Il DPO esterno è la soluzione scelta dalla maggior parte delle aziende italiane che devono designare un Responsabile della protezione dei dati. Non è un ripiego: il Regolamento europeo lo prevede espressamente, consentendo che l’incarico sia affidato a un professionista sulla base di un contratto di servizi anziché a un dipendente. La domanda che conta, per chi deve decidere, è però un’altra: la mia azienda è obbligata a nominarlo, e che cosa rischia se non lo fa o se lo nomina male?
Quando la nomina del DPO è obbligatoria per un’azienda
L’articolo 37 del GDPR individua tre ipotesi in cui la designazione è obbligatoria per il titolare e per il responsabile del trattamento:
- quando il trattamento è effettuato da un’autorità pubblica o da un organismo pubblico;
- quando l’attività principale consiste in trattamenti che richiedono il monitoraggio regolare e sistematico degli interessati su larga scala;
- quando l’attività principale consiste nel trattamento su larga scala di categorie particolari di dati — salute, dati biometrici, convinzioni — o di dati relativi a condanne penali e reati.
Sono formule che sembrano chiare e non lo sono. “Larga scala”, “monitoraggio regolare e sistematico”, “attività principale” sono nozioni che vanno calate sui trattamenti concreti di quella specifica azienda, e l’errore di valutazione non è neutro: è esso stesso la violazione. Le ipotesi di obbligo sono state analizzate anche nella pagina dedicata all’obbligo di nomina del DPO per aziende e pubblica amministrazione.
Le realtà che più spesso scoprono tardi di essere obbligate
Nella pratica professionale, le aziende private che ricadono nell’obbligo con maggiore frequenza sono le strutture sanitarie private, i poliambulatori, i laboratori di analisi e le RSA — un tema che abbiamo affrontato a proposito del DPO negli studi medici e nei laboratori di analisi — le società che erogano servizi digitali con profilazione, analisi comportamentale o geolocalizzazione degli utenti, e le società che gestiscono videosorveglianza o controllo degli accessi su larga scala.
Molte se ne accorgono soltanto quando arriva un reclamo di un dipendente o di un cliente, oppure quando un committente pubblico chiede in gara i riferimenti del DPO. A quel punto la nomina tardiva non sana il periodo scoperto.
Il DPO nominato per scelta ha gli stessi obblighi
È il punto che viene sottovalutato più spesso: il DPO designato volontariamente è soggetto allo stesso identico regime del DPO obbligatorio. Non esiste una versione “leggera” della figura. Chi nomina un DPO per prudenza, o per esibirlo in un capitolato, assume tutti gli obblighi correlati — a partire dal coinvolgimento tempestivo in ogni questione riguardante i dati personali — e risponde se quegli obblighi restano sulla carta.
Il conflitto di interessi: l’errore che costa di più
Non può ricoprire l’incarico chi, all’interno dell’organizzazione, concorre a determinare le finalità e i mezzi del trattamento. È la ragione per cui la designazione di una figura apicale interna — dal responsabile IT al responsabile del personale — è uno degli errori più frequenti e più costosi.
Il Garante è intervenuto in sede sanzionatoria proprio su questo, come nel caso della erronea nomina del DPO sanzionata dall’Autorità. Ed è una contestazione insidiosa, perché emerge quasi sempre nel corso di un’istruttoria aperta per tutt’altra ragione: un reclamo, una violazione dei dati, un accertamento sulla videosorveglianza. Chi si difende in quel momento scopre che la designazione sbagliata aggrava la propria posizione invece di attenuarla.
Che cosa si rischia
La violazione degli obblighi relativi al Responsabile della protezione dei dati rientra tra quelle per cui l’art. 83 del Regolamento prevede sanzioni amministrative pecuniarie fino a 10 milioni di euro o, per le imprese, fino al 2% del fatturato mondiale annuo, se superiore. A questo si aggiungono conseguenze che pesano quanto la sanzione: il provvedimento dell’Autorità è pubblico, e le prescrizioni che lo accompagnano impongono di rimettere in ordine l’intero impianto documentale in tempi molto stretti.
C’è poi un effetto meno visibile. In caso di violazione dei dati personali, l’azienda che non dispone di un DPO realmente operativo non è in condizione di gestire la notifica al Garante entro settantadue ore né di documentare le valutazioni compiute: un’aggravante in sede istruttoria, e spesso l’origine del contenzioso con i clienti coinvolti.
Cosa serve, in concreto, perché l’incarico funzioni
Non basta la lettera di nomina. Perché la designazione produca l’effetto che l’azienda si aspetta occorre che il DPO abbia una conoscenza specialistica proporzionata alla complessità dei trattamenti — un profilo composito, come abbiamo illustrato parlando delle competenze richieste per ricoprire il ruolo di DPO — che sia indipendente e non rimovibile per ragioni connesse allo svolgimento dei compiti, che sia raggiungibile dagli interessati e dall’Autorità, e che i suoi dati di contatto siano comunicati al Garante e pubblicati.
Il resto — l’ampiezza dei compiti, le risorse assegnate, le procedure interne, i tempi di riscontro — va costruito sulla singola organizzazione. Non esiste un modello che vada bene per tutti, e i modelli scaricati sono il primo elemento che un’istruttoria mette in discussione.
Incarichi di DPO e consulenza privacy
Assumiamo incarichi di Responsabile della protezione dei dati per aziende private, strutture sanitarie, ordini professionali ed enti pubblici, affiancando all’incarico l’attività di adeguamento e la formazione del personale in materia di privacy. Le condizioni sono raccolte nei pacchetti di consulenza privacy.
Per l’attività giudiziale e per il diritto amministrativo — appalti, edilizia, impianti di telefonia mobile, concorsi pubblici — il riferimento è lo studio legale dell’avv. Elio Errichiello.
Se volete sapere se la vostra azienda ricada nell’obbligo, o verificare se la designazione già fatta regga a un controllo, scriveteci: partiamo da un esame preliminare dei trattamenti effettuati.
