Come stabilito dall'art. 37 del GDPR, il DPO deve essere nominato obbligatoriamente dal titolare del trattamento o dal responsabile del trattamento in una serie definita di ipotesi.
Quale delle seguenti figure professionali può assumere l'incarico da DPO?
Il DPO potrà essere nominato fra i dipendenti dell'azienda oppure potrà essere designato un soggetto esterno: un avvocato, un ingegnere o, comunque, un soggetto dotato di idonee competenze. Il DPO dovrà possedere un'approfondita conoscenza della normativa e della prassi in materia di gestione dei dati personali.
i pagamenti dei dipendenti), non rientrano nell'obbligo di nomina del DPO se il trattamento dei dati è solo di supporto al "core business". Non è necessaria la designazione del DPO per soggetti, quali i liberi professionisti (avvocati, medici), che agiscono in forma individuale.
quando le attività principali dell'organizzazione consistono nel trattamento “su larga scala” di dati “sensibili” (rectius, “categorie particolari di dati”) o “giudiziari” (rectius, “dati personali relativi a condanne penali e reati”).