ISO 11697:2017

Profili professionali nel settore della Data Protection

Uno dei punti di forza del GDPR riguarda l’obbligo, nei casi previsti dall’art. 37, di inserire un Data Protection Officer (DPO), ovvero un «esperto in grado di fornire consulenza al management aziendale circa le prescrizioni della legge sulla protezione dei dati personali, sorvegliando poi che esse siano correttamente applicate, fungendo inoltre da punto di contatto con l’Autorità per la privacy e con gli interessati».

Proprio l’importanza e la complessità della funzione assolta dal DPO ha fatto emergere la necessità di affiancare il Responsabile dei dati personali con delle figure di alto profilo professionale, le cui competenze (insieme a quelle del DPO) vengono definite dalla norma ISO 11697 del 2017.

Questo standard, come è facile intuire, si inserisce in un contesto estremamente delicato, qual è quello della protezione dei dati personali, e trova supporto negli articoli 42 e 43 del GDPR che fissano la valenza delle certificazioni e degli organismi di certificazione.

La norma 11697, partendo dal presupposto che il professionista operante nell’ambito del trattamento e della protezione dei dati personali svolge una gramma di attività dalle dinamiche trasversali, ha individuato quattro figure professionali:

• il Responsabile della protezione dei dati personali, corrispondente al profilo delineato dagli articoli 37-39 del GDPR;

• il Manager Privacy, inteso come profilo di alta competenza per garantire il coordinamento trasversale dei soggetti coinvolti nel trattamento dei dati personali;

• il Valutatore Privacy, riconosciuto come profilo indispensabile allo svolgimento di attività di audit sulla conformità dei trattamenti di dati personali;

• lo Specialista Privacy, definita come figura operativa che supporta il DPO e/o il Manager Privacy.

Il Garante riconosce all’ISO 11697 la portata di un indispensabile “indicatore delle competenze”, tanto da divenire criterio di selezione anche in riferimento agli stessi meccanismi di certificazione. Infatti, la norma tecnica per le certificazioni, stabilita dall’Autorità in linea con i citati articoli 42 e 43, richiede, sia «per il responsabile delle decisioni relative alle certificazioni» sia «per il personale responsabile delle valutazioni», il possesso di certificazione accreditata rispettivamente per il profilo Specialista Privacy e Valutatore Privacy.

La Redazione

Bacheca

Specialista Privacy

La norma ISO 11697 individua lo Specialista Privacy come il professionista abilitato al supporto del DPO e/o del Manager Privacy, al fine di garantire la corretta applicazione del Regolamento UE 2016/679 (GDPR), oltre alla realizzazione di idonee misure tecniche ed organizzative. Nello specifio si qualifica come esperto “operativo” per la protezione dei dati personali.

Tra i suoi compiti:

• condurre attività di valutazione d’impatto;

• fornire un supporto specialistico;

• proporre misure atte a gestire i rischi;

• redigere e aggiornare le procedure;

• attuare e documentare soluzioni tecniche;

• attestare le violazioni.

Si tratta, dunque, di una figura di consulenza strategica, indispensabile per valutare e organizzare il trattamento dei dati, affinché gli stessi siano utilizzati a norma di legge.

Lo Specialista Privacy supporta ogni ente, pubblico o privato, nel definire un piano di adeguamento al GDPR in grado di contemplare ogni aspetto, da quello gestionale a quello tecnologico.