Il DPO può essere nominato fra i dipendenti dell’azienda oppure può essere designato un soggetto esterno: un avvocato, un ingegnere o, comunque, un soggetto dotato di idonee competenze.
L’articolo 37 non specifica le qualità professionali da prendere in considerazione nella nomina di un DPO. Sono certamente qualità indispensabili la conoscenza della normativa in materia di protezione dei dati e un’approfondita conoscenza del GDPR.
E, come se il Regolamento Europeo non richiedesse già conoscenze specialistiche e capacità sufficientemente elevate al soggetto che deve rivestire il ruolo di DPO, la Norma UNI 11697:2017 ha prospettato un percorso formativo di ben 80 ore.
Fortunatamente, la norma UNI ha carattere volontario e non prescrittivo come lo è invece il Regolamento UE per cui si ribadisce che non è assolutamente obbligatorio questo percorso formativo per svolgere il ruolo di DPO.