Categoria: Pubblica amministrazione e scuola

Il tema del DPO per gli Ordini professionali in Campania torna puntualmente ogni volta che si rinnova un consiglio, e quasi sempre nella forma sbagliata: si cerca chi firmi l’incarico, non si verifica se l’assetto regga. È una differenza che conta, perché l’Ordine professionale è uno degli enti dove la designazione del responsabile della protezione dei dati non ammette valutazioni di opportunità.

Perché per un Ordine la nomina non è discrezionale

L’art. 37 del Regolamento impone la designazione del responsabile della protezione dei dati quando il trattamento è effettuato da un’autorità pubblica o da un organismo pubblico, eccettuate le autorità giurisdizionali nell’esercizio delle loro funzioni giurisdizionali. Gli Ordini professionali sono enti pubblici non economici, e rientrano in quella previsione.

Non si tratta quindi di valutare il volume dei dati trattati o la dimensione della struttura: l’obbligo discende dalla natura dell’ente. Ne abbiamo scritto più in generale parlando del DPO nella pubblica amministrazione.

Quali dati tratta davvero un Ordine

La percezione interna è quasi sempre riduttiva: un albo, qualche PEC, le quote. La realtà è un’altra, e vale la pena elencarla perché è ciò che rende l’ente esposto.

C’è l’albo, che è pubblico e che proprio per questo pone problemi specifici di esattezza, aggiornamento e cancellazione. C’è la formazione continua, con i crediti e le esenzioni, e le esenzioni possono rivelare informazioni che l’interessato non ha interesse a diffondere. C’è il procedimento disciplinare, che tratta dati di natura giudiziaria o comunque idonei a incidere pesantemente sulla reputazione di una persona. Ci sono gli esposti dei cittadini, con i dati del segnalante e del segnalato. C’è la gestione del personale dipendente. C’è la posta elettronica certificata istituzionale, con anni di corrispondenza.

E ci sono, infine, i trattamenti che nascono dalle funzioni aggiuntive: elezioni, commissioni, convenzioni, iniziative con terzi, piattaforme di formazione a distanza gestite da fornitori esterni.

Che cosa viene contestato più spesso

Il primo rilievo riguarda la comunicazione dei dati di contatto del responsabile della protezione dei dati all’Autorità di controllo, e la loro pubblicazione: sono obblighi espressi dell’art. 37 e la loro omissione è verificabile dall’esterno in pochi secondi. È il tipo di violazione che non richiede un’ispezione per emergere.

Il secondo riguarda il conflitto di interessi. Il responsabile della protezione dei dati non può ricoprire ruoli che lo portino a determinare finalità e mezzi dei trattamenti che dovrebbe sorvegliare: designare il segretario, il consigliere tesoriere o chi amministra i sistemi informativi crea un vizio strutturale. Sul punto abbiamo scritto parlando della nomina obbligatoria del DPO e del conflitto di interessi.

Il terzo riguarda la designazione puramente formale: l’incarico c’è, ma il responsabile non è coinvolto tempestivamente nelle questioni riguardanti la protezione dei dati, non dispone delle risorse necessarie e non ha accesso ai trattamenti. Anche questo emerge con facilità, perché lascia tracce documentali — o, più esattamente, non ne lascia nessuna.

Il quarto è il registro delle attività di trattamento, che negli Ordini è spesso fermo a un modello scaricato anni fa e mai adattato ai procedimenti reali dell’ente. È il primo documento che viene chiesto, come abbiamo spiegato parlando del registro dei trattamenti.

Il procedimento disciplinare, il punto più delicato

Merita una considerazione a parte perché è la sede in cui un errore costa di più. La comunicazione degli atti, la conservazione del fascicolo, l’accesso degli interessati, la pubblicazione dell’esito: ogni passaggio tratta dati che possono incidere sulla vita professionale dell’iscritto, e su ciascuno di essi si sono già formate contestazioni.

Anche il diritto di accesso dell’incolpato o del segnalante va gestito con criteri precisi e in tempi certi, come abbiamo ricordato parlando del diritto di accesso ai dati personali e del termine per il riscontro.

Quanto pesa un errore

Le violazioni relative alla designazione e alla posizione del responsabile della protezione dei dati rientrano nella fascia dell’art. 83 che arriva a 10 milioni di euro, mentre le violazioni dei principi e dei diritti degli interessati stanno nella fascia superiore. Per un ente pubblico l’ordine di grandezza è calibrato diversamente, ma resta il punto che più preoccupa un consiglio: la responsabilità è dell’ente e, sul piano amministrativo-contabile, le conseguenze non si fermano al bilancio.

Come si imposta un incarico che regge

Un incarico serio parte da una ricognizione dei procedimenti dell’ente — albo, formazione, disciplinare, personale, contratti con i fornitori — e da lì costruisce registro, informative per ciascuna categoria di interessati e, dove ricorrono i presupposti, la valutazione d’impatto. Non è un modulo da firmare: è un lavoro che si fa sull’ente concreto, e che poi va mantenuto nel tempo.

Lo studio ricopre incarichi di responsabile della protezione dei dati per Ordini professionali, Comuni ed enti pubblici non economici, e assiste in tutta Italia con sede a Napoli. I servizi sono descritti nelle pagine dedicate al servizio di DPO esterno, alla consulenza e compliance privacy e alla formazione; per il contenzioso amministrativo che riguarda gli Ordini è disponibile il sito dello studio legale dell’avv. Elio Errichiello.

Se il suo Ordine sta per rinnovare l’incarico, o non è certo che l’assetto attuale regga a una verifica, ci scriva dalla pagina contatti: un esame preliminare della documentazione e degli atti di designazione chiarisce in poco tempo dove si è scoperti.

Avv. Elio Errichiello

La domanda sul DPO per i Comuni in Campania arriva spesso da segretari comunali e responsabili di servizio che hanno ereditato una situazione poco chiara: una designazione fatta anni fa, un nominativo che forse non è più quello, una casella di posta che nessuno presidia. E il sospetto, fondato, che se qualcuno controllasse non ne uscirebbe bene.

Conviene partire da un dato: per gli enti pubblici la nomina del responsabile della protezione dei dati non è una valutazione di opportunità. È un obbligo, e la sua violazione è stata sanzionata.

L’obbligo per le autorità pubbliche

L’articolo 37, paragrafo 1, del GDPR impone la designazione del responsabile della protezione dei dati quando il trattamento è effettuato da un’autorità pubblica o da un organismo pubblico. Nelle proprie FAQ sul RPD in ambito pubblico il Garante precisa che l’obbligo riguarda le autorità e gli organismi pubblici, con l’eccezione delle autorità giurisdizionali nell’esercizio delle funzioni giurisdizionali.

Per un Comune, dunque, non si pone alcuna questione di soglia, di numero di abitanti o di volume dei trattamenti. L’obbligo c’è.

Non basta nominare: bisogna comunicarlo e pubblicarlo

È qui che molte amministrazioni scoprono di essere scoperte. Il paragrafo 7 dello stesso articolo 37 impone di pubblicare i dati di contatto del responsabile della protezione dei dati e di comunicarli all’autorità di controllo.

Le FAQ del Garante lo articolano in modo operativo: i dati di contatto vanno comunicati all’Autorità, indicati nelle informative rese agli interessati e pubblicati sul sito istituzionale dell’ente, nella sezione dedicata alla privacy e in amministrazione trasparente. Il nominativo può anche non essere pubblicato, ma va comunicato all’Autorità.

Sono tre adempimenti distinti. Averne fatto uno solo — tipicamente l’atto di nomina, che resta nel fascicolo — non basta.

Il caso che conviene conoscere

Con il provvedimento n. 166 del 27 marzo 2025 il Garante ha sanzionato un Comune per tremila euro, contestando l’omessa designazione del responsabile della protezione dei dati e la mancata comunicazione e pubblicazione dei relativi dati di contatto, in violazione dell’articolo 37, paragrafi 1 e 7, del Regolamento.

La cifra, per un ente locale, non è quella che fa notizia. Ciò che conta è il precedente: l’assenza del RPD è stata trattata come una violazione autonoma, accertata e sanzionata in quanto tale, senza bisogno che fosse accaduto nient’altro. Non serve un data breach, non serve un reclamo su un trattamento specifico: basta la mancanza.

Le designazioni solo formali

C’è poi una seconda categoria di problemi, più insidiosa, che riguarda gli enti che il RPD ce l’hanno. Il Garante ha dedicato alla materia un documento di indirizzo, adottato con provvedimento del 29 aprile 2021, su designazione, posizione e compiti del responsabile della protezione dei dati in ambito pubblico.

Le criticità tipiche sono note: un incarico affidato a chi non ha le competenze richieste; un responsabile che non viene coinvolto tempestivamente nelle questioni rilevanti; risorse e tempo insufficienti a svolgere il compito; un conflitto di interessi, che si presenta ogni volta che la stessa persona determina finalità e mezzi di un trattamento e poi dovrebbe vigilarvi. Il tema è approfondito nell’articolo su quando la nomina del DPO è obbligatoria e che cosa rischia chi sbaglia la designazione.

Una designazione che esiste solo sulla carta non protegge l’ente: documenta che l’adempimento era conosciuto e che è stato assolto male.

Interno o esterno?

Il Regolamento consente entrambe le soluzioni: il responsabile della protezione dei dati può essere un dipendente dell’ente oppure un professionista esterno che svolge i compiti in base a un contratto di servizi. Non esiste una risposta valida per tutti, ma esistono elementi che pesano.

Il RPD interno conosce l’organizzazione e i suoi processi, ed è raggiungibile. Il rischio è duplice: che non abbia il tempo materiale per occuparsene, essendo già gravato di altri incarichi, e che si trovi in conflitto di interessi rispetto a trattamenti che lui stesso gestisce. È la situazione classica del responsabile dei sistemi informativi designato anche come RPD.

Il professionista esterno porta competenza specialistica e indipendenza, ma va messo nelle condizioni di lavorare: deve essere coinvolto tempestivamente, deve poter accedere alle informazioni e non deve essere un nome su una carta intestata. Il tema, per il settore privato e pubblico, è trattato nell’articolo sul DPO esterno per enti e aziende.

In entrambi i casi la verifica che conta è la stessa: l’ente è in grado di dimostrare che il RPD è stato coinvolto nelle decisioni rilevanti? Se l’unica traccia è l’atto di nomina, la risposta è no.

Che cosa succede quando arriva una verifica

Il primo documento richiesto è quasi sempre il registro delle attività di trattamento. Subito dopo vengono gli atti di designazione — del RPD e dei responsabili esterni ex articolo 28 — e le informative rese ai cittadini. Un ente che per ciascuna richiesta deve ricostruire da zero parte in svantaggio.

Per le amministrazioni il quadro degli obblighi e delle conseguenze è illustrato anche nell’articolo su il DPO nella pubblica amministrazione, mentre il rapporto con i fornitori che trattano dati per conto dell’ente è trattato in quello sulla nomina del responsabile del trattamento.

DPO per i Comuni in Campania: come lavoriamo

Lo studio ha sede a Napoli e svolge incarichi di responsabile della protezione dei dati per Comuni, Ordini professionali, enti pubblici non economici e strutture sanitarie, in Campania e in altre regioni. L’attività non si esaurisce nella designazione: comprende la revisione del registro dei trattamenti, la qualificazione dei rapporti con i fornitori, le informative per categoria di interessati, la valutazione d’impatto quando ricorre, la cartellonistica di videosorveglianza e il raccordo con il piano di conservazione documentale.

Per il contenzioso amministrativo e le altre materie il riferimento è il sito avvocatoelioerrichiello.it; qui trovate anche l’approfondimento su l’obbligo di nomina del DPO per aziende e pubblica amministrazione.

Se l’ente vuole capire se la propria posizione regge, il modo più rapido è farci avere l’atto di designazione in vigore e l’indirizzo della sezione del sito in cui i contatti sono pubblicati. Bastano per una prima verifica: scriveteci dalla pagina contatti e vi diremo che cosa risulta scoperto.

Avv. Elio Errichiello

Per il DPO nella pubblica amministrazione — nel linguaggio del Codice italiano, il Responsabile della protezione dei dati o RPD — non c’è alcuna valutazione da fare: la designazione è obbligatoria per ogni autorità pubblica e per ogni organismo pubblico, a prescindere dalle dimensioni dell’ente e dal tipo di trattamenti effettuati. Un Comune di mille abitanti e una Regione hanno, sotto questo profilo, esattamente lo stesso obbligo.

Il problema, nella pratica, non è quasi mai l’esistenza dell’obbligo: è il modo in cui viene adempiuto. E qui gli enti si espongono molto più di quanto immaginino.

Chi è tenuto alla nomina

Sono soggetti all’obbligo, tra gli altri, i Comuni e le loro unioni, le Province e le Città metropolitane, le Regioni, le aziende sanitarie e ospedaliere, le istituzioni scolastiche di ogni ordine e grado, le università, le camere di commercio, gli ordini e i collegi professionali, gli enti pubblici non economici, le aziende speciali e i consorzi, le società in house che svolgono funzioni pubbliche.

Un chiarimento utile riguarda gli ordini professionali e gli enti pubblici non economici, che talvolta ritengono di esserne fuori: la loro natura di enti pubblici li colloca senza dubbio nell’ambito dell’obbligo, e l’attività che svolgono — albi, procedimenti disciplinari, formazione, gestione dei contributi — comporta trattamenti tutt’altro che marginali. Il tema della designazione nel settore pubblico è stato affrontato anche a proposito della figura del DPO nelle istituzioni scolastiche.

I tre errori che il Garante contesta più spesso

Il conflitto di interessi. Non può essere designato RPD chi, all’interno dell’ente, concorre a determinare le finalità e i mezzi del trattamento. La verifica non è formale ma sostanziale: conta ciò che quella persona fa concretamente negli uffici, non l’etichetta del suo incarico. È l’aspetto su cui l’Autorità è intervenuta con maggiore severità, come nel caso della erronea nomina del DPO sanzionata dal Garante.

L’incarico solo formale. Una nomina firmata e poi mai attuata — nessuna attività, nessun coinvolgimento, nessun atto — espone l’ente più di quanto lo protegga, perché documenta che l’obbligo era conosciuto e non è stato adempiuto nella sostanza.

I dati di contatto mai comunicati o non pubblicati. La designazione va comunicata al Garante attraverso l’apposita procedura telematica e i riferimenti vanno pubblicati sul sito istituzionale, perché gli interessati possano rivolgersi al RPD per l’esercizio dei propri diritti. È l’omissione più facile da accertare dall’esterno, e infatti è quella che innesca più spesso l’istruttoria.

Cosa comporta una contestazione

La violazione degli obblighi relativi al Responsabile della protezione dei dati rientra tra quelle sanzionate dall’art. 83 del Regolamento. Per i soggetti pubblici il quadro sanzionatorio è modulato dalla normativa nazionale, ma sarebbe un errore leggerlo come un’attenuante: il provvedimento dell’Autorità è pubblico, incide sulla reputazione dell’ente e si accompagna quasi sempre a prescrizioni che impongono di rimettere in ordine l’intero impianto documentale in tempi molto stretti, con le risorse che l’ufficio ha in quel momento.

Va poi considerato l’effetto sulle violazioni dei dati. L’ente privo di un RPD realmente operativo non è in condizione di gestire la notifica al Garante entro settantadue ore né di documentare le valutazioni compiute — e nella maggior parte dei casi il data breach è proprio l’occasione in cui l’intera organizzazione privacy dell’ente viene esaminata.

RPD interno, esterno o in forma associata

L’ente può designare un dipendente, un professionista esterno oppure — soluzione espressamente ammessa per i soggetti pubblici — un unico RPD per più amministrazioni, tenendo conto della loro struttura organizzativa e dimensione. È la strada che consente ai piccoli Comuni di disporre di una professionalità adeguata a costi sostenibili, purché resti garantita la reperibilità effettiva presso ciascun ente: perché è la reperibilità, non la nomina, ciò che viene verificato.

L’incarico che svolgiamo per gli enti

Ricopriamo l’incarico di Responsabile della protezione dei dati per ordini professionali, Comuni, enti pubblici non economici e strutture sanitarie. L’attività non si esaurisce nella designazione: comprende la revisione del registro delle attività di trattamento, la corretta qualificazione dei rapporti con i fornitori, le informative destinate alle diverse categorie di interessati, il parere sulle valutazioni d’impatto, la verifica del sito istituzionale e della conformità degli impianti di videosorveglianza alle indicazioni del Garante, il canale whistleblowing e la formazione del personale.

Un inquadramento generale della figura si trova nella guida alla nomina del responsabile per la protezione dei dati personali; le condizioni dell’assistenza continuativa sono descritte nei pacchetti di consulenza privacy.

Per il contenzioso amministrativo che riguarda gli enti locali — impianti di telefonia mobile, appalti, edilizia — l’attività è svolta dallo studio legale dell’avv. Elio Errichiello.

Se il vostro ente deve procedere alla designazione, o ha ricevuto una richiesta di chiarimenti dall’Autorità, contattateci per un esame preliminare degli atti di nomina già adottati.

Come noto, il GDPR ha introdotto la figura del DPO o Data Protection Officer, ossia di “un soggetto designato dal titolare o dal responsabile del trattamento per assolvere a funzioni di supporto e di controllo, consultive, formative e informative relativamente all’applicazione del RGPD”. Ebbene il Dpo a scuola è una figura obbligatoria secondo la normativa europea, andiamo a scoprire perchè.

Leggi tutto “La figura del DPO – data protection officer a scuola”