Cercare un DPO esterno a Napoli è, per molte aziende e per molti enti pubblici, il primo passo concreto verso l’adeguamento al Regolamento europeo sulla protezione dei dati. È anche il passo in cui si commettono più errori, perché la designazione viene spesso trattata come un adempimento formale: si sceglie un nome, si redige un atto di nomina di poche righe, si comunica l’indirizzo di posta elettronica al Garante e la pratica si considera chiusa. Nei procedimenti che l’Autorità apre dopo un reclamo o dopo una violazione di dati, però, la nomina del Responsabile della protezione dei dati è uno dei primi documenti richiesti, e il modo in cui è stata costruita incide direttamente sull’esito.
Perché la scelta di un DPO esterno a Napoli non è un adempimento formale
L’art. 37 del GDPR individua tre situazioni in cui la designazione è obbligatoria: il trattamento svolto da un’autorità pubblica o da un organismo pubblico, le attività principali che consistono in trattamenti che richiedono un monitoraggio regolare e sistematico degli interessati su larga scala, e le attività principali che consistono nel trattamento su larga scala di categorie particolari di dati o di dati relativi a condanne penali e reati. Per le pubbliche amministrazioni l’obbligo è incondizionato; per il settore privato la valutazione va fatta caso per caso, sulla base di quello che l’organizzazione fa davvero e non di quello che risulta dalla visura camerale.
Il tessuto economico dell’area napoletana rende questa valutazione tutt’altro che scontata. Poliambulatori e strutture sanitarie private, laboratori di analisi, studi professionali associati, società che gestiscono servizi in appalto per enti locali, operatori della logistica e del commercio elettronico, ordini professionali e comuni della città metropolitana: sono tutte realtà in cui il trattamento di dati particolari o il monitoraggio sistematico degli interessati è la regola, non l’eccezione. E sono tutte realtà che, quando arriva una richiesta di informazioni dell’Autorità, devono essere in grado di dimostrare non soltanto di avere un DPO, ma di averlo scelto e collocato correttamente.
Il conflitto di interessi è la contestazione più frequente
L’art. 38, paragrafo 6, del Regolamento consente al DPO di svolgere altri compiti, ma a condizione che non diano adito a conflitto di interessi. È una formula breve che nasconde la contestazione più ricorrente in assoluto. Il DPO non può trovarsi nella posizione di dover controllare scelte che ha contribuito a determinare: la giurisprudenza del Garante su questo punto è consolidata e ha riguardato tanto il settore privato quanto quello pubblico.
Le designazioni che nascono già viziate sono quasi sempre quelle che cadono su figure interne con responsabilità gestionali, oppure su fornitori che nella stessa organizzazione ricoprono anche ruoli operativi. Il ricorso a un professionista esterno riduce molto questo rischio, ma non lo azzera da solo: conta anche come l’incarico è scritto, quali attività il DPO svolge in concreto per lo stesso soggetto e a chi risponde all’interno della struttura. Su questi profili abbiamo già scritto affrontando il tema della nomina obbligatoria del DPO e del conflitto di interessi e, per il settore pubblico, quello del DPO nella pubblica amministrazione.
Che cosa viene contestato quando la designazione è solo sulla carta
Nei procedimenti sanzionatori ricorrono alcuni rilievi tipici, che vale la pena conoscere prima di trovarseli contestati.
- Designazione mancante quando l’obbligo sussisteva. È l’ipotesi più semplice, ed è anche quella in cui la difesa è più difficile, perché l’accertamento è documentale.
- Mancata pubblicazione e mancata comunicazione dei dati di contatto del DPO, prescritte dall’art. 37, paragrafo 7. È una violazione autonoma, che si aggiunge alle altre.
- Coinvolgimento tardivo o assente del DPO nelle questioni riguardanti la protezione dei dati, in violazione dell’art. 38, paragrafo 1. Emerge quasi sempre dalle date: il parere richiesto dopo che la decisione era già stata assunta, la consultazione mancata nella valutazione d’impatto, l’incidente gestito senza che il Responsabile ne sapesse nulla.
- Assenza di risorse, di accesso ai dati e ai trattamenti, di formazione continua: l’art. 38, paragrafo 2, impone al titolare di garantirle, e la loro mancanza trasforma la nomina in un guscio vuoto.
- Qualificazione professionale insufficiente rispetto alla sensibilità dei trattamenti svolti, in violazione dell’art. 37, paragrafo 5.
Il punto da tenere presente è che queste contestazioni non arrivano quasi mai da sole. Nascono nel corso di un procedimento aperto per altro — un reclamo di un dipendente, una segnalazione di un utente, la notifica di una violazione di dati — e si sommano ai rilievi principali, aggravando la posizione del titolare. La stessa dinamica vale per il registro delle attività di trattamento, che è il primo documento che viene chiesto in verifica.
Le sanzioni e il modo in cui vengono calcolate
Le violazioni degli artt. 37, 38 e 39 rientrano nella prima fascia dell’art. 83, paragrafo 4, del GDPR: fino a dieci milioni di euro oppure, per le imprese, fino al due per cento del fatturato mondiale totale annuo dell’esercizio precedente, se superiore. Non è un tetto teorico: nella determinazione concreta l’Autorità considera la natura e la gravità della violazione, il carattere doloso o colposo, il grado di responsabilità del titolare tenuto conto delle misure adottate, le eventuali violazioni precedenti e il grado di cooperazione. Per gli enti pubblici il quadro si completa con l’art. 166 del Codice in materia di protezione dei dati personali. Abbiamo dedicato un approfondimento specifico a quanto costa davvero una violazione del GDPR.
Va aggiunto un profilo che spesso viene trascurato: una designazione formalmente corretta e sostanzialmente vuota non è neutra. Può essere valutata come indice di un’organizzazione che ha scelto l’apparenza dell’adempimento, e questo incide sul grado di responsabilità.
Uno studio che assiste in tutta Italia, con sede a Napoli
Lo studio dell’avv. Elio Errichiello svolge incarichi di Responsabile della protezione dei dati per ordini professionali, comuni, enti pubblici non economici e strutture sanitarie private, e assiste aziende e professionisti in tutta Italia nei procedimenti davanti al Garante. La sede è a Napoli, il che rende più semplice il lavoro con gli enti e le imprese del territorio, ma l’attività non è limitata alla Campania. Chi cerca informazioni più generali sull’obbligo di nomina può partire dalla pagina dedicata al DPO e all’obbligo di nomina per aziende e pubblica amministrazione e dal servizio di consulenza privacy e protezione dei dati personali. Per il contenzioso amministrativo e le altre materie trattate dallo studio è disponibile il sito dell’avv. Elio Errichiello.
Se state valutando la nomina di un DPO esterno, se avete già una designazione in essere e volete capire se regge, oppure se avete ricevuto una richiesta di informazioni dall’Autorità, il primo passo utile è un esame preliminare della documentazione — atto di nomina, contratto, registro dei trattamenti, evidenze del coinvolgimento del Responsabile — e dei termini eventualmente già in corso. Scrivete allo studio indicando il tipo di organizzazione e i trattamenti svolti: sarà possibile dirvi con chiarezza a che punto siete.
