Pubblicato il

Cercare un DPO: perché il nome si trova in mezz’ora e la nomina giusta no

Copertina dell'articolo su come trovare un DPO del sito Data Protection Law

La domanda arriva quasi sempre nella stessa forma: «ci hanno detto che dobbiamo avere un DPO, dove lo troviamo?». È una domanda legittima e, insieme, il punto in cui molte organizzazioni commettono l’errore più costoso, perché come trovare un DPO non è un problema di reperimento ma di qualificazione. Il nome si trova in mezz’ora; la nomina che regge a un controllo, no.

Come trovare un DPO: i requisiti che il Regolamento pretende davvero

Il GDPR non istituisce un albo dei responsabili della protezione dei dati e non prevede una certificazione obbligatoria. Chiede qualcosa di più impegnativo: che il designato possieda conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati e capacità di assolvere i compiti che il Regolamento gli assegna, e che il livello di tali competenze sia proporzionato alla sensibilità, alla complessità e alla quantità dei dati trattati dall’organizzazione.

Tradotto: la risposta alla domanda su come trovare un DPO cambia radicalmente a seconda di chi la pone. Il profilo adeguato per un’azienda manifatturiera con trenta dipendenti non è lo stesso che serve a un Comune, a un’azienda sanitaria, a un ordine professionale o a un ente che tratta dati di minori. L’assenza di un albo non significa che vada bene chiunque: significa che la responsabilità della scelta, e della sua documentazione, ricade interamente sul titolare.

Il Regolamento consente che il ruolo sia svolto da un dipendente o da un professionista esterno sulla base di un contratto di servizi. Sulle differenze pratiche tra le due soluzioni lo studio ha pubblicato un approfondimento su quando il DPO esterno è obbligatorio e come sceglierlo.

Il conflitto di interessi: l’errore che il Garante trova per primo

Il responsabile della protezione dei dati può svolgere altri compiti, a condizione che non diano luogo a conflitto di interessi. È la clausola che produce il maggior numero di nomine difettose, perché viene letta come una raccomandazione mentre è una condizione di validità.

Il conflitto nasce quando la stessa persona determina finalità e mezzi dei trattamenti e poi dovrebbe sorvegliarne la conformità. Attribuire il ruolo a chi guida i sistemi informativi, le risorse umane, il marketing o l’amministrazione significa chiedere a qualcuno di controllare le proprie decisioni. Il Garante ha sanzionato amministrazioni proprio per nomine di questo tipo, e il punto non è mai stato la buona fede del designato: è la struttura della posizione.

Anche l’affidamento all’esterno non mette automaticamente al riparo. Se il professionista o la società che fornisce il servizio di DPO è la stessa che ha costruito il sistema informativo dell’ente, o che ne gestisce un trattamento rilevante come responsabile ai sensi dell’articolo 28, il problema si ripresenta identico. Il tema della corretta qualificazione dei rapporti con i fornitori è trattato nell’articolo sulla nomina del responsabile del trattamento e i rischi di un inquadramento sbagliato.

Le domande che un’organizzazione dovrebbe porsi prima di firmare

Non sono domande tecniche. Sono domande di buon senso che, poste prima della nomina, evitano contestazioni dopo.

  • Chi è, concretamente, la persona fisica che svolgerà il ruolo, e non solo quale società emette la fattura?
  • Quanta parte della sua attività professionale è dedicata alla protezione dei dati e da quanto tempo?
  • Ha esperienza nel nostro settore, o solo in settori che gli somigliano da lontano?
  • Quante altre organizzazioni segue, e con quale disponibilità effettiva?
  • In quali rapporti si trova con i nostri fornitori informatici?
  • Che cosa comprende il servizio e che cosa resta a carico nostro?

Su quest’ultimo punto conviene essere chiari, perché genera molti equivoci: il DPO sorveglia, informa, fornisce pareri e coopera con l’Autorità, ma non è il titolare del trattamento e non può sostituirsi all’organizzazione nelle sue scelte. Un’offerta che promette di «fare tutto» descrive un ruolo diverso da quello che il Regolamento disegna, e spesso proprio quella sovrapposizione genera il conflitto di interessi.

Che cosa succede quando la nomina è sbagliata

Una designazione viziata non è un problema formale che resta sulla carta. Produce conseguenze a catena: le valutazioni compiute dal designato perdono credibilità, le risposte fornite all’Autorità risultano fragili, e in sede di controllo la posizione dell’ente è più debole anche su contestazioni che nulla hanno a che vedere con il DPO.

Sul piano sanzionatorio, le violazioni relative alla designazione, alla posizione e ai compiti del responsabile della protezione dei dati rientrano nella fascia dell’articolo 83, paragrafo 4, del GDPR: fino a dieci milioni di euro o, per le imprese, fino al 2% del fatturato mondiale annuo. Per le pubbliche amministrazioni italiane il quadro sanzionatorio ha caratteristiche proprie, ma il rilievo pubblico di un provvedimento non è meno pesante della somma.

Un passaggio da fare con calma, una volta sola

La nomina del responsabile della protezione dei dati è una di quelle decisioni che costano poco se prese bene e molto se prese male, e che si trascinano per anni. Vale la pena dedicarle le due settimane che merita, invece dei dieci minuti che normalmente riceve.

Lo studio dell’avv. Elio Errichiello ricopre incarichi di responsabile della protezione dei dati presso amministrazioni comunali, ordini professionali, enti pubblici non economici e strutture sanitarie, e assiste aziende in tutta Italia con sede a Napoli. Approfondimenti sul ruolo sono raccolti nella pagina sul DPO e l’obbligo di nomina per aziende e pubblica amministrazione e nell’articolo su il DPO esterno per enti e aziende. L’attività dello studio nel contenzioso amministrativo è descritta su avvocatoelioerrichiello.it.

Se state valutando una nomina, o se volete capire se quella in essere regge a un controllo, mettetevi in contatto con lo studio: il primo passo è un esame preliminare della documentazione esistente e dell’assetto dei trattamenti.

Avv. Elio Errichiello

Pubblicato il

Enti del terzo settore e protezione dei dati: la nomina del DPO non è un dettaglio

Copertina dell'articolo sul DPO terzo settore del sito Data Protection Law

Associazioni di volontariato, associazioni di promozione sociale, cooperative sociali, fondazioni ed enti filantropici trattano ogni giorno dati che il GDPR considera delicati: condizioni di salute degli assistiti, situazioni familiari, fragilità sociali, a volte dati di minori. Eppure la domanda sul DPO terzo settore arriva quasi sempre tardi, e di solito arriva dopo: dopo una segnalazione, dopo un reclamo, dopo una richiesta di chiarimenti dell’Autorità.

DPO terzo settore: quando la nomina diventa obbligatoria

Il Regolamento individua tre ipotesi in cui la designazione del responsabile della protezione dei dati non è una scelta ma un obbligo. La prima riguarda le autorità e gli organismi pubblici. La seconda riguarda chi, come attività principale, effettua un monitoraggio regolare e sistematico degli interessati su larga scala. La terza riguarda chi, sempre come attività principale, tratta su larga scala categorie particolari di dati – tra cui quelli relativi alla salute – o dati giudiziari.

È proprio la terza ipotesi a rendere il tema del DPO terzo settore meno scontato di quanto molti enti credano. Un’associazione che gestisce servizi socio-assistenziali, una cooperativa che segue persone con disabilità, un ente che eroga prestazioni sanitarie o sociosanitarie convenzionate trattano dati sulla salute non in modo occasionale, ma come parte costitutiva della propria missione. E quando l’ente è in qualche modo attratto nell’orbita pubblica – perché svolge funzioni affidate da un ente locale, perché gestisce un servizio pubblico, perché opera in regime di accreditamento – il quadro si complica ulteriormente.

Qui sta il punto che costa caro: la valutazione su obbligatorietà o meno non è un esercizio astratto, è una decisione documentata di cui l’ente risponde. Le linee guida europee chiedono che la scelta, anche quando porta a escludere l’obbligo, sia motivata e conservata. Un ente che non ha nominato il DPO e non è in grado di spiegare perché si trova nella posizione peggiore di tutte.

Che cosa viene contestato agli enti

Le contestazioni che riguardano gli enti del terzo settore non sono esotiche. Si ripetono, e somigliano molto tra loro.

  • Nomina mancante o tardiva, quando l’obbligo sussisteva.
  • Nomina solo sulla carta: il DPO è designato, ma non è coinvolto nelle decisioni, non ha accesso alle informazioni, non dispone delle risorse necessarie. Il Regolamento non chiede un nome su un modulo, chiede una funzione che operi.
  • Conflitto di interessi: il ruolo viene attribuito a chi, nell’ente, decide finalità e mezzi dei trattamenti, oppure al responsabile dei sistemi informativi o delle risorse umane.
  • Mancata pubblicazione e comunicazione dei dati di contatto del responsabile della protezione dei dati.
  • Registro dei trattamenti assente o irrealistico, che descrive un’organizzazione diversa da quella che esiste davvero.
  • Informative agli assistiti generiche, copiate da altri enti, inadatte alle categorie di interessati effettivamente coinvolte.

Sul funzionamento concreto del registro lo studio ha dedicato un approfondimento a che cosa il Garante chiede quando esamina il registro dei trattamenti.

Quanto costa sbagliare

Le violazioni che riguardano gli obblighi del titolare, inclusa la designazione e la posizione del responsabile della protezione dei dati, rientrano nella fascia sanzionatoria dell’articolo 83, paragrafo 4, del GDPR: fino a dieci milioni di euro o, per le imprese, fino al 2% del fatturato mondiale annuo. Le violazioni dei principi di trattamento e dei diritti degli interessati stanno nella fascia superiore, che arriva a venti milioni o al 4%.

Per un ente del terzo settore, la cui sostenibilità economica dipende da contributi, convenzioni e donazioni, le cifre astratte contano meno di due conseguenze molto concrete. La prima è reputazionale: un provvedimento dell’Autorità è pubblico, e un ente che assiste persone fragili non può permettersi di comparire in un elenco di sanzionati. La seconda è contrattuale: nei rapporti con gli enti pubblici committenti la conformità alla disciplina sulla protezione dei dati è ormai una condizione di partecipazione e di mantenimento della convenzione. Un rilievo dell’Autorità può pesare molto più della sanzione in sé. Un quadro d’insieme delle soglie è raccolto nell’articolo su quanto costa davvero una violazione del GDPR.

Il volontario non è un soggetto senza regole

C’è un equivoco ricorrente che merita di essere sciolto. Negli enti del terzo settore buona parte dell’attività è svolta da volontari, e si tende a pensare che questo cambi qualcosa rispetto alla protezione dei dati. Non la cambia. Chi accede a dati personali per conto dell’ente opera sotto l’autorità del titolare e deve essere autorizzato e istruito, a prescindere dalla natura del rapporto. Il tema è stato affrontato nell’articolo sugli autorizzati al trattamento e sui rischi di un’autorizzazione mancata.

Lo stesso vale per i rapporti con i fornitori: il gestionale degli assistiti, la piattaforma di raccolta fondi, il servizio di posta elettronica, il consulente del lavoro. Ognuno di questi rapporti ha una qualificazione giuridica precisa e produce obblighi documentali. Trattarli come forniture ordinarie è una delle carenze più frequentemente rilevate.

Una valutazione, non un modulo

Capire se un ente debba nominare il DPO, e con quale assetto, richiede di guardare che cosa l’ente fa davvero: quali servizi eroga, per conto di chi, con quali strumenti, quante persone segue, quali dati raccoglie e per quanto tempo li conserva. È un esame che non si risolve con un modulo scaricato da internet, e che produce risultati diversi per enti che sulla carta sembrano identici.

Lo studio dell’avv. Elio Errichiello assiste enti pubblici, aziende ed enti del terzo settore in tutta Italia, con sede a Napoli, e ricopre incarichi di responsabile della protezione dei dati presso amministrazioni, ordini professionali e strutture sanitarie. Per il quadro generale del servizio si può consultare la pagina sul servizio di consulenza privacy e protezione dei dati personali, mentre l’attività giudiziale e amministrativa dello studio è descritta su avvocatoelioerrichiello.it.

Se il vostro ente non ha ancora formalizzato una valutazione sull’obbligo di nomina, o se ne ha una che nessuno ha più aggiornato da anni, scriveteci: possiamo esaminare in via preliminare la documentazione esistente e i margini di intervento.

Avv. Elio Errichiello

Pubblicato il

Il preventivo più basso è quasi sempre il più caro

Copertina dell'articolo che spiega quanto costa un DPO esterno e cosa incide sul compenso

Quanto costa un DPO esterno è la domanda con cui si apre quasi ogni richiesta di preventivo, e capita spesso che sia anche l’unica. Il confronto si riduce a tre numeri su tre email, si sceglie il più basso, si firma l’incarico e si archivia la pratica. È il modo più rapido per ritrovarsi, due anni dopo, con una designazione che in sede di verifica non regge, e con l’ente che risponde di una violazione che credeva di aver coperto.

Che cosa si paga davvero

Il Regolamento non stabilisce un compenso né una tariffa. Stabilisce però che cosa il responsabile della protezione dei dati deve essere in grado di fare, e da lì discende il resto. Il DPO è designato in funzione delle qualità professionali, in particolare della conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati, e della capacità di assolvere i compiti che il Regolamento gli assegna. Il titolare deve metterlo in condizione di svolgerli, garantendogli le risorse necessarie e l’accesso ai dati e ai trattamenti.

Tradotto in pratica, il compenso dipende da variabili che nessun listino può standardizzare:

  • il numero e la natura dei trattamenti, e la presenza di categorie particolari di dati — sanitari, giudiziari, biometrici;
  • la complessità organizzativa: sedi, uffici, personale, fornitori esterni, sistemi informativi, servizi in cloud;
  • la presenza di trattamenti ad alto rischio che richiedono una valutazione d’impatto, su cui il DPO è chiamato a rendere il parere previsto dalla norma;
  • la frequenza dell’attività di sorveglianza: verifiche periodiche, formazione del personale, riscontro alle istanze degli interessati;
  • la reperibilità in caso di violazione dei dati, quando i termini si contano in ore e non in giorni.

Un incarico che prevede una visita all’anno e una casella di posta costa poco perché contiene poco. Il punto non è che sia economico: è che, davanti a una contestazione, è difficile sostenere che l’ente abbia davvero assolto l’obbligo.

Quanto costa un DPO esterno quando qualcosa va storto

Le violazioni che riguardano la designazione e la posizione del DPO rientrano fra quelle sanzionabili dall’articolo 83 del GDPR, e si sommano alle violazioni sostanziali che una sorveglianza inesistente non ha intercettato. Nella pratica il procedimento non nasce quasi mai da un controllo sulla nomina: nasce da un reclamo, da un data breach, da un’ispezione su altro, e la posizione del DPO emerge come elemento di contorno che aggrava il quadro complessivo.

Le situazioni che ricorrono più spesso sono tre. La prima è il conflitto di interessi: il DPO che è anche il responsabile dei sistemi informativi, o il titolare di una funzione che decide finalità e mezzi dei trattamenti, si trova a controllare se stesso. La seconda è il DPO irraggiungibile: i contatti pubblicati non sono aggiornati, oppure non sono mai stati comunicati al Garante. La terza è il DPO tagliato fuori: non viene coinvolto tempestivamente nelle questioni che riguardano la protezione dei dati, e lo si scopre leggendo i verbali di un progetto già concluso.

Abbiamo ricostruito questi profili negli articoli dedicati alla nomina obbligatoria del DPO e al conflitto di interessi e al DPO esterno per enti e aziende.

Interno o esterno: non è una questione di prezzo

La scelta fra una designazione interna e un incarico esterno si fa sulla base dell’organizzazione, non del costo. Una risorsa interna conosce i processi ma rischia il conflitto di interessi e richiede un investimento continuo in formazione; un professionista esterno porta competenza specialistica e indipendenza, ma deve essere messo in condizione di conoscere l’ente, e questo richiede tempo che qualcuno deve pagare.

Negli enti pubblici il problema si pone in termini ulteriori, perché la designazione è obbligatoria in ogni caso: il tema è affrontato negli articoli sul DPO nella pubblica amministrazione e sul Comune senza RPD. Chi vuole capire prima che cosa comporti il ruolo trova la pagina di servizio sul servizio di nomina del DPO esterno, e il quadro generale dell’adeguamento privacy.

Come leggere un preventivo

Un preventivo serio dice che cosa è compreso e che cosa no: quante verifiche, con quale periodicità, se la formazione del personale è inclusa, chi risponde in caso di violazione dei dati e in quali tempi, se l’assistenza nei procedimenti davanti al Garante rientra nell’incarico o costituisce attività ulteriore. Due preventivi che differiscono del cinquanta per cento, nove volte su dieci, differiscono perché descrivono due incarichi diversi.

Lo studio assiste enti pubblici, aziende e strutture sanitarie in tutta Italia e ha sede a Napoli; i profili amministrativi e contenziosi collegati sono trattati sul sito dello studio legale avvocatoelioerrichiello.it.

Se sta valutando una designazione o ne ha già una in essere e vuole capire se regge, ci scriva dalla pagina contatti indicando dimensione e attività dell’ente: potremo esaminare preliminarmente la documentazione e formulare un preventivo riferito a quello che serve, non a un listino.

Avv. Elio Errichiello

Pubblicato il

Quattro dossier aperti con una forzatura: cosa ha contestato il Garante

DPO strutture sanitarie Napoli: copertina sugli accessi forzati al dossier sanitario contestati dal Garante

In una struttura sanitaria il dato più delicato non è quello che esce: è quello che viene guardato da chi non doveva guardarlo. Un provvedimento del Garante del luglio 2026 lo mostra con precisione, e spiega perché il DPO strutture sanitarie Napoli non sia una casella da riempire nel protocollo ma la figura che deve accorgersi di un problema prima dell’Autorità. La vicenda riguarda un’azienda sanitaria del Nord-Est, ma il meccanismo contestato è identico in ogni poliambulatorio, casa di cura o azienda ospedaliera d’Italia.

Il caso: quattro dossier aperti con una forzatura

Nel dossier sanitario aziendale di un’azienda sanitaria due medici e due infermieri di un reparto di pediatria avevano effettuato accessi ripetuti ai dossier di quattro pazienti adulti, non in cura presso di loro. Per farlo avevano utilizzato la funzione di cosiddetta forzatura, accompagnata da un’autodichiarazione di presa in carico che, secondo la stessa azienda, non corrispondeva al vero.

Il Garante ha dichiarato illecito il trattamento richiamando gli articoli 5, paragrafo 1, lettere a) e f), 9, 25 e 32 del Regolamento, oltre alle proprie Linee guida sul dossier sanitario del 2015. Alla struttura è stato chiesto di comunicare entro trenta giorni la data di adozione di una procedura di verifica degli accessi.

Le due contestazioni che pesano

Il provvedimento non si limita a sanzionare il comportamento dei quattro operatori. Contesta all’azienda, in quanto titolare, due carenze organizzative.

  • L’assenza di alert automatici. Un sistema che consente la forzatura senza generare alcuna segnalazione è un sistema che lascia l’accesso anomalo invisibile.
  • L’assenza di controlli a campione. Dove nessuno guarda i log, la tracciatura esiste sulla carta e non nella realtà. È l’equivalente di una telecamera che registra su un nastro che nessuno rivede.

Dietro entrambe c’è l’articolo 25: la protezione dei dati fin dalla progettazione e per impostazione predefinita non è un principio programmatico, è un criterio di configurazione dei sistemi. Un dossier che permette a chiunque di autodichiararsi la presa in carico, senza verifica e senza allarme, non è configurato in modo conforme.

DPO strutture sanitarie Napoli: la responsabilità non si delega al fornitore

Il passaggio più interessante, e quello che riguarda direttamente ogni struttura campana, è un altro. Lo strumento di consultazione utilizzato era fornito dalla Regione e gestito da una società informatica regionale. L’azienda sanitaria, cioè, non aveva scelto né progettato la piattaforma.

Il Garante ha comunque affermato che il titolare doveva esercitare le proprie prerogative, anche rispetto alle scelte regionali, e ha chiesto a Regione e società fornitrice di comunicare, a loro volta, le misure adottate sulla configurazione delle autodichiarazioni. Tradotto: usare una piattaforma imposta da altri non trasferisce ad altri la posizione di titolare. Se la configurazione è inadeguata, il titolare deve pretendere che venga corretta, e deve poterlo documentare.

È esattamente il punto in cui la nomina del responsabile del trattamento ex articolo 28 mostra la propria consistenza o la propria inconsistenza, come già osservato nell’approfondimento sulla nomina del responsabile del trattamento.

Perché nelle strutture sanitarie il DPO è obbligatorio

L’articolo 37 del Regolamento impone la designazione del responsabile della protezione dei dati, tra l’altro, quando le attività principali del titolare consistono nel trattamento su larga scala di categorie particolari di dati. I dati relativi alla salute sono categoria particolare ai sensi dell’articolo 9: per un poliambulatorio, una casa di cura, un laboratorio di analisi o un’azienda sanitaria la condizione è integrata per definizione.

Alla designazione obbligatoria si somma, per gli enti pubblici, l’obbligo che deriva dalla loro stessa natura. In entrambi i casi la nomina va comunicata al Garante, e la designazione puramente formale — un nome su una delibera, senza risorse, senza accesso ai processi, senza coinvolgimento nelle scelte tecnologiche — è tra le situazioni che l’Autorità contesta con maggiore frequenza. Il tema è trattato nell’articolo sul DPO esterno a Napoli per enti e aziende.

Cosa emerge in verifica

Nelle strutture sanitarie le contestazioni seguono percorsi ricorrenti: accessi al dossier non giustificati da ragioni di cura, tracciature non conservate o non consultate, profili abilitati che restano attivi dopo la cessazione del rapporto, informative che non distinguono le finalità di cura da quelle amministrative o di ricerca, fornitori informatici inquadrati senza istruzioni verificabili.

Nessuna di queste situazioni emerge da una lettura del cartaceo: emergono dai sistemi e dai log. Ed è qui che si misura la differenza tra una struttura che ha un DPO operativo e una che ne ha soltanto il nome. Sullo stesso versante si colloca l’approfondimento dedicato agli accessi al dossier sanitario negli studi medici.

Il punto per chi dirige una struttura

La domanda da porsi non è se la struttura abbia nominato un DPO. È se quel DPO, oggi, sia in condizione di sapere chi ha aperto quali cartelle nell’ultimo mese e con quale motivazione. Se la risposta è negativa, la carenza non è documentale: è organizzativa, ed è proprio quella che il Garante ha contestato nel provvedimento di luglio.

Lo studio ha sede a Napoli, assiste strutture sanitarie pubbliche e private in tutta Italia e ricopre incarichi di DPO per enti e poliambulatori: le modalità di incarico sono descritte nella pagina sul DPO e l’obbligo di nomina per aziende e pubblica amministrazione e nel servizio di consulenza privacy. Una struttura che voglia sapere quanto regge il proprio assetto può chiedere dalla pagina dei contatti un esame preliminare della documentazione e delle configurazioni. Per il contenzioso amministrativo davanti al giudice il riferimento è lo studio legale dell’avv. Elio Errichiello.

Avv. Elio Errichiello

Pubblicato il

DPO per gli Ordini professionali in Campania: un ente che tratta dati delicati ogni giorno

DPO per gli Ordini professionali in Campania: designazione del RPD e obblighi verso il Garante

Il tema del DPO per gli Ordini professionali in Campania torna puntualmente ogni volta che si rinnova un consiglio, e quasi sempre nella forma sbagliata: si cerca chi firmi l’incarico, non si verifica se l’assetto regga. È una differenza che conta, perché l’Ordine professionale è uno degli enti dove la designazione del responsabile della protezione dei dati non ammette valutazioni di opportunità.

Perché per un Ordine la nomina non è discrezionale

L’art. 37 del Regolamento impone la designazione del responsabile della protezione dei dati quando il trattamento è effettuato da un’autorità pubblica o da un organismo pubblico, eccettuate le autorità giurisdizionali nell’esercizio delle loro funzioni giurisdizionali. Gli Ordini professionali sono enti pubblici non economici, e rientrano in quella previsione.

Non si tratta quindi di valutare il volume dei dati trattati o la dimensione della struttura: l’obbligo discende dalla natura dell’ente. Ne abbiamo scritto più in generale parlando del DPO nella pubblica amministrazione.

Quali dati tratta davvero un Ordine

La percezione interna è quasi sempre riduttiva: un albo, qualche PEC, le quote. La realtà è un’altra, e vale la pena elencarla perché è ciò che rende l’ente esposto.

C’è l’albo, che è pubblico e che proprio per questo pone problemi specifici di esattezza, aggiornamento e cancellazione. C’è la formazione continua, con i crediti e le esenzioni, e le esenzioni possono rivelare informazioni che l’interessato non ha interesse a diffondere. C’è il procedimento disciplinare, che tratta dati di natura giudiziaria o comunque idonei a incidere pesantemente sulla reputazione di una persona. Ci sono gli esposti dei cittadini, con i dati del segnalante e del segnalato. C’è la gestione del personale dipendente. C’è la posta elettronica certificata istituzionale, con anni di corrispondenza.

E ci sono, infine, i trattamenti che nascono dalle funzioni aggiuntive: elezioni, commissioni, convenzioni, iniziative con terzi, piattaforme di formazione a distanza gestite da fornitori esterni.

Che cosa viene contestato più spesso

Il primo rilievo riguarda la comunicazione dei dati di contatto del responsabile della protezione dei dati all’Autorità di controllo, e la loro pubblicazione: sono obblighi espressi dell’art. 37 e la loro omissione è verificabile dall’esterno in pochi secondi. È il tipo di violazione che non richiede un’ispezione per emergere.

Il secondo riguarda il conflitto di interessi. Il responsabile della protezione dei dati non può ricoprire ruoli che lo portino a determinare finalità e mezzi dei trattamenti che dovrebbe sorvegliare: designare il segretario, il consigliere tesoriere o chi amministra i sistemi informativi crea un vizio strutturale. Sul punto abbiamo scritto parlando della nomina obbligatoria del DPO e del conflitto di interessi.

Il terzo riguarda la designazione puramente formale: l’incarico c’è, ma il responsabile non è coinvolto tempestivamente nelle questioni riguardanti la protezione dei dati, non dispone delle risorse necessarie e non ha accesso ai trattamenti. Anche questo emerge con facilità, perché lascia tracce documentali — o, più esattamente, non ne lascia nessuna.

Il quarto è il registro delle attività di trattamento, che negli Ordini è spesso fermo a un modello scaricato anni fa e mai adattato ai procedimenti reali dell’ente. È il primo documento che viene chiesto, come abbiamo spiegato parlando del registro dei trattamenti.

Il procedimento disciplinare, il punto più delicato

Merita una considerazione a parte perché è la sede in cui un errore costa di più. La comunicazione degli atti, la conservazione del fascicolo, l’accesso degli interessati, la pubblicazione dell’esito: ogni passaggio tratta dati che possono incidere sulla vita professionale dell’iscritto, e su ciascuno di essi si sono già formate contestazioni.

Anche il diritto di accesso dell’incolpato o del segnalante va gestito con criteri precisi e in tempi certi, come abbiamo ricordato parlando del diritto di accesso ai dati personali e del termine per il riscontro.

Quanto pesa un errore

Le violazioni relative alla designazione e alla posizione del responsabile della protezione dei dati rientrano nella fascia dell’art. 83 che arriva a 10 milioni di euro, mentre le violazioni dei principi e dei diritti degli interessati stanno nella fascia superiore. Per un ente pubblico l’ordine di grandezza è calibrato diversamente, ma resta il punto che più preoccupa un consiglio: la responsabilità è dell’ente e, sul piano amministrativo-contabile, le conseguenze non si fermano al bilancio.

Come si imposta un incarico che regge

Un incarico serio parte da una ricognizione dei procedimenti dell’ente — albo, formazione, disciplinare, personale, contratti con i fornitori — e da lì costruisce registro, informative per ciascuna categoria di interessati e, dove ricorrono i presupposti, la valutazione d’impatto. Non è un modulo da firmare: è un lavoro che si fa sull’ente concreto, e che poi va mantenuto nel tempo.

Lo studio ricopre incarichi di responsabile della protezione dei dati per Ordini professionali, Comuni ed enti pubblici non economici, e assiste in tutta Italia con sede a Napoli. I servizi sono descritti nelle pagine dedicate al servizio di DPO esterno, alla consulenza e compliance privacy e alla formazione; per il contenzioso amministrativo che riguarda gli Ordini è disponibile il sito dello studio legale dell’avv. Elio Errichiello.

Se il suo Ordine sta per rinnovare l’incarico, o non è certo che l’assetto attuale regga a una verifica, ci scriva dalla pagina contatti: un esame preliminare della documentazione e degli atti di designazione chiarisce in poco tempo dove si è scoperti.

Avv. Elio Errichiello