DPO privacy: chi deve nominarlo, come e con quali garanzie

Quando è obbligatorio il DPO secondo l'art. 37 GDPR

L'art. 37, par. 1, del Regolamento (UE) 2016/679 impone al titolare e al responsabile di designare un DPO ogni volta che:

1. il trattamento è effettuato da un'autorità pubblica o da un organismo pubblico, eccettuate le autorità giurisdizionali nell'esercizio delle funzioni giurisdizionali;
2. le attività principali consistono in trattamenti che, per natura, ambito o finalità, richiedono il monitoraggio regolare e sistematico degli interessati su larga scala;
3. le attività principali consistono nel trattamento su larga scala di categorie particolari di dati (art. 9) o di dati relativi a condanne penali e reati (art. 10).

Tre nozioni decidono quasi tutti i casi dubbi: "attività principali", "larga scala", "monitoraggio regolare e sistematico". Sono spiegate nelle linee guida sui responsabili della protezione dei dati del Gruppo Articolo 29 del 5 aprile 2017 (WP 243 rev. 01), richiamate dal Garante. Le attività principali sono quelle che costituiscono il cuore dell'attività del titolare, non quelle accessorie come la gestione ordinaria di dipendenti e fornitori.

L'art. 37, par. 4, aggiunge che il diritto dell'Unione o degli Stati membri può prevedere altri casi di nomina obbligatoria.

I settori privati per cui il Garante indica il DPO obbligatorio

Nelle FAQ sul RPD in ambito privato, il Garante elenca a titolo esemplificativo e non esaustivo i soggetti che, ricorrendo i presupposti, sono tenuti alla nomina:

• concessionari di servizi pubblici (trasporto pubblico locale, raccolta rifiuti, servizi idrici);
• istituti di credito, imprese assicurative, sistemi di informazione creditizia, società finanziarie;
• società di informazioni commerciali, di revisione contabile, di recupero crediti, istituti di vigilanza;
• partiti e movimenti politici, sindacati, CAF e patronati;
• utilities (telecomunicazioni, energia elettrica, gas);
• imprese di somministrazione di lavoro e ricerca del personale;
• società della cura della salute e della diagnostica, come ospedali privati, terme, laboratori di analisi e centri di riabilitazione;
• call center, società che forniscono servizi informatici, società di servizi televisivi a pagamento.

Le stesse FAQ indicano casi in cui la nomina non è obbligatoria, pur restando raccomandata: liberi professionisti che operano in forma individuale, amministratori di condominio, agenti e mediatori non operanti su larga scala, imprese individuali o familiari, PMI per i trattamenti legati alla gestione corrente di fornitori e dipendenti.

Per il settore pubblico il Garante ha pubblicato FAQ sul RPD in ambito pubblico e un documento di indirizzo del 29 aprile 2021 su designazione, posizione e compiti.

Requisiti del DPO privacy: competenza, indipendenza, niente conflitti

Il GDPR non chiede titoli specifici ma fissa tre condizioni: competenza adeguata, posizione indipendente, assenza di conflitti di interessi.

DPO interno o DPO esterno

Il DPO è scelto in base alle qualità professionali e alla conoscenza specialistica della normativa e delle prassi (art. 37, par. 5). Il Garante precisa che non sono richieste attestazioni formali o iscrizioni in albi. Può essere un dipendente o un soggetto esterno con contratto di servizi (art. 37, par. 6); un esterno può anche essere una persona giuridica, purché indichi una persona fisica come punto di contatto. Un gruppo imprenditoriale può nominare un unico DPO, se facilmente raggiungibile da ciascuno stabilimento.

Posizione e garanzie (art. 38)

Il titolare deve coinvolgere il DPO tempestivamente in tutte le questioni di protezione dei dati, dargli risorse, non impartirgli istruzioni sull'esecuzione dei compiti e non rimuoverlo o penalizzarlo per averli svolti. Il DPO riferisce al vertice gerarchico ed è tenuto alla riservatezza.

Il conflitto di interessi del DPO privacy

Il DPO può avere altri incarichi, purché non generino conflitto di interessi (art. 38, par. 6). Secondo il Garante, per un DPO interno appaiono incompatibili ruoli di alta direzione (amministratore delegato, direttore generale, membri del consiglio di amministrazione) o funzioni come responsabile IT, audit o gestione del rischio, RSPP, direzione HR, marketing o finanza. Per un DPO esterno, non è compatibile l'incarico affidato a chi fornisce al titolare servizi in possibile conflitto, come un fornitore IT o una software house. Il DPO, inoltre, non può essere nominato responsabile del trattamento.

Compiti del DPO obbligatorio e facoltativo

I compiti minimi del DPO, GDPR alla mano, sono gli stessi in entrambi i casi (art. 39, par. 1):

Nello svolgere questi compiti il DPO tiene conto dei rischi del trattamento, considerati natura, ambito, contesto e finalità (art. 39, par. 2). Chi nomina un DPO volontariamente deve rispettare gli stessi requisiti di posizione e indipendenza.

Nomina del DPO privacy: cosa comunicare al Garante

1. Atto di designazione o contratto. Per un DPO interno serve un atto scritto (ad esempio lettera di incarico); per un esterno un contratto di servizi. Il Garante mette a disposizione uno schema di atto di designazione.
2. Pubblicazione. I dati di contatto del DPO vanno pubblicati, ad esempio sul sito e nelle informative. Secondo il Garante non è necessario pubblicare il nome, purché il DPO sia raggiungibile direttamente, per esempio con un indirizzo email dedicato.
3. Comunicazione al Garante. Nome e dati di contatto vanno comunicati all'Autorità tramite la procedura telematica dedicata sul portale dei servizi online, aggiornandoli in caso di modifica o sostituzione (art. 37, par. 7).

La mancata designazione quando è obbligatoria e la violazione delle garanzie di posizione e indipendenza rientrano tra le violazioni degli artt. 37-39, punite con sanzioni fino a 10 milioni di euro o, per le imprese, fino al 2% del fatturato mondiale annuo, se superiore (art. 83, par. 4).

DPO privacy e sistemi di AI: un ruolo che si allarga

Con la diffusione dei sistemi di AI, il DPO viene coinvolto sempre più spesso in valutazioni che incrociano GDPR e Regolamento (UE) 2024/1689. L'AI Act non gli assegna compiti diretti, ma DPIA, informative, log e sorveglianza umana passano dal suo tavolo. Il quadro è nella guida su AI Act e GDPR.

Come può aiutarti Next-OS

Se sei un consulente privacy e un cliente ti chiede se deve nominare il DPO, puoi descrivere a Next-OS attività, dimensioni e trattamenti e ricevere un'analisi dei presupposti dell'art. 37 con le fonti citate, da rivedere prima di inviarla. Puoi anche preparare la bozza dell'atto di designazione partendo dal tuo modello e tenere un workspace separato per ogni cliente. Gli altri compiti sono descritti nella pagina sul software per DPO.