La figura del Data Protection Officer nel quadro giuridico europeo sulla protezione dei dati personali

L'introduzione della legge sulla protezione dei dati in Svizzera, si è rivelato un processo lungo. I primi passi sono stati compiuti fin primi anni ‘70, con la stesura di una proposta di legge, infine presentata nel 1984.
Nel frattempo, l'articolo 28 del Codice civile svizzero disciplinava la protezione dei dati nel settore privato. Nel 1991 viene istituita un’Autorità di controllo (Incaricato federale della protezione dei dati).
Un nuovo disegno di legge per la protezione dei dati è stato proposto nel marzo 1988 ed infine approvato il 19 giugno 1992. La legge federale sulla protezione dei dati è entrata in vigore l’1 luglio 1993.
La Legge federale svizzera sulla protezione dei dati si basa su principi simili a quelli delle altre legislazioni in vigore in altri paesi europei, anche se la Svizzera non è membro dell'UE. Per la prima volta in Svizzera, i settori pubblico e privato sono soggetti alle stesse regole. Nel settore pubblico, la legge riguarda solo le attività delle autorità a livello federale. Tuttavia, la maggior parte dei cantoni svizzeri ha introdotto una legislazione simile valida per la raccolta ed i trattamenti di dati a livello cantonale. La legge federale sulla protezione dei dati ha ottenuto l'approvazione in merito adeguatezza da parte dell'UE nel 2000.
La legge federale sulla protezione dei dati si occupa del Data Protection Officer nell’articolo 11, riguardante l’obbligo di notifica dei trattamenti all’Autorità di controllo (Incaricato federale della protezione dei dati) e delle rispettive esenzioni o semplificazioni. Tale norma statuisce che il DPO è colui che controlla autonomamente il rispetto delle disposizioni interne in materia di protezione dei dati personali e tiene un registro delle collezioni di dati; un dettato di questo tipo appare conforme a quanto presente nell’articolo 18 paragrafo 2 della Direttiva 95/46/CE di cui la Svizzera non è un destinatario.
L’ultimo comma dell’articolo 11 stabilisce che il Consiglio federale disciplina le modalità di notifica ed i compiti del DPO.
L’ordinanza del 14 giugno 1993 relativa alla legge federale sulla protezione dei dati (OLPD, RS 235.11) si occupa, tra l’altro, anche di delineare i compiti e lo statuto del Data Protection Officer (Responsabile della protezione dei dati).
L’articolo 12a di tale ordinanza stabilisce che il titolare dei dati per essere esonerato dall’obbligo di notifica deve nominare un DPO ed informare l’Autorità di controllo (Incaricato federale della protezione dei dati) di tale nomina.
Le aziende di qualunque dimensione sono dunque libere di scegliere se nominare oppure no un DPO, infatti la legge non stabilisce un numero di dipendenti sopra il quale la possibilità diventa obbligo, come accade invece in Germania e Slovacchia.
L’obbligo di informare l’Autorità di controllo (Incaricato federale della protezione dei dati) è una disposizione che si trova anche in altri testi di legge come quello della Francia, della Svezia, dei Paesi Bassi, della Lituania, della Slovacchia ed anche nel Regolamento 2001/45/CE e nella Proposta di Regolamento del 25 gennaio 2012.
Il secondo comma dell’articolo 12a stabilisce che può essere nominato DPO sia un collaboratore interno all’azienda, sia un terzo, ma in ogni caso non può esercitare attività inconciliabili con la funzione di protezione dei dati personali. Una disposizione di questo tipo si trova anche nel Regolamento 2001/45/CE ed altresì nella Proposta di Regolamento del 25 gennaio 2012.
Per garantire l’ottimale svolgimento delle funzioni di protezione dei dati bisognerebbe evitare che il posto di DPO si trovi all'interno della linea gerarchica, poiché si rischierebbe di innescare un conflitto d'interessi. Quindi se si ricorre ad un collaboratore interno dovrebbe essergli assegnata una posizione autonoma, mentre il problema non si pone ricorrendo a una persona esterna.
Il comma 2 statuisce anche che il soggetto nominato DPO deve disporre delle conoscenze tecniche necessarie per lo svolgimento dei propri compiti. Un requisito di questo tipo è richiesto anche dalla normativa tedesca, francese, dei Paesi Bassi, dal Regolamento 2001/45/CE e nella Proposta di Regolamento del 25 gennaio 2011.
Il DPO deve conoscere e saper applicare i principi essenziali della legislazione sulla protezione dei dati. Se non possiede già il necessario bagaglio giuridico, dovrebbe seguire dei corsi che gli consentano per lo meno di cogliere le linee generali delle possibili problematiche. Un ottimo livello di conoscenza della normativa in materia rende il DPO indipendente dal punto di vista tecnico e professionale e l’indipendenza è richiesta dalla legge federale sulla protezione dei dati, oltreché dall’Ordinanza stessa.