DPO: quali aziende devono nominarlo (e quali no)

Capire se sei obbligato, passo per passo

1. Sei un ente pubblico?

   Comuni, Regioni, scuole statali, università, aziende sanitarie e gli altri soggetti pubblici devono sempre nominarlo.

2. Individua le tue attività principali

   Sono quelle per cui l’azienda esiste: curare pazienti, concedere credito, vendere assicurazioni, gestire una rete telefonica. Le attività di supporto, come buste paga, contabilità e assistenza informatica interna, non contano.

3. Chiediti se controlli persone in modo continuo

   Profilazione dei clienti, localizzazione tramite app, programmi fedeltà con analisi degli acquisti, pubblicità basata sul comportamento, videosorveglianza come servizio: sono monitoraggio.

4. Chiediti se tratti dati delicati come attività principale

   Dati sanitari, genetici, biometrici, sull’orientamento sessuale, politici, sindacali, religiosi, oppure su condanne e reati.

5. Valuta la «larga scala»

   Quante persone, quanti dati, per quanto tempo, dove. Un ospedale sì, il singolo medico no.

6. Scrivi la conclusione

   Che tu lo nomini o no, metti per iscritto il ragionamento e conservalo con il registro dei trattamenti.

I tre casi in cui il DPO è obbligatorio

L’articolo 37 del GDPR obbliga titolari e responsabili del trattamento a designare il DPO in tre casi.

Più enti pubblici, per esempio piccoli Comuni, possono condividere lo stesso DPO; un gruppo di imprese può averne uno solo, se è raggiungibile da ogni sede.

«Attività principale» e «larga scala»: le due parole decisive

Il GDPR non dà numeri. Le linee guida europee sui DPO (WP243, fatte proprie dal Comitato europeo per la protezione dei dati) indicano come ragionare.

• Attività principale: sono le operazioni essenziali per raggiungere gli scopi dell’azienda, e i trattamenti che ne sono inseparabili. Un ospedale non può curare senza trattare dati sanitari: è attività principale. Buste paga e assistenza informatica interna sono invece attività accessorie: da sole non fanno scattare l’obbligo, anche se toccano dati sanitari come i certificati di malattia.
• Larga scala: si valutano il numero di persone coinvolte (in assoluto o rispetto alla popolazione), la quantità e la varietà dei dati, la durata del trattamento e l’estensione geografica.

Le linee guida danno esempi chiari agli estremi: sono su larga scala i dati dei pazienti di un ospedale, quelli dei clienti di una banca o di un’assicurazione, i dati di viaggio degli utenti del trasporto pubblico di una città. Non lo sono i dati dei pazienti del singolo medico o i dati penali trattati dal singolo avvocato. Per i casi intermedi, come un poliambulatorio con più medici o una catena di negozi con carta fedeltà, serve una valutazione caso per caso.

Chi deve nominarlo e chi no, secondo il Garante

Conta sempre l’attività concreta. Ai privati che svolgono funzioni pubbliche, come i concessionari di servizi, il Garante raccomanda fortemente la nomina; agli altri la consiglia come buona pratica.

Se sei un fornitore: il DPO del responsabile

L’obbligo riguarda anche i responsabili del trattamento, cioè i fornitori che trattano dati per conto dei clienti (vedi responsabile esterno del trattamento). Può succedere che il fornitore sia obbligato e i suoi clienti no: la piccola agenzia che compra un servizio di tracciamento pubblicitario non deve avere il DPO, la società che fa quel tracciamento su milioni di utenti sì.

Nominarlo senza obbligo: si può, ma con le stesse regole

Chi non è obbligato può nominare un DPO volontariamente. Attenzione però: le linee guida europee e il Garante sono chiari, un DPO nominato volontariamente deve rispettare gli stessi requisiti di quello obbligatorio, compresa l’indipendenza e la comunicazione al Garante.

Se ti serve solo un aiuto sulla privacy, puoi avere un consulente o un «referente privacy» senza chiamarlo DPO e senza quei vincoli.

Se decidi di non nominarlo, le linee guida raccomandano di documentare il ragionamento, salvo quando è evidente che non serve. Bastano poche righe: attività principali, dati trattati, numero di persone, conclusione, data. In un controllo dimostra che la scelta è stata valutata.

Chi può farlo: interno o esterno, e i conflitti di interesse

Non esiste un albo né una certificazione obbligatoria. Il DPO deve conoscere bene la normativa e la prassi sulla protezione dei dati e il settore in cui operi, e avere le capacità per consigliare e controllare.

• Interno: un dipendente, con un atto di designazione scritto.
• Esterno: un professionista o una società, con un contratto di servizi. Se è una società, deve indicare una persona fisica come referente.

In entrambi i casi l’atto deve indicare compiti e risorse, e il DPO deve poter lavorare in modo indipendente: non riceve istruzioni su come svolgere i compiti, riferisce direttamente al vertice e non può essere rimosso o penalizzato per aver fatto il suo lavoro.

Il punto in cui si sbaglia di più è il conflitto di interessi. Non può fare il DPO chi decide perché e come trattare i dati:

• il titolare, il legale rappresentante, l’amministratore delegato, il direttore generale;
• i responsabili di personale, marketing, amministrazione e sistemi informatici;
• come esterno, il fornitore informatico o la software house che gestisce i sistemi dello stesso cliente, o chi lo difende in giudizio su questioni di privacy.

Il DPO non può nemmeno essere nominato responsabile del trattamento per lo stesso cliente.

Cosa fa il DPO, e cosa non fa

Secondo l’articolo 39 del GDPR il DPO informa e consiglia l’azienda e i dipendenti, sorveglia il rispetto delle regole (con controlli e formazione), dà pareri sulla valutazione d’impatto, coopera con il Garante ed è il punto di contatto per il Garante e per le persone che vogliono esercitare i propri diritti.

Cosa non fa: non decide al posto del titolare e non è personalmente responsabile delle violazioni. La responsabilità resta all’azienda.

Comunicazione al Garante e pubblicazione

1. Pubblica i contatti del DPO: nell’informativa privacy e sul sito. Non è obbligatorio pubblicare il nome, se il canale arriva direttamente a lui, per esempio un indirizzo email dedicato. Vedi cosa scrivere nell’informativa.
2. Comunica nome e contatti al Garante con la procedura online sul sito dell’Autorità: è l’unico canale valido, email e PEC non vengono considerate. L’obbligo è del titolare, cioè dell’azienda o dell’ente. Arriva un’email di conferma con un numero di protocollo: conservalo.
3. Aggiorna subito ogni cambiamento con la stessa procedura: se cambi DPO si fa una «variazione», indicando il protocollo precedente, non una revoca.

Ogni società di un gruppo deve fare la propria comunicazione, anche se il DPO è unico.

Cosa si rischia: i casi reali

La violazione degli obblighi sul DPO rientra nella fascia di sanzioni fino a 10 milioni di euro o al 2% del fatturato mondiale. Nei provvedimenti del Garante gli importi sono molto più bassi, ma le violazioni tipiche sono sempre le stesse:

• un Comune aveva nominato il DPO nel 2018 e nel 2022 ma non aveva mai comunicato i suoi dati al Garante: 5.000 euro (gennaio 2024), con altre sanzioni da 2.000 euro ad altri enti per lo stesso motivo;
• un Comune aveva scelto come DPO un dirigente della società che gestiva i suoi dati: conflitto di interessi, e il nuovo DPO non era stato comunicato. Ammonimento (2023);
• una società privata di servizi sul credito aveva nominato DPO il proprio legale rappresentante e non l’aveva comunicato al Garante. Nomina considerata inefficace e, insieme ad altre violazioni, sanzione complessiva di 70.000 euro (dicembre 2024).

Il Garante ha sanzionato anche un Comune che aveva nominato il DPO in ritardo e in conflitto di interessi (6.000 euro, 2022). Spesso tutto emerge dopo un reclamo o un data breach.

Quanto costa (indicativo)

Non ci sono tariffe ufficiali. Per un DPO esterno il compenso dipende dal numero di trattamenti, dalle sedi, dai dati delicati e dalle ore di presenza previste. Per un piccolo ente o un’azienda con trattamenti semplici si parla di regola di qualche migliaio di euro l’anno; per strutture sanitarie o aziende grandi molto di più. Diffida delle offerte a poche centinaia di euro: un DPO che non conosce l’azienda non ti protegge in caso di verifica. Chiedi nel contratto ore, presenze, report periodici e tempi di risposta.

Un esempio concreto

Marco gestisce un poliambulatorio con 12 medici, un laboratorio di analisi e circa 15.000 pazienti l’anno, più una piccola società di consegna di farmaci a domicilio.

• Il poliambulatorio tratta dati sanitari come attività principale, con migliaia di pazienti, archivi pluriennali e un laboratorio: il suo consulente conclude che è su larga scala e che il DPO è obbligatorio.
• Marco pensava di nominare il proprio responsabile informatico: è in conflitto, perché decide come sono gestiti i sistemi. Sceglie un DPO esterno, con contratto che prevede presenza mensile e report semestrale.
• Comunica i dati con la procedura online del Garante, aggiorna le informative con l’email dedicata del DPO e conserva il protocollo.
• Per la piccola società delle consegne mette per iscritto perché non è obbligata.

Cosa fa il consulente privacy su Intervento

Descrivi attività, numero di clienti o pazienti, dati che tratti e fornitori che usi. L’orientamento gratuito ti dice se sembri rientrare in uno dei casi di obbligo. Con l’Analisi ottieni una lettura automatica di informative, contratti e nomine che hai già. Con l’Esperto un consulente privacy verificato ti risponde per iscritto: se il DPO è obbligatorio, come motivare la scelta, chi può farlo senza conflitti e cosa chiedere nel contratto. Con il livello Soluzione, su preventivo, prepara la valutazione scritta, l’atto di designazione e gli aggiornamenti di informative e registro.