati con una conoscenza specialistica della normativa e della prassi in materia di protezione dei dati, ovvero che abbia reali capacità di assolvere i compiti prescritti dall’art. 39 del GDPR. L’autorità del Lussemburgo ha così individuato nel criterio temporale dei tre anni l’elemento distintivo che permette alle organizzazioni di valutare con maggior cognizione i professionisti a cui affidare il compito di responsabile della protezione dei dati.
Il principio qui indicato dall’Autorità lussemburghese nasce da una serie di audit svolti in numerose realtà su diversi aspetti della normativa in materia di protezione dei dati personali. In ultimo, si indica come l’Autorità abbia sanzionato la società oggetto di audit e sprovvista degli elementi di corretta valutazione del DPO poc’anzi descritti per un ammontare di 18.000 euro.