La domanda arriva quasi sempre nella stessa forma: «ci hanno detto che dobbiamo avere un DPO, dove lo troviamo?». È una domanda legittima e, insieme, il punto in cui molte organizzazioni commettono l’errore più costoso, perché come trovare un DPO non è un problema di reperimento ma di qualificazione. Il nome si trova in mezz’ora; la nomina che regge a un controllo, no.
Come trovare un DPO: i requisiti che il Regolamento pretende davvero
Il GDPR non istituisce un albo dei responsabili della protezione dei dati e non prevede una certificazione obbligatoria. Chiede qualcosa di più impegnativo: che il designato possieda conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati e capacità di assolvere i compiti che il Regolamento gli assegna, e che il livello di tali competenze sia proporzionato alla sensibilità, alla complessità e alla quantità dei dati trattati dall’organizzazione.
Tradotto: la risposta alla domanda su come trovare un DPO cambia radicalmente a seconda di chi la pone. Il profilo adeguato per un’azienda manifatturiera con trenta dipendenti non è lo stesso che serve a un Comune, a un’azienda sanitaria, a un ordine professionale o a un ente che tratta dati di minori. L’assenza di un albo non significa che vada bene chiunque: significa che la responsabilità della scelta, e della sua documentazione, ricade interamente sul titolare.
Il Regolamento consente che il ruolo sia svolto da un dipendente o da un professionista esterno sulla base di un contratto di servizi. Sulle differenze pratiche tra le due soluzioni lo studio ha pubblicato un approfondimento su quando il DPO esterno è obbligatorio e come sceglierlo.
Il conflitto di interessi: l’errore che il Garante trova per primo
Il responsabile della protezione dei dati può svolgere altri compiti, a condizione che non diano luogo a conflitto di interessi. È la clausola che produce il maggior numero di nomine difettose, perché viene letta come una raccomandazione mentre è una condizione di validità.
Il conflitto nasce quando la stessa persona determina finalità e mezzi dei trattamenti e poi dovrebbe sorvegliarne la conformità. Attribuire il ruolo a chi guida i sistemi informativi, le risorse umane, il marketing o l’amministrazione significa chiedere a qualcuno di controllare le proprie decisioni. Il Garante ha sanzionato amministrazioni proprio per nomine di questo tipo, e il punto non è mai stato la buona fede del designato: è la struttura della posizione.
Anche l’affidamento all’esterno non mette automaticamente al riparo. Se il professionista o la società che fornisce il servizio di DPO è la stessa che ha costruito il sistema informativo dell’ente, o che ne gestisce un trattamento rilevante come responsabile ai sensi dell’articolo 28, il problema si ripresenta identico. Il tema della corretta qualificazione dei rapporti con i fornitori è trattato nell’articolo sulla nomina del responsabile del trattamento e i rischi di un inquadramento sbagliato.
Le domande che un’organizzazione dovrebbe porsi prima di firmare
Non sono domande tecniche. Sono domande di buon senso che, poste prima della nomina, evitano contestazioni dopo.
- Chi è, concretamente, la persona fisica che svolgerà il ruolo, e non solo quale società emette la fattura?
- Quanta parte della sua attività professionale è dedicata alla protezione dei dati e da quanto tempo?
- Ha esperienza nel nostro settore, o solo in settori che gli somigliano da lontano?
- Quante altre organizzazioni segue, e con quale disponibilità effettiva?
- In quali rapporti si trova con i nostri fornitori informatici?
- Che cosa comprende il servizio e che cosa resta a carico nostro?
Su quest’ultimo punto conviene essere chiari, perché genera molti equivoci: il DPO sorveglia, informa, fornisce pareri e coopera con l’Autorità, ma non è il titolare del trattamento e non può sostituirsi all’organizzazione nelle sue scelte. Un’offerta che promette di «fare tutto» descrive un ruolo diverso da quello che il Regolamento disegna, e spesso proprio quella sovrapposizione genera il conflitto di interessi.
Che cosa succede quando la nomina è sbagliata
Una designazione viziata non è un problema formale che resta sulla carta. Produce conseguenze a catena: le valutazioni compiute dal designato perdono credibilità, le risposte fornite all’Autorità risultano fragili, e in sede di controllo la posizione dell’ente è più debole anche su contestazioni che nulla hanno a che vedere con il DPO.
Sul piano sanzionatorio, le violazioni relative alla designazione, alla posizione e ai compiti del responsabile della protezione dei dati rientrano nella fascia dell’articolo 83, paragrafo 4, del GDPR: fino a dieci milioni di euro o, per le imprese, fino al 2% del fatturato mondiale annuo. Per le pubbliche amministrazioni italiane il quadro sanzionatorio ha caratteristiche proprie, ma il rilievo pubblico di un provvedimento non è meno pesante della somma.
Un passaggio da fare con calma, una volta sola
La nomina del responsabile della protezione dei dati è una di quelle decisioni che costano poco se prese bene e molto se prese male, e che si trascinano per anni. Vale la pena dedicarle le due settimane che merita, invece dei dieci minuti che normalmente riceve.
Lo studio dell’avv. Elio Errichiello ricopre incarichi di responsabile della protezione dei dati presso amministrazioni comunali, ordini professionali, enti pubblici non economici e strutture sanitarie, e assiste aziende in tutta Italia con sede a Napoli. Approfondimenti sul ruolo sono raccolti nella pagina sul DPO e l’obbligo di nomina per aziende e pubblica amministrazione e nell’articolo su il DPO esterno per enti e aziende. L’attività dello studio nel contenzioso amministrativo è descritta su avvocatoelioerrichiello.it.
Se state valutando una nomina, o se volete capire se quella in essere regge a un controllo, mettetevi in contatto con lo studio: il primo passo è un esame preliminare della documentazione esistente e dell’assetto dei trattamenti.
Avv. Elio Errichiello
