Introduzione
L’introduzione nel nostro ordinamento del Regolamento generale sulla protezione dei dati personali (Ue) 2016/679 (RGPD o GDPR secondo l’acronimo inglese) ha generato una serie di innovazioni. Accanto alle novità di carattere giuridico si devono registrare anche l’introduzione di diversi standard di sicurezza rafforzati. Alcune di questi cambiamenti hanno comportato la nascita di nuove figure professionali altamente tecniche e altamente specializzate. Ricordiamo a tal proposito il Responsabile della protezione dei dati o DPO, figura professionale disciplinata direttamente dal GDPR negli artt. dal 37 al 39.
Il GDPR, tuttavia, non esaurisce tutte le figure professionali nate dalla rinnovata attenzione alla privacy. In proposito nel tempo si sono sviluppati una serie di standard che fanno riferimento alla norma UNI 11697:2017 “Attività professionali non regolamentate – Profili professionali relativi al trattamento e alla protezione dei dati personali – Requisiti di conoscenza, abilità e competenza”. Tale norma prevede accanto al Responsabile della protezione dei dati, le figure del Manager Privacy, Auditor Privacy e dello Specialista Privacy.
Chi è il Privacy Manager?
Il Privacy Manager o Manager della Privacy è una figura professionale che garantisce l’adozione di idonee misure organizzative nel trattamento di dati personali. È responsabile e coordina le attività di trattamento di dati personali in uno specifico contesto organizzativo. Da questo ricaviamo che il privacy manager è un soggetto dotato di un elevato livello di conoscenze e competenze posto in funzione apicale in diretta comunicazione con il titolare. L’obiettivo del privacy manager, infatti, consiste nel coordinare trasversalmente i soggetti coinvolti nel trattamento dei dati personali, al fine di garantire il rispetto delle norme di legge applicabili e il raggiungimento nonché il mantenimento del livello di protezione adeguato in base allo specifico trattamento di dati personali effettuato.
Il Manager della privacy non ha dunque una mera funzione di coordinamento nella sua area di competenza, ma assiste il titolare in tutte le questioni legate alla privacy. Quali possono essere:
- dare seguito alle richieste di esercizio dei diritti degli interessati;
- assistere il titolare nel disporre la cancellazione o la restituzione dei dati personali alla conclusione del trattamento;
- informare periodicamente il titolare sullo stato del trattamento e della protezione dei dati personali;
- gestire il budget per la protezione dei dati personali; controllare con continuità il livello complessivo di protezione dei dati personali;
- approvare le politiche e le procedure per il trattamento e la protezione dei dati personali;
Differenze con il DPO
La figura del privacy manager si distingue nettamente da quella del DPO. Ricordiamo che mentre il secondo trova una disciplina giuridica diretta nel GDPR, il Manager della Privacy trova i suoi riferimenti nella UNI 11697:2017. Il DPO, soprattutto, gode di una posizione piuttosto particolare all’interno dell’azienda anche quando si è in presenza di un rapporto di lavoro subordinato. Il DPO, infatti, gode di una posizione di indipendenza rispetto all’azienda. Tale disciplina è contenuta nell’art. 38 GDPR che specifica che il DPO non deve ricevere nessuna istruzione e non può essere rimosso o penalizzato dal titolare del trattamento o dal responsabile del trattamento per l’adempimento dei propri compiti.
Il responsabile della protezione dei dati riferisce direttamente al vertice gerarchico del titolare del trattamento o del responsabile del trattamento. Il Manager della Privacy al contrario è parte dell’organizzazione aziendale e assiste il titolare nelle materie legate alla privacy. Il Manager Privacy dunque non gode dell’autonomia di cui gode il DPO, ma è un collaboratore del titolare. La differenza con le altre figure apicali aziendali è nel possedere una specifica formazione e delle specifiche abilità nella materia della privacy e di conseguenza la possibilità di comprendere e intervenire prontamente sulle eventuali criticità che dovessero essere riscontrate. Per questo, infatti, la norma UNI prevede che il Manager Privacy sia messo a conoscenza della valutazione d’impatto. Il Manager Privacy, tuttavia, non deve solo conoscere la valutazione d’impatto, ma deve essere anche in grado di interpretarla e comprenderla.
La valutazione d’impatto, infatti, è richiesta quando un tipo di trattamento, allorché prevede in particolare l’uso di nuove tecnologie, considerati la natura, l’oggetto, il contesto e le finalità del trattamento, può presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento effettua, prima di procedere al trattamento, una valutazione dell’impatto dei trattamenti previsti sulla protezione dei dati personali. Di conseguenza le conoscenze del manager privacy non possono limitarsi solo al contesto aziendale o alla normativa giuridica, ma devono riguardare anche il campo tecnico.
La formazione del Manager della Privacy
L’obbligo di informazione e di formazione è un principio che può essere trovato in tutto il GDPR. Pertanto per l’azienda la figura del Privacy Manager è diventata quanto mai indispensabile nel nuovo Mondo tutto orientato al digitale. I requisiti per diventare Manager della Privacy possono ritrovarsi nella norma UNI 11697:2017 “Attività professionali non regolamentate – Profili professionali relativi al trattamento e alla protezione dei dati personali – Requisiti di conoscenza, abilità e competenza”.
Il percorso per diventare Manager della Privacy prevede la frequenza di un corso di 60 ore e il superamento dell’esame di certificazione. Per accedere a questo percorso la norma UNI 11697:2017 richiede una laurea che includa discipline almeno in parte afferenti alle conoscenze del professionista privacy, legali o tecnico/informatiche e un minimo di 6 anni di esperienza lavorativa legata alla privacy di cui 3 anni in incarichi di livello manageriale. Affidarsi a dei professionisti della formazione dunque resta la via maestra per sviluppare le competenze necessarie a diventare un Manager della Privacy pronto ad affrontare le continue sfide che la relata in continuo mutamento pone all’impresa moderna.
