Sono obbligate a nominare un DPO (Data Protection Officer) tutte le autorita pubbliche e tutti gli organismi pubblici, le organizzazioni private che effettuano monitoraggio sistematico su larga scala degli interessati, e quelle che trattano su larga scala categorie particolari di dati (dati sanitari, biometrici, giudiziari e simili). La base normativa e l’articolo 37 del Regolamento (UE) 2016/679 (GDPR). La mancata nomina, quando obbligatoria, espone a sanzioni fino a 10 milioni di euro o al 2% del fatturato mondiale annuo.
Tra le figure introdotte dal GDPR, il Data Protection Officer – in italiano Responsabile della Protezione dei Dati (RPD) – è quella che genera più dubbi tra le organizzazioni. La domanda più frequente non riguarda cosa fa il DPO, ma se si è tenuti a nominarlo. La risposta non e universale: dipende dalla natura dell’organizzazione, dalle attività di trattamento svolte e dalla tipologia di dati gestiti.
Capire se si rientra nei casi di obbligatorietà non è solo un esercizio di conformità normativa. È una necessità strategica: la mancata designazione del DPO, nei casi in cui e imposta, costituisce una violazione autonoma del GDPR e può portare a sanzioni pesanti da parte del Garante. In questa guida analizziamo nel dettaglio chi e obbligato, chi non lo e ma dovrebbe comunque considerarlo, e quali sono i criteri che il regolamento europeo utilizza per tracciare il confine.
Che cos’è il DPO e perché il GDPR lo ha introdotto
Il Data Protection Officer è una figura professionale con competenze giuridiche e informatiche, prevista dagli articoli 37, 38 e 39 del GDPR. Il suo ruolo e quello di garantire che l’organizzazione che lo ha nominato rispetti gli obblighi normativi in materia di protezione dei dati personali. Non è un esecutore operativo: è un supervisore indipendente, un punto di raccordo tra l’organizzazione, le persone i cui dati sono trattati (gli interessati) e l’Autorità di controllo (in Italia, il Garante per la protezione dei dati personali).
Il legislatore europeo ha introdotto questa figura con una logica precisa: le organizzazioni che trattano dati personali in modo massiccio o particolarmente sensibile non possono fare affidamento solo su audit sporadici o su un responsabile IT con altre mille priorità. Serve una figura dedicata, con potere di interlocuzione diretto con il vertice aziendale e piena autonomia nell’esercizio dei propri compiti.
Va chiarito subito un punto che genera confusione: DPO e RPD sono la stessa figura. DPO e l’acronimo inglese (Data Protection Officer), RPD quello italiano (Responsabile della Protezione dei Dati). La normativa usa indifferentemente entrambe le denominazioni, e i riferimenti normativi sono identici.
Art. 37 GDPR: i tre casi in cui la nomina è obbligatoria
L’articolo 37 del GDPR individua con precisione i presupposti che rendono obbligatoria la designazione di un DPO. Esistono tre ipotesi distinte, tra loro alternative: è sufficiente che ricorra una sola di queste condizioni perché l’obbligo scatti.
1. Autorità pubbliche e organismi pubblici
Questo è il caso più diretto e senza eccezioni rilevanti. Tutte le autorità pubbliche e tutti gli organismi pubblici sono obbligati a nominare un DPO, indipendentemente dal volume o dalla natura dei dati che trattano. L’obbligo prescinde dalla quantità di dati trattati: anche un piccolo ente pubblico che gestisce pochi dati è tenuto alla nomina.
Rientrano in questa categoria, a titolo esemplificativo: ministeri e relative articolazioni periferiche, regioni, province e comuni di qualsiasi dimensione, aziende sanitarie locali (ASL) e ospedali pubblici, università e istituti scolastici di ogni ordine e grado, camere di commercio, ordini professionali, enti previdenziali pubblici, agenzie fiscali.
L’unica eccezione esplicita prevista dal regolamento riguarda le autorità giurisdizionali – come i tribunali – ma solo nell’esercizio delle loro funzioni giurisdizionali specifiche. Il che significa che, per le attività amministrative di supporto, anche le strutture giudiziarie possono rientrare nell’obbligo.
Un aspetto operativo rilevante: il GDPR prevede che un unico DPO possa essere designato per più autorità o organismi pubblici, tenendo conto della loro struttura organizzativa e dimensione. Questa disposizione e particolarmente utile per enti locali di piccole dimensioni o per strutture associate.
2. Monitoraggio regolare e sistematico degli interessati su larga scala
Il secondo caso riguarda le organizzazioni private le cui attività principali consistono nel monitoraggio regolare e sistematico degli interessati su larga scala. Questo criterio è quello che genera più incertezze interpretative, perché il GDPR non definisce direttamente né “monitoraggio regolare e sistematico” né “larga scala”. Le indicazioni più autorevoli provengono dalle Linee Guida sul DPO adottate dal Gruppo di Lavoro Articolo 29 (oggi European Data Protection Board).
Per monitoraggio regolare e sistematico si intende qualsiasi forma di tracciamento del comportamento degli interessati che avvenga in modo continuativo e organizzato, non occasionale. Gli esempi più evidenti sono: piattaforme di e-commerce che profilano gli utenti per finalità di marketing, app mobili che raccolgono dati di localizzazione, sistemi di videosorveglianza su vasta scala, servizi di telecomunicazione che analizzano il traffico degli utenti, sistemi bancari e assicurativi che valutano il comportamento dei clienti per offerte personalizzate o valutazione del rischio.
L’elemento “regolare e sistematico” implica che il monitoraggio non sia episodico ma strutturalmente integrato nelle attività dell’organizzazione. Se un’azienda usa dati comportamentali degli utenti come componente centrale del proprio modello di business, è molto probabile che rientri in questo scenario.
3. Trattamento su larga scala di categorie particolari di dati
La terza ipotesi riguarda il trattamento, su larga scala, delle cosiddette categorie particolari di dati personali, elencate all’articolo 9 del GDPR, o di dati relativi a condanne penali e a reati (articolo 10). Le categorie particolari includono: dati sulla salute, dati genetici, dati biometrici finalizzati all’identificazione univoca di una persona, dati relativi all’origine razziale o etnica, alle opinioni politiche, alle convinzioni religiose o filosofiche, all’appartenenza sindacale, all’orientamento sessuale.
Questi dati godono di una protezione rafforzata perché la loro divulgazione o il loro uso improprio può produrre danni particolarmente gravi per le persone: discriminazione, stigma sociale, violazioni della sfera più intima della vita privata. Per questo il regolatore ha deciso che chi li tratta su scala significativa deve dotarsi di una figura dedicata alla sorveglianza della conformità.
Esempi concreti: ospedali privati e strutture sanitarie, laboratori di analisi mediche, app di salute e fitness che archiviano dati biometrici, piattaforme assicurative che gestiscono cartelle cliniche, sistemi di riconoscimento biometrico per il controllo degli accessi nelle grandi aziende.
Cosa si intende per “larga scala”: la definizione pratica
Il concetto di “larga scala” è centrale per determinare l’obbligatorietà, ma il GDPR non ne fornisce una definizione numerica. Le Linee Guida WP29 suggeriscono di considerare quattro fattori combinati per valutare se un trattamento è da considerarsi a larga scala.
- Il numero di persone interessate, in termini assoluti o come proporzione della popolazione di riferimento.
- Il volume dei dati trattati e la varietà delle tipologie di dati.
- La durata o la permanenza dell’attività di trattamento.
- L’estensione geografica del trattamento (locale, regionale, nazionale, internazionale).
Un medico di base che gestisce i dati sanitari dei propri pazienti non tratta su larga scala, anche se i dati sono di natura sensibile. Un’azienda ospedaliera con centinaia di migliaia di cartelle cliniche, invece, rientra certamente in questa categoria. La distinzione non è sempre netta e richiede una valutazione caso per caso che l’organizzazione dovrebbe documentare formalmente.
Il WP29 ricorda che, in caso di dubbio, è consigliabile procedere con la nomina. Il principio di accountability che caratterizza il GDPR implica che le organizzazioni siano in grado di dimostrare le proprie scelte: se si decide che il DPO non è obbligatorio, questa valutazione va documentata e conservata.
Chi è obbligato: l’elenco del Garante per il settore privato
Il Garante per la protezione dei dati personali ha pubblicato FAQ integrative che specificano, a titolo esemplificativo e non esaustivo, le categorie di soggetti privati ritenuti obbligati alla nomina del DPO. Questo elenco rappresenta un riferimento pratico importante, anche se non copre tutti i casi possibili.
Settore finanziario e creditizio:
- Istituti di credito e banche
- Imprese assicurative
- Sistemi di informazione creditizia
- Società finanziarie
- Società di revisione contabile
- Società di recupero crediti
Sicurezza e informazioni commerciali:
- Istituti di vigilanza privata
- Società di informazioni commerciali
Partiti, organizzazioni sindacali e patronati:
- Partiti e movimenti politici
- Sindacati
- CAF e patronati
Utilities e telecomunicazioni:
- Società operanti nel settore delle telecomunicazioni
- Imprese di distribuzione di energia elettrica o gas
Sanità privata e diagnostica:
- Ospedali privati e cliniche
- Terme e centri di riabilitazione
- Laboratori di analisi mediche
Gestione del personale e servizi IT:
- Imprese di somministrazione di lavoro e ricerca del personale
- Società che forniscono servizi informatici
- Società di call center
- Società che erogano servizi televisivi a pagamento
È fondamentale ricordare che questo elenco ha carattere esemplificativo. Un’azienda che non vi compare non può automaticamente concludere di essere esonerata: deve comunque verificare se le proprie attività di trattamento ricadono in uno dei tre criteri previsti dall’articolo 37 GDPR.
Quando la nomina del DPO non è obbligatoria ma è comunque consigliata
Esistono organizzazioni che non rientrano in nessuna delle tre ipotesi di obbligatorietà, ma che possono trarre grande vantaggio dalla nomina volontaria di un DPO. Il GDPR non vieta questa scelta: anzi, in alcuni casi il regolatore la incoraggia esplicitamente come buona pratica di compliance.
Una PMI che gestisce i dati dei propri dipendenti e di qualche centinaio di clienti, per esempio, non e obbligata alla nomina. Tuttavia, se tratta anche dati particolari – anche in modo limitato – oppure se ha piani di crescita che prevedono un aumento significativo dei dati trattati, designare un DPO può evitare problemi futuri e rafforzare la fiducia dei clienti.
Un’azienda che ha scelto di nominare un DPO in modo volontario deve rispettare gli stessi obblighi previsti per i casi di nomina obbligatoria: le garanzie di indipendenza, le risorse adeguate, la comunicazione al Garante. Non e possibile nominare un DPO “di facciata” senza attribuirgli i poteri e le risorse necessarie.
Suggerimento: anche quando la nomina non è obbligatoria, documentare formalmente la valutazione che ha portato a questa conclusione e una pratica raccomandata dal GDPR nell’ottica dell’accountability.
I compiti del DPO secondo l’art. 39 GDPR
I compiti del DPO sono definiti in modo preciso all’articolo 39 del GDPR. Non si tratta di un elenco da interpretare liberamente: è un mandato normativo che individua le aree di intervento obbligatorie. La loro ampiezza rende evidente perché sia necessaria una figura dedicata e con un profilo professionale solido.
Consulenza e informazione interna
Il DPO ha il compito di informare e fornire consulenza al titolare del trattamento, al responsabile del trattamento e ai dipendenti che si occupano di trattare dati personali. Questo significa che deve essere costantemente disponibile per rispondere a domande operative, partecipare alla definizione di nuove procedure e segnalare potenziali criticità prima che si trasformino in violazioni.
Nella pratica, il DPO partecipa alla formazione del personale, alla redazione delle informative da fornire agli interessati, alla predisposizione dei registri dei trattamenti e alla gestione delle richieste di esercizio dei diritti (accesso, cancellazione, portabilità, opposizione). E un consulente interno che conosce a fondo sia la normativa sia i processi aziendali.
Sorveglianza della conformità
Il DPO sorveglia l’osservanza del GDPR, delle normative nazionali in materia di protezione dei dati e delle politiche interne dell’organizzazione in merito alla protezione dei dati personali. Include anche la supervisione dell’attribuzione delle responsabilità, la sensibilizzazione e la formazione del personale, e le attività di controllo connesse.
Una componente importante di questa funzione è il supporto nella Valutazione d’Impatto sulla Protezione dei Dati (DPIA – Data Protection Impact Assessment), che diventa obbligatoria quando i trattamenti presentano rischi elevati per i diritti e le libertà delle persone. Il DPO fornisce pareri sulla necessità di effettuare la DPIA, sulla sua metodologia e sui suoi esiti.
Cooperazione con il Garante
Il DPO funge da punto di contatto nei confronti del Garante per la protezione dei dati personali per tutte le questioni relative al trattamento. Questo include la gestione delle notifiche di data breach, la partecipazione alle consultazioni preventive previste dall’articolo 36 del GDPR (per i trattamenti ad alto rischio) e la risposta alle richieste di informazioni dell’Autorità di controllo.
Il nominativo del DPO, insieme ai suoi recapiti, deve essere comunicato al Garante e pubblicato dall’organizzazione in modo che gli interessati possano contattarlo direttamente per esercitare i propri diritti o segnalare problematiche relative al trattamento dei loro dati.
DPO interno o DPO esterno: come scegliere
Il GDPR consente espressamente che il DPO sia sia un dipendente dell’organizzazione sia un soggetto esterno che opera sulla base di un contratto di servizi. Entrambe le opzioni sono legittime, ma presentano caratteristiche operative diverse che è bene valutare con attenzione.
Il DPO interno è un dipendente dell’organizzazione che assume anche il ruolo di responsabile della protezione dei dati. Il vantaggio è la conoscenza profonda dei processi aziendali. Il rischio principale è il conflitto di interessi: il GDPR stabilisce che il DPO non può svolgere compiti che lo portino a determinare le finalità e i mezzi del trattamento dei dati, poiché questo comprometterebbe la sua indipendenza. Non può quindi essere, allo stesso tempo, DPO e responsabile IT, responsabile marketing o responsabile delle risorse umane.
Il DPO esterno, tipicamente un consulente o uno studio professionale specializzato, garantisce più facilmente l’indipendenza funzionale richiesta dalla normativa. È spesso la soluzione preferita per le PMI, che difficilmente possono permettersi una risorsa interna dedicata esclusivamente a questo ruolo. Un DPO esterno può inoltre seguire più organizzazioni contemporaneamente, il che consente di distribuire i costi.
Riepilogo comparativo:
- DPO interno: costo contenuto, conoscenza del contesto aziendale, ma rischio di conflitto di interessi se non correttamente segregato.
- DPO esterno: piena indipendenza, expertise specialistico, costo variabile in base al perimetro del mandato.
- DPO condiviso tra enti pubblici: previsto esplicitamente dall’art. 37 GDPR per enti di piccole dimensioni.
Quali requisiti deve avere il DPO
L’articolo 37, paragrafo 5, del GDPR stabilisce che il DPO deve essere designato “in funzione delle qualità professionali e, in particolare, della conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati e della capacità di assolvere i compiti” previsti dall’articolo 39.
Il regolamento non impone una certificazione specifica. Tuttavia, il livello di competenza richiesto deve essere proporzionale alla complessità dei trattamenti svolti dall’organizzazione: un ospedale che tratta dati sanitari su scala nazionale avrà esigenze diverse da una PMI del settore manifatturiero. Le certificazioni professionali esistenti – come quelle rilasciate da IAPP (CIPP/E, CIPM) o da enti di certificazione accreditati – non sono obbligatorie ma rappresentano un indicatore utile di competenza.
Sul piano pratico, il DPO dovrebbe possedere una conoscenza approfondita del GDPR e delle normative nazionali di recepimento, del Codice Privacy italiano (D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018), delle Linee Guida dell’EDPB, dei principali strumenti tecnici di protezione dei dati (pseudonimizzazione, cifratura, controllo degli accessi) e dei processi di gestione del rischio e della sicurezza delle informazioni.
Un aspetto spesso sottovalutato: il DPO deve conoscere anche il settore specifico in cui opera l’organizzazione. Un DPO che lavora per una software house che sviluppa applicazioni medicali deve comprendere non solo il GDPR ma anche i regolamenti sui dispositivi medici e le implicazioni del trattamento di dati sanitari digitali.
Le conseguenze della mancata nomina
Omettere la nomina del DPO quando questa è obbligatoria costituisce una violazione autonoma del GDPR, indipendentemente dal fatto che si siano verificate o meno violazioni dei dati personali. Il Garante può applicare sanzioni amministrative pecuniarie fino a 10 milioni di euro oppure, per le imprese, fino al 2% del fatturato mondiale annuo totale dell’esercizio precedente, se superiore.
Oltre alle sanzioni economiche, la mancata nomina del DPO può avere conseguenze reputazionali significative. In caso di ispezione del Garante o di data breach, la mancanza di questa figura segnala un approccio carente alla compliance e può aggravare la valutazione complessiva del caso.
È importante notare che le sanzioni per la mancata nomina si cumulano con quelle per eventuali violazioni sostanziali (data breach non notificato, trattamento illecito di dati, ecc.). La conformità al GDPR è un sistema: una lacuna in un punto del sistema tende a rivelarne altre.
Quadro sanzionatorio di sintesi:
- Mancata nomina del DPO (obbligatoria): fino a 10 milioni di euro o 2% del fatturato mondiale.
- Data breach non notificato: stessa fascia sanzionatoria.
- Violazioni più gravi (es. trattamento illecito): fino a 20 milioni di euro o 4% del fatturato mondiale.
- Sanzioni non economiche: ammonimenti, ordini di adeguamento, sospensione dei trattamenti.
Come la tecnologia supporta il lavoro del DPO
La nomina del DPO è un obbligo normativo, ma la sua efficacia dipende in larga misura dagli strumenti a sua disposizione. Un DPO che opera senza un sistema informativo adeguato deve fare affidamento su fogli di calcolo, documenti sparsi e processi manuali: un approccio che non regge di fronte alla complessità dei trattamenti di un’organizzazione strutturata.
Le piattaforme software pensate per la gestione digitale dei processi aziendali possono fare una differenza concreta. Sistemi che centralizzano i flussi di dati, integrano i diversi reparti – dalla produzione alle vendite, dalla logistica alle risorse umane – e offrono tracciabilità delle operazioni permettono al DPO di avere una visione completa e aggiornata del perimetro di trattamento.
Un framework software configurabile e modulare, in grado di integrarsi con i sistemi già presenti in azienda (ERP, CRM, sistemi di gestione documentale), offre al DPO la possibilità di mappare i flussi di dati, identificare i punti critici e monitorare nel tempo la conformità delle procedure. Questo è particolarmente rilevante per le organizzazioni che trattano dati in modo trasversale tra più reparti o che gestiscono processi complessi come la raccolta ordini B2B, la gestione di agenti di vendita o l’integrazione con dispositivi IoT.
FAQ: domande frequenti su GDPR e DPO
Tutte le aziende sono obbligate a nominare un DPO?
No. L’obbligo scatta solo in presenza di uno dei tre presupposti previsti dall’articolo 37 GDPR: essere un’autorità pubblica, effettuare monitoraggio sistematico su larga scala, oppure trattare su larga scala categorie particolari di dati. Le piccole e medie imprese che non rientrano in questi casi non sono obbligate, ma possono scegliere di nominare un DPO in modo volontario.
Il DPO può essere un mio dipendente?
Sì, il GDPR prevede espressamente questa possibilità. Tuttavia, il dipendente designato come DPO non può svolgere contemporaneamente ruoli che comportino la determinazione delle finalità e dei mezzi del trattamento dei dati. Per evitare conflitti di interesse, il DPO interno non dovrebbe ricoprire posizioni come responsabile IT, responsabile marketing o direttore generale.
Cosa succede se nomino un DPO ma poi non gli fornisco risorse adeguate?
Anche questa situazione costituisce una violazione del GDPR. L’articolo 38 stabilisce che il titolare del trattamento deve mettere a disposizione del DPO le risorse umane e finanziarie necessarie per adempiere ai propri compiti. Un DPO nominato solo formalmente, senza reale autonomia operativa né supporto adeguato, non soddisfa i requisiti normativi.
Un DPO esterno può seguire più organizzazioni?
Si. Il GDPR non pone limiti al numero di organizzazioni che un DPO esterno può seguire, a condizione che sia in grado di adempiere ai propri compiti in modo efficace per ciascuna di esse. L’ente che nomina un DPO esterno deve verificare che questi disponga del tempo e delle competenze necessarie per il contesto specifico.
È necessario comunicare il nome del DPO al Garante?
Si. L’articolo 37, paragrafo 7, del GDPR prevede che il nominativo del DPO e i suoi recapiti siano comunicati all’Autorità di controllo competente (in Italia, il Garante per la protezione dei dati personali). Tali informazioni devono essere rese pubbliche anche agli interessati, ad esempio nell’informativa sulla privacy dell’organizzazione.
Una startup tecnologica è obbligata a nominare un DPO?
Dipende dall’attività svolta. Una startup che sviluppa un’applicazione con funzionalità di profilazione degli utenti, analisi comportamentale o raccolta di dati sanitari/biometrici potrebbe rientrare facilmente nei criteri di obbligatorietà. Al contrario, una startup che offre servizi B2B a basso impatto sui dati personali probabilmente non è obbligata, ma dovrebbe comunque svolgere una valutazione documentata.
