Per il DPO nella pubblica amministrazione — nel linguaggio del Codice italiano, il Responsabile della protezione dei dati o RPD — non c’è alcuna valutazione da fare: la designazione è obbligatoria per ogni autorità pubblica e per ogni organismo pubblico, a prescindere dalle dimensioni dell’ente e dal tipo di trattamenti effettuati. Un Comune di mille abitanti e una Regione hanno, sotto questo profilo, esattamente lo stesso obbligo.
Il problema, nella pratica, non è quasi mai l’esistenza dell’obbligo: è il modo in cui viene adempiuto. E qui gli enti si espongono molto più di quanto immaginino.
Chi è tenuto alla nomina
Sono soggetti all’obbligo, tra gli altri, i Comuni e le loro unioni, le Province e le Città metropolitane, le Regioni, le aziende sanitarie e ospedaliere, le istituzioni scolastiche di ogni ordine e grado, le università, le camere di commercio, gli ordini e i collegi professionali, gli enti pubblici non economici, le aziende speciali e i consorzi, le società in house che svolgono funzioni pubbliche.
Un chiarimento utile riguarda gli ordini professionali e gli enti pubblici non economici, che talvolta ritengono di esserne fuori: la loro natura di enti pubblici li colloca senza dubbio nell’ambito dell’obbligo, e l’attività che svolgono — albi, procedimenti disciplinari, formazione, gestione dei contributi — comporta trattamenti tutt’altro che marginali. Il tema della designazione nel settore pubblico è stato affrontato anche a proposito della figura del DPO nelle istituzioni scolastiche.
I tre errori che il Garante contesta più spesso
Il conflitto di interessi. Non può essere designato RPD chi, all’interno dell’ente, concorre a determinare le finalità e i mezzi del trattamento. La verifica non è formale ma sostanziale: conta ciò che quella persona fa concretamente negli uffici, non l’etichetta del suo incarico. È l’aspetto su cui l’Autorità è intervenuta con maggiore severità, come nel caso della erronea nomina del DPO sanzionata dal Garante.
L’incarico solo formale. Una nomina firmata e poi mai attuata — nessuna attività, nessun coinvolgimento, nessun atto — espone l’ente più di quanto lo protegga, perché documenta che l’obbligo era conosciuto e non è stato adempiuto nella sostanza.
I dati di contatto mai comunicati o non pubblicati. La designazione va comunicata al Garante attraverso l’apposita procedura telematica e i riferimenti vanno pubblicati sul sito istituzionale, perché gli interessati possano rivolgersi al RPD per l’esercizio dei propri diritti. È l’omissione più facile da accertare dall’esterno, e infatti è quella che innesca più spesso l’istruttoria.
Cosa comporta una contestazione
La violazione degli obblighi relativi al Responsabile della protezione dei dati rientra tra quelle sanzionate dall’art. 83 del Regolamento. Per i soggetti pubblici il quadro sanzionatorio è modulato dalla normativa nazionale, ma sarebbe un errore leggerlo come un’attenuante: il provvedimento dell’Autorità è pubblico, incide sulla reputazione dell’ente e si accompagna quasi sempre a prescrizioni che impongono di rimettere in ordine l’intero impianto documentale in tempi molto stretti, con le risorse che l’ufficio ha in quel momento.
Va poi considerato l’effetto sulle violazioni dei dati. L’ente privo di un RPD realmente operativo non è in condizione di gestire la notifica al Garante entro settantadue ore né di documentare le valutazioni compiute — e nella maggior parte dei casi il data breach è proprio l’occasione in cui l’intera organizzazione privacy dell’ente viene esaminata.
RPD interno, esterno o in forma associata
L’ente può designare un dipendente, un professionista esterno oppure — soluzione espressamente ammessa per i soggetti pubblici — un unico RPD per più amministrazioni, tenendo conto della loro struttura organizzativa e dimensione. È la strada che consente ai piccoli Comuni di disporre di una professionalità adeguata a costi sostenibili, purché resti garantita la reperibilità effettiva presso ciascun ente: perché è la reperibilità, non la nomina, ciò che viene verificato.
L’incarico che svolgiamo per gli enti
Ricopriamo l’incarico di Responsabile della protezione dei dati per ordini professionali, Comuni, enti pubblici non economici e strutture sanitarie. L’attività non si esaurisce nella designazione: comprende la revisione del registro delle attività di trattamento, la corretta qualificazione dei rapporti con i fornitori, le informative destinate alle diverse categorie di interessati, il parere sulle valutazioni d’impatto, la verifica del sito istituzionale e della conformità degli impianti di videosorveglianza alle indicazioni del Garante, il canale whistleblowing e la formazione del personale.
Un inquadramento generale della figura si trova nella guida alla nomina del responsabile per la protezione dei dati personali; le condizioni dell’assistenza continuativa sono descritte nei pacchetti di consulenza privacy.
Per il contenzioso amministrativo che riguarda gli enti locali — impianti di telefonia mobile, appalti, edilizia — l’attività è svolta dallo studio legale dell’avv. Elio Errichiello.
Se il vostro ente deve procedere alla designazione, o ha ricevuto una richiesta di chiarimenti dall’Autorità, contattateci per un esame preliminare degli atti di nomina già adottati.
