Imprese e protezione dei dati. Nuove regole di trasparenza

Matteo Colombo, ceo di Labor Project, società di consulenza con sede a Cantù, è stato confermato alla guida dell’Associazione Data Protection Officer italiana.

Vogliamo ampliare il dialogo con imprese, autorità, università
e associazioni»

L’assemblea elettiva, riunitasi alla fine di luglio, ha rinnovato il comitato direttivo per il quadriennio 2026-2030 e approvato l’aggiornamento dello statuto dell’associazione.

La nuova governance conferma la volontà di ampliare il perimetro associativo, aprendolo alle sfide emergenti della trasformazione digitale e della governance tecnologica. Accanto alla tradizionale attenzione alla data protection, rientrano così tra gli ambiti di riferimento anche cybersecurity, AI compliance e digital strategy, temi sempre più centrali per imprese e organizzazioni chiamate a gestire l’innovazione nel rispetto di regole, sicurezza e tutela dei dati.

«Il Dpo previsto dal Gdpr è obbligatorio per determinate aziende ed enti»

Come commenta la sua rielezione e quali saranno le priorità del suo nuovo mandato?

Accolgo la riconferma alla presidenza di Asso Dpo con gratitudine e con un forte senso di responsabilità. La considero soprattutto un riconoscimento del lavoro svolto dal Comitato direttivo, dal Comitato scientifico e da tutte le persone che partecipano alla vita dell’associazione. Il nuovo mandato dovrà rappresentare una continuità negli obiettivi, ma anche una capacità di rinnovamento di fronte ai cambiamenti tecnologici e normativi. Vorrei rendere Asso Dpo ancora più aperta, autorevole e utile ai professionisti, rafforzandone la presenza sul territorio e il ruolo nel confronto europeo.

Di cosa si occupa l’associazione Data Protection Officer?

Asso Dpo riunisce e rappresenta i professionisti che aiutano imprese ed enti pubblici a utilizzare dati e tecnologie in modo responsabile. Nata per valorizzare il ruolo del Data Protection Officer, oggi l’associazione si occupa anche di temi contigui come la sicurezza informatica, l’intelligenza artificiale, l’etica e la governance dei dati. Promuoviamo formazione, studi, gruppi di lavoro, incontri, congressi e un confronto continuo con aziende ed Autorità Garanti Privacy.

Asso Dpo aderisce come unica associazione italiana a Cedpo la Confederazione europea delle associazioni dei Dpo. E’ anche iscritta nell’elenco delle associazioni professionali previsto dalla Legge 4/2013 e può rilasciare ai soci in possesso dei requisiti l’attestato di qualità e di qualificazione professionale dei servizi prestati. Non si tratta di un albo, ma di uno strumento per valorizzare competenza, aggiornamento e rispetto delle regole deontologiche.

Chi è e quale ruolo svolge il Data Protection Officer all’interno di un’organizzazione?

Il responsabile della protezione dei dati, è un professionista indipendente previsto dal Gdpr (Regolamento Generale sulla Protezione dei Dati), ed è obbligatorio per determinate imprese ed enti pubblici. Può essere interno oppure esterno all’organizzazione e il suo compito principale è informare e consigliare, verificare il rispetto delle regole, segnalare i rischi e fungere da punto di contatto fra il titolare o responsabile del trattamento con il Garante Privacy o le persone interessate. Deve quindi possedere competenze giuridiche, organizzative e tecnologiche. Non è il “poliziotto della privacy” e non sostituisce chi dirige l’impresa, le decisioni e le relative responsabilità restano in capo all’organizzazione. Ad esempio, quando viene introdotta un’applicazione che utilizza i dati di clienti o lavoratori, il Dpo aiuta a valutarne preventivamente necessità, rischi e garanzie.

Quali saranno, secondo lei, i temi più importanti su cui l’associazione dovrà concentrarsi nei prossimi quattro anni?

La sfida principale sarà accompagnare l’evoluzione del Dpo senza snaturarne la funzione. La protezione dei dati resta il suo compito centrale, ma oggi si intreccia inevitabilmente con intelligenza artificiale, sicurezza informatica e gestione dei rischi digitali. Dovremo quindi rafforzarne indipendenza e autorevolezza, aggiornare costantemente le competenze e mettere a disposizione strumenti pratici e buone prassi condivise. Il Dpo, tuttavia, non deve diventare il responsabile di ogni problema digitale, deve lavorare insieme alle funzioni legali, informatiche, di sicurezza e di gestione dell’intelligenza artificiale. Vogliamo inoltre ampliare il dialogo con imprese, autorità, università e associazioni europee. Un primo importante momento di confronto sarà il 12esimo Congresso internazionale Asso Dpo, in programma a Milano il 28 e 29 settembre di quest’anno.

Quali novità attendono le imprese nei prossimi mesi sul fronte della privacy e della protezione dei dati?

La novità più immediata riguarda l’AI Act. Dal 2 agosto 2026 sono applicabili nuove regole di trasparenza, le persone devono poter capire quando stanno interagendo con un sistema di intelligenza artificiale e, nei casi previsti, quando immagini, video, registrazioni o testi sono stati generati o manipolati artificialmente. Le regole più articolate per i sistemi considerati ad alto rischio, ad esempio quelli utilizzati nella selezione del personale, nell’accesso al credito o ai servizi essenziali, entreranno invece in applicazione gradualmente dal dicembre 2027, per alcuni sistemi integrati nei prodotti la scadenza è agosto 2028. Le imprese devono utilizzare questo periodo per censire gli strumenti impiegati, assegnare responsabilità chiare, formare il personale, controllare i fornitori e prevedere un’effettiva supervisione umana. L’intelligenza artificiale non deve essere temuta o bloccata, deve essere conosciuta e governata.