Articolo a cura di: Redazione - Studio Legale Calvello

Il DPO esterno deve essere fisicamente presente in azienda? Quante visite deve effettuare e quanto tempo deve dedicare all’incarico? Sono domande che riguardano direttamente l’organizzazione del servizio e la responsabilità dell’impresa. Il GDPR non stabilisce un numero minimo di visite, ore lavorative o giornate di presenza, ma richiede che il Responsabile della protezione dei dati (DPO o RPD) sia effettivamente coinvolto nelle questioni relative ai dati personali, disponga delle risorse necessarie e possa svolgere concretamente le proprie funzioni.

Un DPO esterno può quindi operare anche prevalentemente da remoto, purché le modalità dell’incarico siano adeguate alle caratteristiche dell’azienda, alla complessità dei trattamenti e ai rischi per gli interessati. La presenza fisica diventa particolarmente utile quando occorre conoscere direttamente processi aziendali, verificare procedure operative, confrontarsi con i responsabili interni o affrontare criticità che non possono essere valutate adeguatamente attraverso la sola documentazione. Per l’amministratore, il problema consiste nel comprendere se il servizio ricevuto assicuri un coinvolgimento effettivo del DPO e come documentarlo in caso di controlli del Garante Privacy.

Il DPO deve essere presente fisicamente in azienda? Cosa prevede il GDPR

Il Regolamento (UE) 2016/679 disciplina la posizione e le funzioni del Responsabile della protezione dei dati principalmente attraverso gli articoli 37, 38 e 39. Nessuna di queste disposizioni impone al DPO esterno una presenza fisica continuativa presso la sede aziendale, né prescrive un calendario uniforme di sopralluoghi. La normativa adotta un criterio sostanziale: il DPO deve poter esercitare efficacemente i compiti affidatigli, indipendentemente dal fatto che operi come dipendente dell’organizzazione oppure sulla base di un contratto di servizi.

L’articolo 38, paragrafo 1, stabilisce che il titolare e il responsabile del trattamento devono assicurarsi che il DPO sia tempestivamente e adeguatamente coinvolto in tutte le questioni riguardanti la protezione dei dati personali. Il successivo paragrafo 2 richiede che gli siano fornite le risorse necessarie per assolvere i propri compiti, accedere ai dati personali e ai trattamenti e mantenere la propria conoscenza specialistica. Il paragrafo 3 prevede che il DPO riferisca direttamente al vertice gerarchico del titolare o del responsabile del trattamento.

Queste disposizioni non possono essere interpretate come un obbligo generalizzato di presenza quotidiana. Impongono però all’azienda di organizzare un rapporto professionale nel quale il DPO sia concretamente accessibile, informato e messo nelle condizioni di intervenire quando necessario. La possibilità di lavorare a distanza non equivale alla possibilità di svolgere un incarico meramente nominale. Una società che comunica il nominativo del DPO ma non lo coinvolge nelle decisioni riguardanti i trattamenti potrebbe non rispettare gli obblighi previsti dall’articolo 38, anche quando il professionista risulti regolarmente designato.

Occorre distinguere, inoltre, il compito di sorveglianza attribuito al DPO dall’attività di gestione operativa della privacy. L’articolo 39 gli affida, tra le altre funzioni, la sorveglianza dell’osservanza del GDPR, la consulenza al titolare o al responsabile del trattamento, il supporto sulle valutazioni d’impatto e la cooperazione con l’autorità di controllo. Non significa che debba personalmente predisporre ogni documento, autorizzare ogni trattamento o sostituirsi ai responsabili aziendali. Le decisioni sulle finalità e sui mezzi del trattamento e la responsabilità della conformità rimangono in capo ai soggetti individuati dalla normativa.

Le indicazioni europee sul Responsabile della protezione dei dati attribuiscono particolare attenzione alla sua accessibilità e al coinvolgimento nelle attività dell’organizzazione. La distanza geografica, pertanto, non costituisce di per sé un impedimento, ma può richiedere specifiche misure organizzative. Un DPO che segue più società deve disporre di tempo e risorse compatibili con gli incarichi assunti e garantire canali di comunicazione concretamente utilizzabili.

La distinzione assume particolare rilievo per le imprese che hanno scelto di affidare l’incarico a un professionista esterno. Come approfondiamo nell’articolo dedicato al DPO esterno da remoto e alle modalità di organizzazione del servizio, la valutazione non può limitarsi al luogo dal quale viene svolta la prestazione: occorre considerare l’effettiva capacità del professionista di conoscere i trattamenti, ricevere tempestivamente le informazioni e interagire con la struttura aziendale.

Ne consegue che non esiste una risposta identica per tutte le imprese. Una società con processi relativamente semplici e personale concentrato in un’unica sede può richiedere modalità di intervento differenti rispetto a un’organizzazione sanitaria, a un gruppo societario con numerose sedi operative o a un’impresa che effettua trattamenti complessi e sistematici su larga scala. La frequenza delle visite deve essere valutata in relazione alle attività concretamente svolte e ai rischi connessi al trattamento dei dati personali.

Quante visite e quante ore deve dedicare il DPO esterno all’azienda?

Non esiste un numero minimo di ore annuali, visite mensili o sopralluoghi trimestrali stabilito dal GDPR per il DPO esterno. L’assenza di una soglia normativa non significa, però, che qualsiasi livello di disponibilità sia sufficiente. L’organizzazione dell’incarico deve consentire al professionista di esercitare le funzioni previste dall’articolo 39 e all’azienda di assicurare il coinvolgimento richiesto dall’articolo 38.

Per individuare una frequenza adeguata delle attività occorre partire dalla struttura dell’impresa. Le dimensioni aziendali costituiscono un elemento di valutazione, ma non sono decisive da sole. Un’organizzazione con pochi dipendenti può effettuare trattamenti particolarmente delicati, mentre una società di maggiori dimensioni può avere processi consolidati, personale formato e un sistema interno di controllo già strutturato. Il fabbisogno di assistenza dipende soprattutto dalla natura, dall’ambito di applicazione, dal contesto e dalle finalità dei trattamenti, nonché dai rischi per i diritti e le libertà delle persone fisiche.

In un’azienda manifatturiera, ad esempio, può essere opportuno programmare incontri con la direzione, il responsabile IT e l’ufficio del personale per verificare come vengono gestiti gli accessi ai sistemi informatici, i dati dei dipendenti, la videosorveglianza e i rapporti con i fornitori tecnologici. In una clinica privata o in una struttura sociosanitaria, la presenza del DPO può assumere una diversa intensità in considerazione dei trattamenti di dati relativi alla salute, delle modalità di accesso alle informazioni e dell’articolazione dei servizi.

La programmazione delle visite dovrebbe derivare da una valutazione iniziale dei trattamenti e delle esigenze organizzative. È possibile prevedere incontri periodici in presenza, verifiche documentali a distanza e ulteriori interventi in occasione di modifiche dei processi aziendali. La cadenza mensile, trimestrale o semestrale costituisce una scelta organizzativa da motivare rispetto alle circostanze concrete, non un parametro legale automaticamente valido per qualsiasi impresa.

Il DPO deve poter essere coinvolto anche al di fuori degli appuntamenti programmati. L’introduzione di un nuovo software gestionale, l’adozione di sistemi di monitoraggio dei lavoratori, l’affidamento di trattamenti a un fornitore esterno o l’avvio di un progetto che richieda una valutazione d’impatto possono rendere necessaria una consultazione tempestiva. L’articolo 35, paragrafo 2, del GDPR prevede espressamente che il titolare del trattamento, quando effettua una valutazione d’impatto, si consulti con il DPO, qualora designato.

Un altro aspetto riguarda la disponibilità in caso di incidenti. Quando l’impresa rileva una possibile violazione dei dati personali, deve poter coinvolgere rapidamente il DPO per acquisirne il parere sulla valutazione dell’accaduto e sugli adempimenti applicabili. L’articolo 33 del GDPR prevede, nei casi soggetti a notifica, il termine di 72 ore dal momento in cui il titolare viene a conoscenza della violazione, ove possibile. Questo termine riguarda l’obbligo del titolare e non introduce automaticamente un servizio di reperibilità permanente del DPO. È però opportuno che le modalità contrattuali e organizzative permettano una consultazione tempestiva in situazioni di questo genere.

La quantità di ore indicate nel contratto non rappresenta, da sola, una misura dell’adeguatezza dell’incarico. Un professionista può dedicare numerose ore ad attività poco pertinenti e, al contrario, svolgere verifiche mirate che consentono di individuare problemi concreti. Occorre quindi considerare anche la qualità delle attività, la conoscenza dell’organizzazione, la possibilità di accedere alle informazioni necessarie e l’effettiva interlocuzione con chi assume le decisioni aziendali.

Per questa ragione riteniamo opportuno che l’impresa definisca, in sede di organizzazione del servizio, un programma di attività proporzionato alle proprie esigenze, prevedendo modalità di comunicazione, incontri periodici, criteri per gli interventi straordinari e forme di rendicontazione delle verifiche effettuate. Tali previsioni aiutano a rendere verificabile l’esecuzione dell’incarico, senza trasformare il DPO in un soggetto subordinato alle istruzioni aziendali sull’esercizio delle proprie funzioni, che devono rimanere indipendenti ai sensi dell’articolo 38, paragrafo 3.

La programmazione deve restare flessibile. Un cambiamento nell’organizzazione, un nuovo trattamento ad alto rischio o criticità emerse durante un controllo possono richiedere di modificare la frequenza degli incontri e il tempo dedicato all’impresa. La verifica dell’adeguatezza del servizio deve quindi essere periodica e tener conto dell’evoluzione dell’attività aziendale, mantenendo distinta la sorveglianza del DPO dalle responsabilità operative del titolare e delle altre funzioni interne.

Come verificare se la presenza del DPO è sufficiente e quali rischi corre l’azienda

La corretta organizzazione del servizio DPO non può essere valutata esclusivamente contando le visite effettuate presso la sede aziendale. Occorre verificare se il Responsabile della protezione dei dati abbia concretamente svolto le funzioni di consulenza e sorveglianza previste dal GDPR e se l’impresa gli abbia assicurato le condizioni necessarie per esercitarle. Un DPO che partecipa a poche riunioni, ma conosce i trattamenti e interviene tempestivamente sulle questioni rilevanti, può risultare più efficace di un professionista frequentemente presente ma scarsamente coinvolto nelle decisioni aziendali.

Il primo elemento da esaminare è il rapporto tra il DPO e la direzione. L’articolo 38 del GDPR richiede che il Responsabile della protezione dei dati riferisca direttamente al vertice gerarchico del titolare o del responsabile del trattamento. Per una società, questo significa predisporre modalità di comunicazione che consentano al professionista di rappresentare agli amministratori le criticità riscontrate, formulare raccomandazioni e segnalare eventuali carenze organizzative senza interferenze nell’esercizio delle proprie funzioni. Non è sufficiente che il DPO possa teoricamente contattare la direzione: devono esistere condizioni operative che rendano possibile un confronto effettivo quando le circostanze lo richiedono.

Un secondo elemento riguarda la conoscenza dei trattamenti. Il DPO deve poter acquisire informazioni aggiornate sulle attività aziendali, sulle categorie di dati trattati, sui sistemi utilizzati e sulle modifiche organizzative che incidono sulla protezione dei dati personali. Se l’impresa introduce una piattaforma cloud, modifica le modalità di gestione delle risorse umane oppure affida nuovi trattamenti a fornitori esterni senza informare il professionista, il problema non riguarda necessariamente la sua presenza fisica, ma il mancato coinvolgimento nelle questioni di sua competenza. In queste situazioni possono emergere carenze nell’organizzazione interna e nel rispetto degli obblighi previsti dall’articolo 38.

Particolare attenzione deve essere riservata alla documentazione delle attività. Non esiste un obbligo generale di redigere un verbale per ogni telefonata o una relazione mensile del DPO, ma la disponibilità di evidenze verificabili consente all’impresa di ricostruire come il servizio sia stato concretamente organizzato. Possono assumere rilievo i programmi delle verifiche, i verbali degli incontri, i pareri formulati, le comunicazioni indirizzate alla direzione e la documentazione relativa alle criticità segnalate. Tali elementi devono essere proporzionati alle caratteristiche dell’organizzazione e alle attività effettivamente svolte.

Questa impostazione è coerente con il principio di responsabilizzazione previsto dall’articolo 5, paragrafo 2, e dall’articolo 24 del GDPR. Il titolare deve essere in grado di dimostrare il rispetto degli obblighi che gli competono. La documentazione relativa al coinvolgimento del DPO può contribuire a questa dimostrazione, senza costituire di per sé una prova sufficiente della conformità complessiva dell’impresa. Per le aziende che intendono verificare l’organizzazione del proprio sistema privacy, può essere utile esaminare anche le modalità di adeguamento GDPR aziendale e di verifica degli adempimenti.

Quali conseguenze possono derivare da un DPO insufficientemente coinvolto? Occorre distinguere la semplice assenza di visite fisiche, che non costituisce automaticamente una violazione, dall’inosservanza degli obblighi stabiliti dal GDPR. Se il titolare non assicura il tempestivo coinvolgimento del DPO, non mette a disposizione risorse adeguate oppure ne ostacola l’accesso alle informazioni necessarie, possono configurarsi violazioni dell’articolo 38. Le violazioni degli obblighi previsti dagli articoli 37, 38 e 39 rientrano nel regime sanzionatorio dell’articolo 83, paragrafo 4, lettera a), del GDPR, che contempla, nei casi applicabili, sanzioni amministrative pecuniarie fino a 10 milioni di euro o, per le imprese, fino al 2% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore. Non si tratta di importi automaticamente applicabili: la concreta valutazione dipende dalle circostanze della violazione e dai criteri stabiliti dall’articolo 83.

La posizione del DPO deve essere tenuta distinta da quella del titolare del trattamento. Il professionista svolge funzioni di consulenza, sorveglianza e cooperazione con l’autorità di controllo, ma non assume automaticamente la responsabilità delle decisioni aziendali sui trattamenti. Anche quando il servizio è affidato all’esterno, la società conserva gli obblighi che il GDPR attribuisce al titolare. Un eventuale inadempimento contrattuale del DPO può richiedere una valutazione separata, fondata sul contenuto dell’incarico e sulle circostanze concrete.

Quando emergono dubbi sulla qualità del servizio, riteniamo opportuno esaminare il contratto, le attività documentate, le richieste rivolte al professionista e le risposte ricevute. La verifica deve riguardare anche il comportamento dell’azienda: un DPO che non riceve informazioni, non viene coinvolto nei nuovi progetti o non dispone di interlocutori interni adeguati potrebbe trovarsi nell’impossibilità di svolgere correttamente il proprio incarico per ragioni non esclusivamente imputabili alla propria condotta.

Se dall’esame emerge che il servizio è insufficiente, possono essere valutati interventi organizzativi, una diversa programmazione delle attività o una revisione delle modalità di collaborazione. Quando invece il problema riguarda una persistente mancata esecuzione delle prestazioni pattuite, occorre considerare anche gli strumenti contrattuali disponibili. La valutazione deve rimanere distinta da quella relativa ai casi di DPO che non risponde o non segue l’azienda, nei quali l’inattività o l’irreperibilità del professionista può richiedere iniziative specifiche.

Esempio pratico: come organizzare la presenza del DPO in un’azienda con più reparti

Consideriamo, a titolo esemplificativo, una società manifatturiera con diversi reparti produttivi, un ufficio amministrativo, un responsabile IT e un ufficio del personale. L’azienda ha nominato un DPO esterno, che svolge prevalentemente attività da remoto e partecipa a un incontro annuale con la direzione. Nel corso dell’anno vengono introdotti nuovi sistemi di controllo degli accessi e un software per la gestione del personale, senza che siano previste specifiche occasioni di confronto con il professionista.

Il problema non consiste necessariamente nell’unica visita annuale, ma nell’assenza di un sistema che assicuri il coinvolgimento del DPO quando vengono modificati trattamenti e procedure. In una situazione di questo genere, una valutazione professionale dovrebbe partire dall’esame dell’incarico, dalla ricostruzione dei flussi informativi e dalla verifica delle attività effettivamente svolte. Particolare attenzione andrebbe dedicata ai rapporti tra direzione, IT e risorse umane, perché proprio in questi ambiti possono essere assunte decisioni che incidono sul trattamento dei dati personali senza una preventiva consultazione del DPO.

Una possibile riorganizzazione potrebbe prevedere incontri periodici programmati, un referente aziendale incaricato di trasmettere le informazioni rilevanti, verifiche mirate presso i reparti e procedure per consultare tempestivamente il DPO in occasione di nuovi progetti o incidenti. La frequenza delle visite sarebbe determinata sulla base dei rischi e delle esigenze operative, anziché attraverso una soglia uniforme. L’obiettivo sarebbe rendere il servizio concretamente utilizzabile dall’azienda e documentare le modalità con cui il professionista esercita le proprie funzioni, senza attribuirgli responsabilità gestionali che rimangono in capo al titolare del trattamento.

Domande frequenti sulla presenza del DPO in azienda

Il DPO esterno può seguire un’azienda senza effettuare visite fisiche?

Sì, il GDPR non impone un numero minimo di sopralluoghi. Un servizio svolto prevalentemente o interamente da remoto può essere adeguato quando il DPO dispone delle informazioni necessarie, mantiene contatti effettivi con l’organizzazione e riesce a svolgere le proprie funzioni. Se la complessità dei trattamenti richiede verifiche dirette, l’assenza di visite deve essere valutata con particolare attenzione.

È obbligatorio prevedere un numero minimo di ore nel contratto con il DPO esterno?

No. Il GDPR non stabilisce un monte ore minimo. È comunque opportuno definire le modalità di disponibilità del professionista, gli incontri programmati e i criteri per gli interventi straordinari. L’adeguatezza del tempo dedicato deve essere valutata rispetto ai trattamenti effettuati, ai rischi e alle dimensioni organizzative dell’impresa.

Il DPO deve partecipare a tutte le riunioni della direzione aziendale?

Non necessariamente. L’articolo 38 del GDPR richiede il suo coinvolgimento tempestivo e adeguato nelle questioni riguardanti la protezione dei dati personali, non la partecipazione indistinta a ogni riunione. L’azienda deve però assicurare che il DPO venga consultato quando le decisioni possono incidere sui trattamenti e possa riferire direttamente ai vertici.

Il DPO esterno deve essere reperibile anche durante le emergenze informatiche?

Il GDPR non prevede un obbligo generale di reperibilità del DPO 24 ore su 24. L’organizzazione deve comunque consentirne il tempestivo coinvolgimento quando si verificano incidenti che riguardano dati personali. Per questo è opportuno disciplinare preventivamente i contatti di emergenza e le modalità di intervento, tenendo conto dei termini applicabili alle eventuali notifiche di data breach.

Come può l’amministratore dimostrare che il DPO svolge effettivamente il proprio incarico?

Attraverso documentazione coerente con le attività svolte, come verbali degli incontri, pareri, comunicazioni, programmi di verifica e segnalazioni indirizzate alla direzione. Non è obbligatorio adottare un unico modello di rendicontazione. È importante che l’azienda possa ricostruire il coinvolgimento del professionista e dimostrare di avergli fornito risorse, informazioni e accesso ai trattamenti, secondo quanto richiesto dall’articolo 38 del GDPR.

Verificare e organizzare correttamente la presenza del DPO esterno: richiedi una valutazione

Se la vostra azienda ha già nominato un DPO esterno, ma non è certa che la frequenza delle visite, la disponibilità del professionista e le modalità di controllo siano adeguate, può essere opportuno verificare l’organizzazione dell’incarico. La stessa valutazione è utile quando si intende affidare per la prima volta il servizio a un professionista esterno e occorre definire concretamente le prestazioni richieste.

Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, assiste le imprese nella valutazione degli obblighi GDPR, nell’organizzazione del servizio DPO esterno e nella verifica delle modalità di coinvolgimento del Responsabile della protezione dei dati. Esaminiamo le caratteristiche dell’organizzazione, la natura dei trattamenti e le esigenze operative per individuare le condizioni contrattuali e organizzative appropriate al caso concreto.

Per verificare se la presenza del DPO è adeguata alla vostra azienda o valutare l’affidamento di un incarico esterno, richiedete una valutazione attraverso il modulo dedicato al servizio DPO esterno per aziende. Esamineremo la richiesta per individuare le questioni che richiedono un approfondimento professionale.