Il DPO, o Data Protection Officer (responsabile della protezione dei dati), è la figura responsabile di garantire la conformità al GDPR all'interno di un'organizzazione. Il suo ruolo principale è informare e consigliare il titolare del trattamento e i dipendenti, monitorare la conformità del trattamento dei dati personali e cooperare con l'autorità di controllo.
Il GDPR (articoli da 37 a 39) rende la nomina obbligatoria in tre casi: per le autorità e gli organismi pubblici, quando l'attività principale comporta il monitoraggio regolare e sistematico di persone su larga scala, oppure il trattamento su larga scala di dati cosiddetti sensibili (salute, opinioni, dati biometrici…). Al di fuori di queste situazioni, la nomina di un DPO resta vivamente raccomandata e costituisce una buona pratica di governance.
Il responsabile svolge i propri compiti in piena indipendenza: non riceve istruzioni sul modo di adempierli, riferisce al più alto livello dirigenziale e non deve trovarsi in conflitto di interessi. Il ruolo può essere ricoperto da un dipendente interno o da un fornitore esterno. Il DPO è il principale punto di contatto per l'autorità di controllo (la CNIL in Francia) e per gli interessati che desiderano esercitare i propri diritti (accesso, rettifica, cancellazione, portabilità).
Per svolgere questo ruolo, il DPO si avvale di strumenti di conformità come il registro delle attività di trattamento, il monitoraggio delle richieste di esercizio dei diritti e un registro di audit tracciabile. eyeot include questo tipo di funzionalità, che agevola il lavoro quotidiano del responsabile e la dimostrazione della conformità in caso di audit. Il DPO, che è una persona, non va confuso con il contratto di trattamento dei dati (DPA), che è un contratto che vincola un titolare del trattamento al suo responsabile.