Articolo a cura di: Redazione - Studio Legale Calvello
Un’azienda con più stabilimenti, filiali o società collegate deve organizzare la funzione del Responsabile della Protezione dei Dati (DPO o RPD) tenendo conto della propria struttura societaria e dei trattamenti effettivamente svolti. Il problema si presenta soprattutto quando la holding gestisce servizi comuni, le controllate condividono personale e sistemi informatici oppure più sedi utilizzano gli stessi database di clienti e fornitori.
È possibile nominare un unico DPO per più società, ma la soluzione deve rispettare precise condizioni. Occorre verificare gli obblighi di nomina di ciascuna impresa, l’accessibilità del professionista, la sua indipendenza e la disponibilità di risorse adeguate. Una designazione formalmente corretta può rivelarsi insufficiente se il DPO non riesce a seguire concretamente le attività delle diverse società. Quando l’organizzazione è complessa, una valutazione professionale consente di individuare le criticità prima che emergano durante un’ispezione, un incidente informatico o una contestazione.
DPO per aziende multisede e società collegate: quando la gestione diventa complessa
La presenza di più sedi operative non comporta automaticamente la necessità di nominare diversi DPO. Se gli stabilimenti appartengono alla stessa persona giuridica, il titolare del trattamento rimane normalmente la medesima società, anche quando le attività sono distribuite in territori differenti. La situazione cambia quando il gruppo comprende società giuridicamente autonome, ciascuna delle quali determina finalità e mezzi dei propri trattamenti.
Una holding può, ad esempio, controllare una società manifatturiera, una commerciale e una società di servizi. Le tre imprese potrebbero utilizzare un unico ufficio amministrativo, condividere il sistema informatico e affidare alla capogruppo la gestione delle risorse umane. Questa organizzazione non elimina l’autonomia delle singole società rispetto agli obblighi previsti dal GDPR. L’appartenenza al medesimo gruppo non determina, da sola, l’esistenza di un unico titolare del trattamento.
Per stabilire se sia possibile utilizzare un DPO condiviso, dobbiamo anzitutto distinguere la struttura organizzativa dalla struttura giuridica. Una filiale priva di autonoma personalità giuridica non presenta le stesse problematiche di una società controllata. Allo stesso modo, due società con il medesimo amministratore o gli stessi soci non diventano automaticamente un unico soggetto ai fini della protezione dei dati personali.
La questione assume particolare rilievo quando il gruppo decide di centralizzare la gestione della privacy. Una direzione comune può rendere più agevole il coordinamento delle procedure, ma deve essere accompagnata da una corretta attribuzione delle responsabilità. Il DPO deve poter individuare chi decide i trattamenti, chi li esegue per conto di altri soggetti e quali informazioni vengono condivise tra le diverse imprese.
In un’organizzazione multisede, le criticità più frequenti riguardano la circolazione dei dati dei dipendenti, l’utilizzo di gestionali comuni, l’accesso ai database commerciali, la videosorveglianza e la gestione centralizzata dei fornitori informatici. Quando una società del gruppo può consultare informazioni raccolte da un’altra, occorre verificare il titolo giuridico del trattamento e i rispettivi ruoli. Non basta prevedere una generica autorizzazione allo scambio di dati tra società collegate.
Per questo motivo, l’organizzazione del DPO deve essere coordinata con la gestione della privacy nei gruppi societari, senza confondere la funzione di controllo e consulenza del Responsabile della Protezione dei Dati con gli obblighi operativi che rimangono in capo ai titolari e ai responsabili del trattamento.
Un unico DPO per più società: cosa prevede il GDPR e come organizzare l’incarico
L’articolo 37, paragrafo 2, del Regolamento (UE) 2016/679 consente a un gruppo imprenditoriale di nominare un unico Responsabile della Protezione dei Dati, purché quest’ultimo sia facilmente raggiungibile da ciascuno stabilimento. La disposizione permette quindi di organizzare una funzione DPO comune, anche quando il gruppo comprende più società, ma non introduce un’esenzione dagli obblighi individualmente applicabili alle imprese.
Il primo accertamento riguarda l’obbligatorietà della designazione. L’articolo 37, paragrafo 1, individua i casi nei quali il DPO deve essere nominato, considerando, tra l’altro, la natura delle attività principali, il monitoraggio regolare e sistematico degli interessati su larga scala e il trattamento su larga scala di categorie particolari di dati o di dati relativi a condanne penali e reati. Devono essere considerate anche eventuali disposizioni normative specifiche. Il semplice numero delle società, delle sedi o dei dipendenti non costituisce, da solo, un criterio sufficiente per stabilire l’obbligo.
Può accadere che alcune società del gruppo siano obbligate a designare il DPO e altre non lo siano. La capogruppo può valutare una funzione condivisa anche per queste ultime, ma deve chiarire quali soggetti abbiano effettivamente conferito l’incarico e quali attività rientrino nel servizio. Se una società designa volontariamente un professionista come DPO, devono essere rispettate le disposizioni del GDPR relative a tale funzione, comprese quelle sull’indipendenza e sui compiti previsti dagli articoli 38 e 39.
Un secondo profilo riguarda l’accessibilità. La possibilità di contattare il DPO deve essere effettiva per gli interessati, per le autorità di controllo e per le strutture aziendali che necessitano del suo intervento. In un gruppo distribuito sul territorio nazionale o in diversi Stati europei, dobbiamo verificare che il professionista disponga di canali di comunicazione adeguati, conosca l’organizzazione delle società e possa intervenire tempestivamente sulle questioni rilevanti. Non esiste un obbligo generale di presenza fisica continuativa presso ogni stabilimento, ma l’eventuale operatività da remoto deve essere compatibile con le esigenze concrete del gruppo.
L’incarico deve inoltre rispettare l’articolo 38 del GDPR. Il DPO deve essere coinvolto tempestivamente nelle questioni relative alla protezione dei dati, ricevere le risorse necessarie, accedere alle informazioni pertinenti e poter svolgere le proprie funzioni senza istruzioni sul modo in cui esercitarle. Deve riferire direttamente al vertice gerarchico del titolare o del responsabile del trattamento. Nel caso di più società, occorre individuare interlocutori e modalità di reporting che consentano di mantenere questo rapporto con ciascuna organizzazione interessata.
Particolare attenzione richiede il conflitto di interessi del DPO condiviso. Il professionista può svolgere altri compiti, ma questi non devono portarlo a determinare finalità e mezzi dei trattamenti sui quali è chiamato a esercitare le proprie funzioni. La circostanza che una persona ricopra incarichi direzionali nella holding o nelle controllate richiede quindi una verifica concreta delle competenze decisionali esercitate, evitando che il DPO sia chiamato a controllare scelte da lui stesso adottate.
Sotto il profilo contrattuale, la designazione comune deve essere documentata in modo da identificare chiaramente le società interessate, le attività affidate, i referenti aziendali, le risorse disponibili e le modalità di coordinamento. Non è sufficiente presumere che la nomina effettuata dalla capogruppo produca automaticamente effetti per tutte le controllate. Le designazioni devono essere riconducibili ai soggetti interessati e i dati di contatto del DPO devono essere pubblicati e comunicati all’autorità di controllo secondo l’articolo 37, paragrafo 7, del GDPR.
Quando il gruppo affida la funzione a un professionista esterno, è opportuno verificare che il contratto con il DPO esterno disciplini adeguatamente l’estensione dell’incarico, i flussi informativi e le condizioni operative. La gestione di più società può richiedere competenze differenti, soprattutto quando le controllate appartengono a settori con trattamenti particolarmente delicati.
Occorre infine distinguere l’incarico di DPO dalla consulenza operativa per l’adeguamento GDPR. Il professionista può informare, consigliare e sorvegliare l’osservanza della normativa, ma non assume automaticamente la responsabilità di predisporre ogni documento, decidere le misure di sicurezza o gestire direttamente tutti gli adempimenti delle società. Tali attività devono essere attribuite e organizzate separatamente, tenendo conto dei compiti previsti dall’articolo 39 e delle responsabilità proprie di ciascun titolare del trattamento.
Obblighi, responsabilità e controlli GDPR nelle aziende con più sedi o società collegate
La nomina di un DPO unico non modifica la responsabilità delle singole società rispetto alla protezione dei dati personali. Ai sensi degli articoli 5, paragrafo 2, e 24 del GDPR, ciascun titolare deve essere in grado di dimostrare la conformità dei trattamenti che ricadono sotto la propria responsabilità. Per un gruppo imprenditoriale questo significa che la centralizzazione della funzione DPO deve essere accompagnata da un’organizzazione capace di distinguere gli obblighi della holding da quelli delle controllate, anche quando utilizzano le medesime risorse amministrative e informatiche.
Uno degli errori più frequenti consiste nel ritenere che la documentazione predisposta dalla capogruppo sia automaticamente sufficiente per tutte le società. Il registro delle attività di trattamento previsto dall’articolo 30 del GDPR deve rappresentare correttamente le attività riconducibili ai rispettivi titolari, mentre informative, autorizzazioni e procedure devono corrispondere alle effettive modalità di utilizzo dei dati. È possibile adottare modelli documentali comuni, ma occorre adattarli alle caratteristiche delle singole imprese. Una società che gestisce dati sanitari, ad esempio, presenta esigenze differenti rispetto a una controllata che svolge esclusivamente attività commerciali.
Il DPO condiviso deve poter verificare queste differenze, individuando eventuali carenze e formulando raccomandazioni ai soggetti competenti. L’attività può comprendere l’esame dei registri dei trattamenti, la verifica delle informative, il controllo degli accordi con i fornitori e il monitoraggio delle procedure adottate nelle diverse sedi. Quando emergono documenti incompleti o non aggiornati, occorre stabilire quali società debbano intervenire e quali responsabilità operative siano attribuite ai rispettivi uffici. Per gli aspetti documentali può essere utile approfondire come aggiornare correttamente la documentazione privacy aziendale.
Un problema particolarmente delicato riguarda i rapporti tra società che condividono dati personali, personale amministrativo e infrastrutture tecnologiche. Se la holding gestisce il servizio paghe delle controllate, oppure una società del gruppo amministra il gestionale utilizzato dalle altre, occorre verificare se operi come responsabile del trattamento ai sensi dell’articolo 28 del GDPR, come titolare autonomo oppure, ricorrendone i presupposti, come contitolare ai sensi dell’articolo 26. La qualificazione dipende dalle finalità perseguite e dall’effettivo potere decisionale sui trattamenti, non dalla sola appartenenza al gruppo.
La distinzione produce conseguenze operative. Quando una società tratta dati per conto di un’altra, il rapporto deve essere disciplinato mediante un accordo conforme all’articolo 28, ove applicabile. Se due società determinano congiuntamente finalità e mezzi di un trattamento, devono definire in modo trasparente le rispettive responsabilità secondo l’articolo 26. Il DPO può assistere le imprese nella valutazione di questi rapporti, ma non può sostituirsi ai titolari nelle decisioni che competono loro. Per chiarire l’attribuzione delle funzioni è disponibile anche il nostro approfondimento sulle differenze tra titolare, responsabile e autorizzato al trattamento.
La gestione centralizzata dei sistemi informatici richiede verifiche ulteriori. Un database clienti condiviso, un sistema HR accessibile da più società o una piattaforma cloud comune possono comportare accessi a informazioni non necessari per le attività di determinate controllate. In queste situazioni occorre valutare la separazione logica dei dati, i profili di autorizzazione, la tracciabilità degli accessi e le misure di sicurezza previste dall’articolo 32 del GDPR. Il DPO deve essere coinvolto nelle questioni che riguardano la protezione dei dati e può fornire indicazioni sui rischi individuati, mentre la scelta e l’attuazione delle misure competono ai soggetti responsabili.
Quando i trattamenti presentano un rischio elevato per i diritti e le libertà delle persone fisiche, può essere necessaria una valutazione d’impatto ai sensi dell’articolo 35 del GDPR. Una DPIA relativa a una piattaforma utilizzata da più società deve considerare le caratteristiche dei trattamenti e le responsabilità dei soggetti coinvolti. L’utilizzo della medesima tecnologia non rende automaticamente sufficiente una valutazione indistinta per tutte le imprese. Il DPO fornisce il proprio parere, quando richiesto, e sorveglia lo svolgimento della valutazione secondo le competenze attribuitegli dal Regolamento.
La presenza di più sedi rende particolarmente importante anche la gestione degli incidenti di sicurezza. Un attacco ransomware al server centrale potrebbe compromettere contemporaneamente informazioni appartenenti a diverse società. In tale eventualità occorre individuare i titolari coinvolti, accertare quali dati personali siano stati interessati e valutare separatamente gli eventuali obblighi di notifica al Garante e di comunicazione agli interessati. Il termine ordinario di 72 ore previsto dall’articolo 33 del GDPR, quando ricorrono i presupposti della notifica, decorre dal momento in cui il titolare viene a conoscenza della violazione. Per le prime attività operative rinviamo alla guida sul data breach in azienda e gli interventi nelle prime 72 ore.
La funzione DPO comune deve quindi essere inserita in un sistema di comunicazione interna che consenta alle singole società di segnalare tempestivamente incidenti, modifiche dei trattamenti, reclami e richieste degli interessati. In assenza di referenti chiaramente individuati, il professionista rischia di ricevere informazioni incomplete o tardive, soprattutto quando la direzione centrale non conosce tutte le attività svolte nelle sedi periferiche.
Un’ulteriore criticità può emergere durante i controlli del Garante Privacy. La designazione di un unico DPO è ammessa dal Regolamento, ma l’azienda deve poter dimostrare che siano rispettati i requisiti previsti dagli articoli 37 e 38. La mancanza di risorse adeguate, l’impossibilità di contattare il professionista o la presenza di conflitti di interessi possono assumere rilievo nella valutazione della conformità. Eventuali violazioni degli obblighi relativi alla designazione, alla posizione e ai compiti del DPO possono rientrare nel regime sanzionatorio dell’articolo 83, paragrafo 4, del GDPR, ferma la necessità di valutare le circostanze concrete e i criteri applicabili.
Per le aziende con più sedi o società collegate, il controllo periodico dell’organizzazione del DPO dovrebbe quindi riguardare l’effettiva accessibilità del professionista, la tempestività dei flussi informativi, l’adeguatezza delle risorse e la capacità di seguire trattamenti differenti. Quando il gruppo cresce, acquisisce nuove società o centralizza ulteriori servizi, è opportuno riesaminare anche l’estensione dell’incarico e la distribuzione delle responsabilità.
Esempio pratico: un gruppo con tre società e un unico DPO esterno
Consideriamo, a titolo puramente esemplificativo, un gruppo imprenditoriale composto da una holding, una società produttiva e una società commerciale, con stabilimenti in diverse regioni italiane. Le imprese utilizzano un gestionale comune e affidano alla capogruppo alcune attività amministrative. Il gruppo intende nominare un unico DPO esterno, ma la documentazione privacy è stata predisposta separatamente nel corso degli anni e non rappresenta più correttamente i flussi di dati tra le società.
La verifica preliminare dovrebbe partire dall’individuazione dei titolari del trattamento, dall’accertamento degli obblighi di designazione e dall’esame dei servizi condivisi. Una particolare attenzione andrebbe riservata agli accessi del personale della holding ai dati dei dipendenti e dei clienti delle controllate, per stabilire se siano necessari accordi infragruppo e modifiche alle autorizzazioni. Definiti questi aspetti, sarebbe possibile strutturare un incarico DPO comune, individuando referenti per ciascuna società, modalità di reporting, procedure di comunicazione degli incidenti e verifiche periodiche. L’esempio mostra come la scelta di un unico professionista richieda un’organizzazione proporzionata alla complessità del gruppo, senza che sia necessario duplicare ogni attività amministrativa.
Domande frequenti sul DPO per aziende con più sedi o società collegate
Una holding può nominare un unico DPO per tutte le società controllate?
Sì. L’articolo 37, paragrafo 2, del GDPR consente a un gruppo imprenditoriale di designare un unico DPO, purché sia facilmente raggiungibile da ciascuno stabilimento. Occorre però individuare le società comprese nell’incarico, formalizzare le rispettive designazioni e assicurare al professionista risorse adeguate. La nomina effettuata dalla holding non deve essere considerata automaticamente valida per tutte le controllate senza verificare come sia stata conferita.
Se una società del gruppo non è obbligata ad avere un DPO, può utilizzare quello delle altre società?
Sì, una società può decidere di designare volontariamente il DPO condiviso. In questo caso, però, la designazione comporta l’applicazione delle disposizioni del GDPR relative alla funzione, comprese quelle sull’indipendenza, sull’accessibilità e sui compiti del professionista. Se invece la società riceve soltanto servizi di consulenza privacy, senza una formale designazione come DPO, occorre mantenere distinta tale attività dalla funzione disciplinata dagli articoli 37-39 del Regolamento.
Un DPO esterno può seguire società che operano in settori differenti?
Sì, purché possieda competenze adeguate ai trattamenti effettuati e disponga delle risorse necessarie per svolgere concretamente l’incarico. Un gruppo che comprende società commerciali, produttive e sanitarie può presentare rischi e obblighi differenti. Prima della nomina occorre quindi valutare la complessità delle attività, le competenze professionali richieste, la disponibilità del DPO e l’organizzazione dei rapporti con le singole società.
Quando una società viene acquisita dal gruppo, il DPO della holding diventa automaticamente anche il suo DPO?
No. L’acquisizione non estende automaticamente alla nuova controllata l’incarico già conferito al DPO della holding. Occorre verificare se la società acquisita sia soggetta all’obbligo di designazione, se disponga già di un proprio DPO e se l’incarico condiviso possa essere esteso senza compromettere l’accessibilità e l’efficacia della funzione. Devono essere aggiornati gli atti pertinenti e, quando necessario, effettuate le comunicazioni al Garante Privacy.
Come si determina il costo di un DPO esterno per più sedi o società collegate?
Il compenso dipende dalla struttura del gruppo, dal numero di società coinvolte, dalla distribuzione geografica delle sedi, dalla natura dei trattamenti e dalle attività comprese nell’incarico. Incidono anche la necessità di verifiche presso gli stabilimenti, il coordinamento con i referenti aziendali e l’eventuale presenza di trattamenti ad alto rischio. Un preventivo dovrebbe distinguere i compiti propri del DPO dalle ulteriori prestazioni di consulenza e adeguamento GDPR, evitando che un compenso apparentemente conveniente corrisponda a un servizio insufficiente rispetto alle esigenze dell’organizzazione.
DPO esterno per aziende multisede e società collegate: richiedi una valutazione allo Studio Legale Calvello
La scelta di un unico DPO per più sedi o società collegate richiede una valutazione della struttura del gruppo, degli obblighi di designazione e delle modalità con cui vengono gestiti i dati personali. Un incarico condiviso può consentire un coordinamento più ordinato della funzione, ma deve essere organizzato in modo da rispettare l’autonomia delle singole società, l’indipendenza del professionista e i requisiti previsti dal GDPR.
Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, assiste le imprese nella valutazione degli obblighi privacy, nell’organizzazione della funzione DPO e nella definizione di incarichi esterni coerenti con le caratteristiche aziendali. Possiamo esaminare le esigenze di holding, gruppi societari e imprese con più stabilimenti, anche quando sia necessario riorganizzare un incarico già esistente o estenderlo a nuove società controllate.
Se la vostra azienda deve nominare un DPO per più sedi, individuare un Responsabile della Protezione dei Dati condiviso oppure verificare l’adeguatezza dell’attuale organizzazione, richiedete una valutazione per il servizio di DPO esterno attraverso il modulo dedicato. Esamineremo la richiesta per individuare le questioni giuridiche e organizzative che richiedono un approfondimento professionale.
