Il DPO (Data Protection Officer), in Italia denominato RPD – Responsabile della protezione dei dati, è la figura di controllo e consulenza sulla privacy prevista dagli artt. 37-39 del Regolamento (UE) 2016/679 (GDPR). La sua nomina è obbligatoria in tre casi (art. 37, par. 1): quando il trattamento è svolto da un’autorità o organismo pubblico; quando le attività principali del titolare o del responsabile consistono in un monitoraggio regolare e sistematico degli interessati su larga scala; quando le attività principali consistono nel trattamento su larga scala di categorie particolari di dati (art. 9) o di dati relativi a condanne penali e reati (art. 10). Attenzione a un equivoco frequente: il RPD non è il responsabile della conformità né risponde delle violazioni. La responsabilità del trattamento resta in capo al titolare; il RPD informa, sorveglia e assiste, ma non decide al posto dell’organizzazione. Questa guida chiarisce quando la nomina è dovuta, quali sono i compiti, come si garantiscono indipendenza e assenza di conflitti, e come comunicare i dati di contatto al Garante.
Quando la nomina è obbligatoria (art. 37)
I tre presupposti dell’art. 37, par. 1 vanno letti con attenzione ai concetti chiave: “attività principali”, “larga scala”, “monitoraggio regolare e sistematico”.
| Caso | Presupposto | Esempi tipici |
|---|---|---|
| Settore pubblico | Trattamento svolto da autorità o organismo pubblico (esclusa l’autorità giudiziaria nell’esercizio delle funzioni giurisdizionali) | Comuni, ASL, scuole, università, ministeri |
| Monitoraggio su larga scala | Attività principali che richiedono monitoraggio regolare e sistematico degli interessati su larga scala | Piattaforme di profilazione, adtech, telco, credit scoring |
| Dati particolari o giudiziari | Attività principali basate sul trattamento su larga scala di dati art. 9 o art. 10 | Strutture sanitarie, laboratori, agenzie di sicurezza |
Le “attività principali” sono quelle che costituiscono il cuore dell’attività, non le funzioni di supporto (la gestione della busta paga o dell’IT interno di norma non lo è). “Larga scala” si valuta considerando numero di interessati, volume e varietà dei dati, durata e ambito geografico del trattamento. Anche fuori dai casi obbligatori, molte organizzazioni scelgono una nomina volontaria: in tal caso valgono comunque gli obblighi di posizione e compiti degli artt. 38 e 39.
I compiti del RPD (art. 39)
L’art. 39 elenca i compiti minimi del RPD:
- informare e fornire consulenza al titolare, al responsabile e ai dipendenti sugli obblighi derivanti dal GDPR e dalle altre norme in materia;
- sorvegliare l’osservanza del Regolamento e delle politiche interne, comprese l’attribuzione delle responsabilità, la sensibilizzazione e la formazione del personale, e gli audit;
- fornire pareri sulla valutazione d’impatto sulla protezione dei dati e sorvegliarne lo svolgimento (art. 35, par. 2);
- cooperare con il Garante e fungere da punto di contatto per l’Autorità sulle questioni connesse ai trattamenti, anche in caso di consultazione preventiva.
Il RPD è inoltre il punto di riferimento per gli interessati, che possono contattarlo per tutte le questioni relative al trattamento dei loro dati e all’esercizio dei diritti. Nel dare i pareri, il RPD tiene conto del rischio connesso ai trattamenti, considerando la natura, l’ambito, il contesto e le finalità.
Indipendenza e posizione (art. 38)
L’efficacia del RPD dipende dalla sua indipendenza, garantita dall’art. 38:
- il titolare e il responsabile lo coinvolgono tempestivamente e adeguatamente in tutte le questioni riguardanti la protezione dei dati;
- gli forniscono le risorse necessarie per assolvere i compiti e per mantenere la propria conoscenza specialistica;
- il RPD non riceve istruzioni in merito all’esecuzione dei compiti, non può essere rimosso o penalizzato per il loro svolgimento e riferisce direttamente ai vertici dell’organizzazione;
- può svolgere altri compiti, purché non determinino un conflitto di interessi: non può ricoprire ruoli in cui finisce per decidere finalità e mezzi dei trattamenti che poi dovrebbe controllare (tipicamente non può essere il direttore IT, il responsabile marketing, il responsabile delle risorse umane o l’amministratore delegato).
Il vincolo di segretezza o riservatezza nell’esecuzione dei compiti completa il quadro. È proprio l’indipendenza del DPO a spiegare perché il RPD non risponde delle scelte del titolare: la sua funzione è di controllo e consulenza, non di gestione.
RPD interno o esterno
La nomina può ricadere su un dipendente (RPD interno) o essere affidata a un professionista o a una società in base a un contratto di servizi (RPD esterno). L’art. 37, par. 5 richiede in ogni caso qualità professionali adeguate, in particolare una conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati, proporzionata alla complessità dei trattamenti.
| Aspetto | RPD interno | RPD esterno |
|---|---|---|
| Conoscenza del contesto | Elevata | Da acquisire |
| Indipendenza | Da presidiare (conflitti di ruolo) | Da verificare anche nei rapporti con altri clienti |
| Continuità e disponibilità | Immediata | Regolata da contratto e SLA |
| Competenze aggiornate | Da formare | Da verificare e aggiornare |
| Adatto a | Organizzazioni con risorse e ruolo compatibile | Organizzazioni che garantiscono accesso e continuità |
Non esiste un albo o una certificazione obbligatoria per legge: le certificazioni volontarie possono attestare le competenze, ma non sono un requisito. La scelta esterna può essere appropriata se il contratto garantisce tempo e accesso sufficienti e può integrarsi con strumenti di gestione della conformità; sul tema è utile la guida al software GDPR per le PMI.
La comunicazione dei dati di contatto al Garante
Il titolare (o il responsabile) che nomina un RPD deve pubblicarne i dati di contatto e comunicarli al Garante (art. 37, parr. 6 e 7). Il Garante mette a disposizione una procedura online dedicata, accessibile dal proprio sito, per trasmettere i recapiti del RPD e per aggiornarli in caso di variazione o revoca. È buona prassi indicare i recapiti del RPD nelle informative e in una pagina del sito, così che interessati e Autorità possano raggiungerlo con facilità. Conservate la ricevuta e il numero di protocollo restituiti dalla procedura: saranno utili anche per comunicare una successiva variazione. La FAQ del Garante chiarisce che ogni titolare o responsabile deve comunicare i contatti anche quando condivide il RPD con altre entità del gruppo.
Il RPD non è il “responsabile della conformità”
Per approfondire: gli artt. 37-39 del Regolamento (UE) 2016/679 su EUR-Lex e le indicazioni e la procedura di comunicazione del Garante per la protezione dei dati personali. Il quadro nazionale è nel Codice Privacy, D.lgs. 196/2003 aggiornato dal D.lgs. 101/2018 su Normattiva.
Una decisione di nomina documentata
Prima di scegliere una persona, scrivete perché la nomina è obbligatoria o volontaria. L’analisi non può fermarsi al numero dei dipendenti: l’art. 37 non stabilisce una soglia italiana universale di organico. Una clinica con trattamenti sanitari estesi e continui va valutata per attività principali, scala e categorie di dati; un piccolo studio che tratta dati sanitari per pochi pazienti non diventa automaticamente un caso di « larga scala ». L’esito dipende dai trattamenti effettivi. Il Garante distingue i casi nel settore privato.
Nella scheda di valutazione annotate le attività principali, le categorie di interessati, il volume, la durata, la diffusione geografica e l’eventuale monitoraggio sistematico. Descrivete chi decide finalità e mezzi e chi opera come responsabile del trattamento: anche quest’ultimo può essere tenuto a nominare un proprio RPD. Conservate una motivazione comprensibile nel tempo; se il modello di business cambia, rivalutatela. Una conclusione « non obbligatorio » non esonera dalla gestione del registro dei trattamenti, delle informative o delle misure di sicurezza.
Atto di designazione e avvio operativo
L’atto interno o il contratto di servizi deve identificare la persona o il gruppo di lavoro, il punto di contatto, le risorse disponibili, l’accesso ai processi e il canale di riporto ai vertici. Per un RPD esterno, chiarite chi è il referente interno e come sono gestite assenze, urgenze e subentro; il contratto non dovrebbe promettere un « certificato di conformità » che la funzione non può rilasciare. Pubblicate contatti utilizzabili dagli interessati senza esporre più dati personali del necessario, e comunicate i contatti al Garante con la procedura ufficiale.
Se cambia il professionista, usate la funzione di variazione della comunicazione precedente: secondo la FAQ del Garante la sostituzione del RPD non richiede prima una revoca. Se termina definitivamente la funzione, valutate la revoca nel portale e conservate la documentazione. Nei gruppi, un RPD comune è consentito se è facilmente raggiungibile da ciascuna entità, ma ogni titolare e responsabile interessato cura la propria comunicazione. La nomina volontaria non è una scorciatoia: una volta designato formalmente un RPD, devono essere rispettate le garanzie degli artt. 37-39.
Indipendenza verificata sui ruoli effettivi
Il conflitto d’interessi non dipende soltanto dal titolo in organigramma. Chiedete quali decisioni prende la persona candidata: seleziona le finalità di marketing, decide l’architettura dei sistemi, approva le assunzioni o definisce autonomamente i tempi di conservazione? In quei casi sorveglierebbe scelte proprie. Anche un fornitore esterno di sistemi informativi può trovarsi in conflitto se è chiamato a controllare il trattamento che progetta o gestisce. La FAQ privata del Garante invita a un esame concreto, compresi gli incarichi esterni.
Il RPD deve poter chiedere documenti, parlare con i responsabili dei processi e riferire valutazioni scomode ai vertici. Un calendario di incontri e un canale per registrare pareri e decisioni aiutano a rendere visibile l’indipendenza. Se la direzione decide diversamente dal parere, conservate la decisione e i motivi. Questo non trasferisce al RPD la responsabilità del titolare; dimostra che l’avvertimento è stato preso in esame. La gestione del conflitto di interessi merita una valutazione periodica, specie dopo una promozione o una nuova commessa.
Due esempi di lavoro quotidiano
Un’impresa introduce un’app che raccoglie posizione e abitudini d’uso dei clienti. Il titolare descrive lo scopo e il progetto, mentre il RPD verifica con il team se è necessaria una DPIA, consiglia sui rischi e controlla che l’analisi venga eseguita. Non è il RPD a scegliere la base giuridica al posto del titolare, ad autorizzare unilateralmente il lancio o ad assumere il rischio residuo.
Un cliente chiede accesso ai propri dati e indica possibili errori. Il personale che riceve la richiesta la registra nel canale previsto e la inoltra al team competente; il RPD può consigliare su ambito, limiti ed eventuali conflitti, oltre a sorvegliare le scadenze. Le operazioni di ricerca, verifica dell’identità e risposta restano organizzate dal titolare. Il percorso operativo per il diritto di accesso mostra dove il parere del RPD si inserisce senza sostituire il team che risponde. Questo confine evita che ogni richiesta venga scaricata sull’unica persona nominata RPD senza risorse. Il modello di riscontro a una richiesta di accesso può aiutare il team operativo a documentare la risposta che il RPD supervisiona.
Come valutare il servizio dopo la nomina
Contate i trattamenti nuovi esaminati prima dell’avvio, i pareri richiesti e le decisioni documentate, non il numero di documenti firmati dal RPD. Verificate se può accedere alle informazioni sui fornitori, alle valutazioni dei rischi e agli incidenti. Per le violazioni, il percorso di notifica al Garante resta in capo all’organizzazione, con il supporto consultivo del RPD. Se è coinvolto solo dopo il lancio di un progetto, l’obbligo di coinvolgimento tempestivo dell’art. 38 non è soddisfatto dalla sua presenza nell’organigramma.
Alla revisione annuale domandate anche se la competenza richiesta è cambiata: una rete sanitaria, una piattaforma pubblicitaria e un ente locale espongono problemi diversi. Riservate tempo per aggiornamento e confronto con la direzione. Il documento del Garante sul RPD pubblico offre indicazioni sul sostegno alla funzione; adattate le misure alla vostra organizzazione senza trasformare esempi amministrativi in requisiti uniformi per ogni impresa.
Domande frequenti
La mia PMI deve nominare un RPD?
Non automaticamente. L’obbligo scatta solo nei tre casi dell’art. 37, par. 1: ente pubblico, monitoraggio regolare e sistematico su larga scala come attività principale, o trattamento su larga scala di dati particolari o giudiziari. Una piccola impresa che tratta i dati dei clienti per la normale attività commerciale spesso non rientra nell’obbligo, ma può nominare volontariamente un RPD: in tal caso deve rispettarne comunque indipendenza e compiti.
Il titolare o l’amministratore possono fare da RPD?
No, se ciò genera un conflitto di interessi. L’art. 38, par. 6 vieta che il RPD ricopra ruoli in cui determina finalità e mezzi dei trattamenti che poi dovrebbe controllare. Amministratore delegato, direttore IT, responsabile marketing e responsabile del personale sono di regola incompatibili con la funzione. È preferibile una figura interna neutrale o un RPD esterno.
Il RPD risponde delle sanzioni del Garante?
No. La responsabilità del trattamento e delle relative sanzioni resta in capo al titolare (e, per i suoi obblighi, al responsabile). Il RPD non è sanzionato per le scelte dell’organizzazione: la sua funzione è di sorveglianza e consulenza indipendente. Proprio per questo l’art. 38 vieta di rimuoverlo o penalizzarlo per l’esercizio dei suoi compiti.
Conclusione
Il RPD/DPO è una funzione di garanzia, non un adempimento burocratico. Va nominato quando ricorre uno dei tre casi dell’art. 37, dotato dell’indipendenza e delle risorse dell’art. 38 e messo in condizione di svolgere i compiti dell’art. 39, con i dati di contatto comunicati al Garante tramite l’apposita procedura online. Il punto da tenere sempre presente è che il RPD consiglia e sorveglia, mentre la responsabilità della conformità resta del titolare: un’organizzazione che ascolta il proprio RPD e ne attua i pareri trasforma questa figura da obbligo formale a reale presidio del rischio.
Approfondimenti collegati: