Articolo a cura di: Redazione - Studio Legale Calvello

Un’azienda può risultare formalmente in regola con la nomina del Data Protection Officer (DPO) e, allo stesso tempo, essere esposta a contestazioni per il mancato rispetto degli obblighi previsti dal GDPR. Accade quando il Responsabile della protezione dei dati è stato designato soltanto sulla carta, non viene coinvolto nelle decisioni sui trattamenti, non dispone delle risorse necessarie oppure non esercita concretamente le proprie funzioni. La situazione è ancora più delicata quando l’impresa è obbligata a nominare un DPO e non vi ha mai provveduto.

La semplice esistenza di una lettera di nomina non dimostra che l’azienda abbia rispettato gli articoli 37, 38 e 39 del Regolamento (UE) 2016/679. Occorre verificare se il DPO sia effettivamente operativo, indipendente e messo nelle condizioni di svolgere i propri compiti. Le carenze possono emergere durante un’ispezione del Garante Privacy, dopo una violazione dei dati personali oppure in occasione di un audit interno. In queste circostanze, una valutazione legale tempestiva permette di individuare gli obblighi violati, distinguere le responsabilità e definire gli interventi necessari per regolarizzare la posizione aziendale.

Quando il DPO è assente o esiste soltanto sulla carta

Il primo problema da affrontare consiste nel distinguere la mancata nomina di un DPO obbligatorio dalla presenza di un responsabile formalmente designato che non svolge effettivamente le proprie funzioni. Le due situazioni possono comportare violazioni differenti, ma entrambe richiedono un esame dell’organizzazione aziendale e dei trattamenti di dati personali effettuati.

L’articolo 37 del GDPR individua i casi nei quali la designazione del Responsabile della protezione dei dati è obbligatoria. Per le imprese private, assumono particolare rilievo le attività principali che comportano il monitoraggio regolare e sistematico degli interessati su larga scala oppure il trattamento su larga scala di categorie particolari di dati personali o di dati relativi a condanne penali e reati. Devono essere considerate anche eventuali disposizioni specifiche applicabili al settore. La dimensione dell’impresa, il numero dei dipendenti o il semplice utilizzo di strumenti informatici non determinano automaticamente l’obbligo di nomina.

Un’impresa che non abbia effettuato questa valutazione potrebbe scoprire, anche dopo diversi anni di attività, di essere tenuta alla designazione del DPO. Il problema non si risolve necessariamente con una nomina tardiva: occorre ricostruire le ragioni dell’omissione, verificare i trattamenti effettuati e valutare le ulteriori carenze organizzative eventualmente presenti. Per approfondire i presupposti della designazione è possibile consultare il nostro articolo su quando un’azienda è obbligata a nominare il DPO.

Una situazione diversa si presenta quando l’azienda ha già nominato un DPO interno o esterno, ma l’incarico è rimasto sostanzialmente inattivo. Può accadere che il professionista non riceva informazioni sui nuovi trattamenti, non venga consultato nelle valutazioni di impatto, non abbia rapporti effettivi con la direzione oppure non eserciti la sorveglianza sull’osservanza della normativa. Talvolta l’impresa conserva soltanto la lettera di designazione e i recapiti comunicati al Garante, senza essere in grado di ricostruire le attività concretamente svolte.

Il GDPR non impone al DPO un numero identico di riunioni, sopralluoghi o relazioni per tutte le aziende. L’effettività dell’incarico deve essere valutata considerando la natura, la complessità e i rischi dei trattamenti. L’assenza di una relazione annuale, considerata isolatamente, non costituisce automaticamente una violazione specifica del Regolamento. Diventa però un elemento da approfondire quando si accompagna alla mancanza di pareri, verifiche, comunicazioni e altre evidenze dell’attività svolta.

Il problema può dipendere anche dall’organizzazione interna. Un DPO formalmente disponibile, ma sistematicamente escluso dalle decisioni aziendali, non viene messo nelle condizioni di adempiere correttamente ai propri compiti. La direzione non può considerare assolti gli obblighi del GDPR per il solo fatto di aver affidato l’incarico a un professionista. Il titolare del trattamento conserva le proprie responsabilità e deve assicurare che la funzione di protezione dei dati sia concretamente integrata nei processi aziendali.

Quali obblighi impone il GDPR e quando la nomina formale diventa irregolare

Gli articoli 38 e 39 del GDPR definiscono le condizioni nelle quali il DPO deve operare e le funzioni che gli sono attribuite. Il titolare e il responsabile del trattamento devono assicurare che il DPO sia coinvolto tempestivamente e adeguatamente in tutte le questioni riguardanti la protezione dei dati personali, riceva le risorse necessarie, possa accedere ai dati e alle operazioni di trattamento e mantenga aggiornate le proprie conoscenze specialistiche.

Il coinvolgimento non può essere limitato alle situazioni di emergenza. Quando l’impresa introduce un nuovo software gestionale, modifica le modalità di controllo degli accessi, sviluppa sistemi di profilazione commerciale oppure avvia trattamenti potenzialmente ad alto rischio, deve valutare tempestivamente le implicazioni per la protezione dei dati e coinvolgere il DPO secondo le competenze previste dal Regolamento. La sua funzione è consultiva e di sorveglianza: le decisioni sul trattamento e la responsabilità della loro conformità rimangono in capo ai soggetti competenti.

Particolare attenzione richiede l’indipendenza. Il DPO non deve ricevere istruzioni riguardo all’esecuzione dei propri compiti e deve riferire direttamente al vertice gerarchico del titolare o del responsabile del trattamento. Non può essere rimosso o penalizzato per l’adempimento delle sue funzioni. Queste garanzie servono a consentirgli di formulare valutazioni anche quando risultino sgradite alla direzione aziendale.

Un’altra criticità riguarda il conflitto di interessi del DPO. Il GDPR consente al responsabile della protezione dei dati di svolgere altri compiti e funzioni, purché non compromettano l’indipendenza richiesta dall’incarico. La situazione deve essere verificata soprattutto quando il DPO ricopre posizioni che comportano la determinazione delle finalità e dei mezzi del trattamento, come può avvenire per determinati ruoli direttivi, informatici o nella gestione del personale. L’incompatibilità non deriva automaticamente dalla denominazione della posizione, ma dalle attribuzioni concretamente esercitate.

Le irregolarità possono riguardare anche il DPO esterno. L’affidamento del servizio mediante contratto non esonera l’impresa dall’obbligo di assicurare il coinvolgimento del professionista e l’accessibilità della funzione. Se il consulente non viene informato delle attività aziendali, non dispone di interlocutori interni oppure non riesce a garantire un servizio adeguato alla complessità dei trattamenti, occorre esaminare sia l’organizzazione del rapporto sia l’eventuale inadempimento degli obblighi contrattuali. La disciplina dell’incarico e delle relative responsabilità è approfondita nel nostro articolo sul contratto con il DPO esterno e le clausole essenziali.

L’articolo 39 attribuisce al DPO compiti di informazione e consulenza, sorveglianza sull’osservanza del GDPR, sensibilizzazione e formazione del personale, consulenza sulle valutazioni di impatto e cooperazione con l’autorità di controllo. Il DPO costituisce anche un punto di contatto per il Garante Privacy. Non è però il soggetto sul quale l’impresa può trasferire integralmente la responsabilità della propria conformità. Il principio di responsabilizzazione previsto dall’articolo 5, paragrafo 2, del GDPR richiede al titolare di essere in grado di dimostrare il rispetto della disciplina applicabile.

Questo aspetto assume rilievo quando il DPO segnala un rischio e l’azienda decide di non seguire il parere ricevuto. Il Regolamento non attribuisce al DPO un potere generale di veto sulle scelte del titolare, ma la decisione aziendale deve essere assunta con consapevolezza delle implicazioni giuridiche. Documentare il parere, le valutazioni effettuate e le ragioni della scelta può risultare rilevante per ricostruire il processo decisionale in caso di successivi accertamenti.

La verifica dell’effettività del DPO richiede quindi di esaminare la designazione, le attribuzioni effettive, le risorse disponibili, i flussi informativi e le modalità di coinvolgimento nei trattamenti. Occorre considerare anche la documentazione relativa ai pareri, alle valutazioni di impatto e alle attività di sorveglianza, senza confondere l’assenza di un determinato documento con la prova automatica di una violazione. È su questi elementi che può essere valutata la distanza tra una nomina formalmente corretta e una funzione realmente esercitata.

Quali sanzioni e responsabilità rischia l’azienda con un DPO assente o soltanto formale

La mancata nomina del DPO, quando obbligatoria, e l’inosservanza delle disposizioni che ne disciplinano posizione e funzioni possono determinare conseguenze amministrative rilevanti. Gli articoli 37, 38 e 39 del GDPR rientrano tra le disposizioni la cui violazione è soggetta al regime sanzionatorio previsto dall’articolo 83, paragrafo 4, del Regolamento, che contempla sanzioni amministrative pecuniarie fino a 10 milioni di euro oppure, per le imprese, fino al 2% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore. Si tratta di limiti massimi normativi, non di importi automaticamente applicabili: la sanzione deve essere determinata considerando le circostanze concrete, la gravità della violazione e i criteri stabiliti dal GDPR.

La distinzione assume particolare rilievo quando il DPO è stato regolarmente designato, ma non viene coinvolto nelle attività aziendali. In questo caso non è sufficiente contestare genericamente l’inefficienza del professionista. Occorre verificare quali obblighi siano stati effettivamente disattesi, se il titolare abbia impedito o limitato l’esercizio delle funzioni, se esistano conflitti di interessi e se il DPO disponga delle risorse necessarie. Un incarico poco documentato non equivale automaticamente a un incarico fittizio, ma l’assenza di evidenze può rendere più difficile dimostrare l’effettività dell’organizzazione adottata.

La responsabilità del rispetto del GDPR rimane in capo al titolare del trattamento, anche quando l’azienda abbia affidato l’incarico di DPO a un professionista esterno. Il DPO svolge funzioni di consulenza, sorveglianza e cooperazione con l’autorità di controllo, senza sostituirsi al titolare nelle decisioni relative alle finalità e ai mezzi dei trattamenti. Se emergono violazioni, l’impresa non può quindi invocare la semplice presenza di un DPO per escludere la propria responsabilità. Eventuali inadempimenti del professionista esterno potranno essere valutati separatamente, anche sul piano contrattuale, in relazione agli obblighi assunti e al danno concretamente dimostrabile.

Le conseguenze possono aggravarsi quando la carenza organizzativa si accompagna ad altre violazioni. Un DPO non coinvolto nella valutazione di impatto, ad esempio, può rappresentare una criticità ulteriore rispetto all’eventuale mancata esecuzione di una DPIA obbligatoria. Analogamente, durante un data breach, l’assenza di un DPO operativo può complicare il coordinamento delle valutazioni, senza sospendere gli obblighi del titolare in materia di documentazione, notifica al Garante e comunicazione agli interessati. Le diverse violazioni devono essere esaminate secondo i rispettivi presupposti normativi, evitando di attribuire automaticamente al DPO responsabilità che il Regolamento assegna ad altri soggetti.

Un momento particolarmente delicato è rappresentato dall’ispezione del Garante Privacy in azienda. L’autorità può verificare la designazione del DPO, le modalità del suo coinvolgimento, l’indipendenza della funzione e l’organizzazione adottata per rispettare la normativa. La documentazione contrattuale, le comunicazioni interne, i pareri espressi e le evidenze delle attività svolte possono assumere rilievo per ricostruire la situazione effettiva. Quando l’azienda riceve una richiesta di informazioni o una contestazione, è necessario predisporre risposte coerenti con i fatti e con la documentazione disponibile, senza tentare di ricostruire retroattivamente attività mai effettuate.

Se viene accertata una violazione, il Garante dispone di poteri correttivi che comprendono, secondo le circostanze, ammonimenti, ingiunzioni di conformarsi alla normativa e sanzioni amministrative pecuniarie. L’eventuale provvedimento deve essere valutato anche rispetto alle possibilità di difesa e ai rimedi previsti dall’ordinamento. Abbiamo approfondito questi aspetti nell’articolo dedicato alla contestazione e impugnazione delle sanzioni GDPR.

Quando l’impresa scopre di avere un DPO assente o soltanto formale, il primo intervento consiste nell’accertare se la designazione sia obbligatoria e quali carenze abbiano compromesso l’effettività dell’incarico. È opportuno esaminare la lettera di nomina, il contratto di servizio, le comunicazioni al Garante, le attribuzioni organizzative, gli eventuali conflitti di interessi e le attività concretamente svolte. Su questa base possono essere definite misure correttive proporzionate, che possono comprendere la riorganizzazione dei flussi informativi, l’assegnazione di risorse adeguate, la revisione dell’incarico o la sostituzione del professionista.

La sostituzione non è sempre necessaria: un DPO competente e indipendente potrebbe essere stato ostacolato da un’organizzazione interna inadeguata. In altri casi, invece, l’inadempimento del professionista o la presenza di incompatibilità possono rendere opportuno un nuovo affidamento. La decisione richiede una valutazione delle condizioni contrattuali, della continuità del servizio e della necessità di recuperare documentazione e informazioni. Per gli aspetti operativi del passaggio è disponibile il nostro approfondimento su quando cambiare DPO e come gestire la sostituzione.

Un esempio pratico: azienda con DPO nominato ma escluso dalla gestione della privacy

Si consideri, a titolo esemplificativo, una società che tratta dati personali di clienti e dipendenti e ha affidato a un professionista esterno l’incarico di DPO. Durante una verifica interna emerge che il nominativo del responsabile compare nelle informative e nella documentazione aziendale, ma il professionista non viene coinvolto nell’introduzione di nuovi software, nelle valutazioni sui trattamenti e nelle decisioni che riguardano la protezione dei dati. La direzione riteneva che la lettera di nomina e il contratto fossero sufficienti a dimostrare il rispetto degli obblighi.

La situazione richiede innanzitutto un esame delle attività effettivamente svolte e delle ragioni del mancato coinvolgimento. Una verifica legale e organizzativa permette di distinguere le eventuali carenze del servizio esterno dalle omissioni imputabili all’impresa, individuando i trattamenti per i quali sarebbe stato necessario consultare il DPO. L’aspetto più delicato consiste nel ricostruire le decisioni già adottate e verificare se abbiano prodotto ulteriori irregolarità, senza presumere che ogni mancato parere determini automaticamente una violazione sostanziale del GDPR.

La riorganizzazione può prevedere procedure interne che assicurino il coinvolgimento tempestivo del DPO, l’individuazione dei referenti aziendali, la definizione delle modalità di consultazione e la conservazione delle evidenze delle attività. Qualora il rapporto professionale risulti inadeguato, occorre valutare anche la revisione o la sostituzione dell’incarico. L’obiettivo è rendere effettiva una funzione che, pur essendo formalmente presente, non era stata integrata nei processi decisionali dell’impresa.

Domande frequenti sul DPO assente o soltanto formale

Un’azienda può essere sanzionata anche se ha regolarmente nominato il DPO?

Sì. La nomina non esaurisce gli obblighi previsti dal GDPR. Se il DPO non viene adeguatamente coinvolto, non dispone delle risorse necessarie oppure opera in una situazione di conflitto di interessi, possono configurarsi violazioni dell’articolo 38 del Regolamento. L’eventuale sanzione dipende dalle irregolarità accertate e dalle circostanze concrete. La presenza di un DPO non esonera il titolare del trattamento dalle proprie responsabilità.

Se la nomina del DPO non è obbligatoria, l’azienda può designarlo soltanto formalmente?

No. Quando un’impresa decide volontariamente di designare un soggetto come DPO ai sensi del GDPR, deve rispettare le disposizioni che ne disciplinano requisiti, posizione e funzioni. Se invece intende affidare un semplice incarico di consulenza privacy, senza istituire la figura regolamentata del DPO, deve distinguere chiaramente i due ruoli, evitando designazioni e comunicazioni che possano generare equivoci.

Chi risponde se il DPO esterno non ha svolto le attività previste dal contratto?

Il titolare del trattamento conserva la responsabilità degli obblighi GDPR che gli competono. Se il DPO esterno non ha adempiuto alle prestazioni contrattualmente assunte, l’azienda può valutare gli strumenti di tutela previsti dal contratto e dalla disciplina civilistica, compresa un’eventuale richiesta risarcitoria quando ne ricorrano i presupposti. Occorre però distinguere l’inadempimento professionale dalle carenze organizzative imputabili all’impresa, che potrebbe non aver fornito informazioni, risorse o condizioni necessarie allo svolgimento dell’incarico.

È possibile regolarizzare la situazione nominando un nuovo DPO prima di un controllo del Garante?

La nomina o sostituzione del DPO può costituire una misura correttiva appropriata, ma non elimina retroattivamente eventuali violazioni già commesse. Prima di procedere è opportuno verificare gli obblighi applicabili, le ragioni delle precedenti irregolarità e le misure organizzative necessarie. Una regolarizzazione documentata può essere rilevante nella valutazione complessiva della condotta aziendale, senza comportare automaticamente l’esclusione di contestazioni o sanzioni.

DPO assente o solo formale: richiedi una valutazione legale per la tua azienda

Se la vostra azienda non ha nominato un DPO pur essendovi obbligata, oppure dispone di un responsabile formalmente designato ma non effettivamente operativo, è opportuno verificare la situazione prima che emergano contestazioni, violazioni dei dati o criticità durante un’ispezione. La scelta tra regolarizzazione dell’incarico, riorganizzazione della funzione e sostituzione del DPO dipende dagli obblighi applicabili, dalle attività effettivamente svolte e dalle carenze riscontrate.

Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, assiste le imprese nella valutazione degli obblighi GDPR, nell’esame delle responsabilità e nell’individuazione degli interventi giuridici e organizzativi necessari. Possiamo esaminare la documentazione esistente, le condizioni dell’incarico e le criticità che espongono l’azienda a possibili contestazioni.

Per sottoporre la situazione della vostra impresa allo Studio, richiedete una valutazione legale sul DPO aziendale attraverso il modulo dedicato. La richiesta sarà esaminata per individuare le esigenze professionali e le possibili modalità di intervento.