Articolo a cura di: Redazione - Studio Legale Calvello
Affidare l’incarico di DPO esterno a un professionista non significa aver organizzato correttamente la protezione dei dati personali in azienda. Per una piccola o media impresa, il problema è stabilire come il Responsabile della protezione dei dati debba interagire con la direzione, quali informazioni debba ricevere, con quale frequenza effettuare le verifiche e come documentare le attività svolte. Un servizio privo di referenti interni, procedure e flussi informativi rischia di rimanere inefficace anche quando la nomina è formalmente corretta.
Il Regolamento (UE) 2016/679 consente di affidare la funzione a un soggetto esterno mediante un contratto di servizi, ma richiede che il DPO possa svolgere concretamente i propri compiti con autonomia, risorse adeguate e tempestivo coinvolgimento nelle questioni riguardanti i dati personali. Per le PMI, soprattutto quando manca un ufficio privacy strutturato, è necessario definire un’organizzazione proporzionata alle dimensioni dell’impresa, alla natura dei trattamenti e ai rischi effettivi. Noi assistiamo le aziende nella valutazione di questi aspetti e nell’organizzazione del servizio, distinguendo le responsabilità del titolare del trattamento dalle funzioni di consulenza e sorveglianza proprie del DPO.
Come organizzare il servizio DPO esterno in una PMI senza un ufficio privacy interno
La difficoltà più frequente nelle piccole e medie imprese consiste nell’assenza di una struttura interna dedicata alla protezione dei dati. Le attività che comportano il trattamento di informazioni personali sono distribuite tra amministrazione, risorse umane, ufficio commerciale, responsabili informatici e fornitori esterni. Ciascuna funzione gestisce una parte dei processi aziendali, ma spesso manca un coordinamento che permetta al DPO di conoscere tempestivamente le modifiche organizzative, le nuove tecnologie adottate e le criticità riscontrate.
Il primo intervento riguarda quindi l’individuazione di un referente aziendale per il DPO esterno. Può trattarsi di una figura amministrativa, di un responsabile compliance o di un altro soggetto che conosca sufficientemente l’organizzazione. Non è indispensabile istituire un nuovo ufficio, ma occorre attribuire compiti chiari: raccogliere le richieste provenienti dai reparti, facilitare l’accesso ai documenti, organizzare gli incontri e verificare che le indicazioni ricevute siano esaminate dai responsabili competenti. Il referente non sostituisce il DPO e non ne limita l’autonomia; serve a rendere concretamente funzionante il rapporto tra professionista esterno e impresa.
La direzione deve mantenere un rapporto diretto con il DPO, come richiesto dall’art. 38, paragrafo 3, del GDPR, che prevede la relazione diretta con il vertice gerarchico del titolare o del responsabile del trattamento. Non sarebbe adeguato un sistema nel quale ogni osservazione del professionista venisse filtrata da un responsabile interno prima di raggiungere gli amministratori. Il DPO deve poter segnalare criticità, formulare raccomandazioni e rappresentare eventuali divergenze rispetto alle scelte aziendali, senza ricevere istruzioni sul contenuto delle proprie valutazioni.
Un altro elemento riguarda la definizione dei flussi informativi verso il DPO esterno. L’azienda deve stabilire quali eventi richiedano il suo coinvolgimento: introduzione di un software gestionale, affidamento di trattamenti a nuovi fornitori, installazione di sistemi di videosorveglianza, modifiche alle procedure del personale, avvio di attività di profilazione o individuazione di una possibile violazione dei dati. Se il professionista viene informato soltanto quando il progetto è già operativo, la sua attività di consulenza rischia di arrivare troppo tardi per incidere sulle decisioni.
La necessità di una simile organizzazione non dipende esclusivamente dal numero dei dipendenti. Una PMI con una struttura amministrativa ridotta può trattare grandi quantità di dati personali oppure utilizzare tecnologie che comportano rischi particolari. Occorre quindi valutare le attività effettivamente svolte, evitando di applicare indistintamente lo stesso modello organizzativo a imprese molto diverse. Per le questioni generali relative agli adempimenti aziendali rimandiamo anche al nostro approfondimento sulla privacy per PMI e sull’adeguamento al GDPR.
Va inoltre chiarito che non tutte le PMI sono obbligate a nominare un DPO. L’obbligo deriva dalle condizioni previste dall’art. 37 del GDPR, in particolare dalla natura delle attività principali e dalle caratteristiche dei trattamenti effettuati. Quando l’impresa procede a una designazione volontaria, il soggetto formalmente nominato DPO deve comunque operare nel rispetto delle disposizioni applicabili a questa figura. La valutazione preliminare dell’obbligo di nomina resta distinta dall’organizzazione del servizio successivamente affidato.
Quali attività, controlli e responsabilità devono essere previsti nel servizio DPO esterno
Una volta individuati i referenti e le modalità di comunicazione, il servizio deve essere organizzato attraverso un programma di attività coerente con l’art. 39 del GDPR. Il DPO ha il compito di informare e fornire consulenza al titolare del trattamento e ai dipendenti, sorvegliare l’osservanza della normativa e delle politiche aziendali, fornire pareri sulle valutazioni d’impatto quando richiesto e cooperare con l’autorità di controllo. Queste funzioni devono tradursi in attività verificabili, evitando che il rapporto professionale si esaurisca nella disponibilità occasionale a rispondere a quesiti.
Per una PMI può essere opportuno predisporre un piano annuale delle attività del DPO esterno, definito sulla base dei rischi e aggiornabile quando intervengono cambiamenti rilevanti. Il programma può comprendere incontri con la direzione, verifiche documentali, esame delle procedure, controlli a campione, attività formative e valutazione delle criticità segnalate dai responsabili interni. Il GDPR non stabilisce un numero minimo universale di visite, riunioni o audit annuali: frequenza e modalità dipendono dalla complessità dei trattamenti, dall’organizzazione e dall’effettiva possibilità del professionista di svolgere le proprie funzioni.
Particolare attenzione deve essere dedicata alla documentazione che permette di ricostruire i trattamenti aziendali. Il DPO può verificare l’aggiornamento del registro delle attività di trattamento, la coerenza delle informative, l’organizzazione delle autorizzazioni interne e la presenza degli accordi con i responsabili del trattamento ai sensi dell’art. 28 GDPR. Può inoltre individuare situazioni nelle quali occorre approfondire la necessità di una valutazione d’impatto ai sensi dell’art. 35. La predisposizione materiale dei documenti e l’adozione delle misure necessarie restano responsabilità dell’organizzazione competente, che può avvalersi di consulenti incaricati delle relative attività operative.
Questa distinzione evita un equivoco ricorrente: il DPO non coincide automaticamente con il soggetto incaricato di realizzare tutti gli adempimenti GDPR dell’impresa. Il professionista può prestare ulteriori servizi, purché compatibili con il proprio ruolo e privi di conflitti di interessi, ma non deve trovarsi nella posizione di determinare finalità e mezzi dei trattamenti che è chiamato a sorvegliare. Se l’azienda intende affidare allo stesso soggetto anche attività operative, occorre esaminarne preventivamente la compatibilità e definire con precisione le rispettive responsabilità.
Il servizio deve prevedere anche modalità di intervento per le situazioni non programmabili. Un sospetto accesso abusivo ai sistemi, lo smarrimento di dispositivi contenenti dati personali o una comunicazione ricevuta dal Garante richiedono che l’azienda sappia come raggiungere tempestivamente il professionista. Nel caso di una violazione dei dati personali, la valutazione degli obblighi previsti dagli artt. 33 e 34 del GDPR compete al titolare del trattamento, con il supporto del DPO secondo le sue attribuzioni. Quando ricorrono i presupposti della notifica all’autorità, il termine ordinario è di 72 ore dal momento in cui il titolare viene a conoscenza della violazione, salvo le condizioni e le precisazioni previste dalla norma. Per gli interventi immediati abbiamo approfondito anche cosa fare nelle prime 72 ore dopo un data breach aziendale.
Le attività svolte dovrebbero lasciare tracce documentali proporzionate alla loro natura: relazioni periodiche, pareri, verbali degli incontri, segnalazioni delle criticità e riscontri sulle misure adottate. Non esiste un modello unico di report obbligatorio per tutte le PMI, ma la documentazione consente alla direzione di verificare il funzionamento del servizio e contribuisce a dimostrare il concreto coinvolgimento del DPO. La relazione periodica non sostituisce le verifiche effettive, così come la presenza di documenti formalmente corretti non prova, da sola, che le procedure siano applicate.
È opportuno che il contratto individui chiaramente le prestazioni comprese, le modalità di accesso alle informazioni, la gestione delle richieste urgenti, le attività aggiuntive e gli obblighi di collaborazione dell’impresa. L’art. 38 richiede inoltre che il DPO disponga delle risorse necessarie e non riceva istruzioni sull’esecuzione dei propri compiti. Il rapporto contrattuale deve rispettare queste garanzie, senza subordinare le valutazioni del professionista all’approvazione preventiva della direzione. Per gli aspetti negoziali specifici si può consultare il nostro approfondimento sul contratto con il DPO esterno e sulle clausole da verificare.
Il titolare del trattamento rimane responsabile delle decisioni relative ai trattamenti e dell’adozione delle misure necessarie a rispettare il GDPR. La designazione del DPO non trasferisce automaticamente tali responsabilità al professionista esterno. Per questo, nell’organizzare il servizio, noi riteniamo necessario verificare che alle raccomandazioni del DPO corrisponda un processo aziendale capace di esaminarle, decidere gli interventi e seguirne l’attuazione, documentando anche le ragioni di eventuali scelte differenti.
Come verificare che il DPO esterno svolga correttamente il servizio e quali rischi deve prevenire l’azienda
L’organizzazione del servizio DPO esterno deve essere verificata nel tempo, perché la semplice previsione contrattuale di controlli e attività periodiche non dimostra che il professionista sia effettivamente coinvolto nei processi aziendali. Per una PMI, il punto è accertare che le informazioni arrivino al DPO, che le criticità individuate siano comunicate alla direzione e che i responsabili competenti valutino gli interventi necessari. Un servizio correttamente strutturato deve consentire di ricostruire questo percorso anche a distanza di tempo, attraverso documenti e comunicazioni coerenti con le attività realmente svolte.
La verifica può partire dall’esame delle relazioni periodiche e dei pareri ricevuti. Occorre accertare se il DPO abbia avuto accesso alle informazioni necessarie, se siano state esaminate le modifiche intervenute nei trattamenti e se le raccomandazioni formulate abbiano ricevuto un riscontro. Quando emergono carenze nella gestione dei dati personali, la direzione dovrebbe individuare il responsabile dell’intervento, stabilire tempi ragionevoli per l’attuazione delle misure e documentare le decisioni assunte. Il DPO può sorvegliare l’avanzamento delle attività correttive, ma non deve sostituirsi ai soggetti aziendali chiamati ad adottarle.
Particolare attenzione richiedono le situazioni nelle quali il DPO esterno non viene consultato prima di decisioni che incidono sulla protezione dei dati. Si pensi all’introduzione di un sistema di monitoraggio dei dipendenti, alla migrazione di archivi verso un fornitore cloud oppure all’utilizzo di strumenti di intelligenza artificiale per analizzare informazioni relative a clienti o lavoratori. In questi casi il coinvolgimento tempestivo del professionista consente di esaminare gli aspetti pertinenti al GDPR prima che le scelte tecniche e organizzative diventino difficili da modificare. L’art. 38, paragrafo 1, richiede infatti che il DPO sia coinvolto adeguatamente e tempestivamente in tutte le questioni riguardanti la protezione dei dati personali.
La mancanza di coordinamento può incidere anche sulla capacità dell’impresa di dimostrare il rispetto del principio di responsabilizzazione previsto dall’art. 5, paragrafo 2, del GDPR. Se la documentazione non viene aggiornata, i trattamenti cambiano senza una valutazione dei relativi rischi oppure le osservazioni del DPO rimangono prive di riscontro, l’azienda può incontrare difficoltà nel dimostrare l’effettivo funzionamento delle proprie misure organizzative. Questo non significa che ogni irregolarità determini automaticamente una sanzione: le conseguenze dipendono dalla violazione concretamente accertata, dalle circostanze del caso e dai criteri previsti dalla normativa.
Il rischio aumenta quando il servizio viene considerato un adempimento esclusivamente formale. Un DPO nominato ma privo di accesso alle informazioni, non coinvolto nei progetti aziendali o impossibilitato a comunicare con il vertice non può svolgere adeguatamente le funzioni previste dal Regolamento. Le carenze relative alla designazione, alla posizione e ai compiti del DPO possono assumere rilievo nell’ambito degli accertamenti dell’autorità di controllo. Per un approfondimento specifico rinviamo al nostro articolo sul DPO assente o solo formale e sui rischi per l’azienda.
Un ulteriore controllo riguarda l’indipendenza del professionista. L’art. 38 del GDPR stabilisce che il DPO non debba ricevere istruzioni riguardanti l’esecuzione dei propri compiti e non possa essere rimosso o penalizzato per il loro adempimento. L’impresa deve quindi evitare situazioni nelle quali il professionista sia chiamato a controllare decisioni che egli stesso assume in qualità di responsabile operativo. L’eventuale attribuzione di incarichi ulteriori richiede una valutazione concreta del conflitto di interessi, considerando le funzioni esercitate e il potere effettivo di determinare finalità e mezzi del trattamento.
Quando il servizio presenta carenze, non sempre la soluzione consiste nell’immediata sostituzione del DPO. Occorre prima distinguere tra un problema imputabile all’organizzazione aziendale, come la mancata trasmissione delle informazioni, e un eventuale inadempimento del professionista rispetto alle attività concordate. Nel primo caso può essere necessario rivedere referenti, procedure e modalità di collaborazione; nel secondo, valutare le prestazioni effettivamente rese e gli strumenti contrattuali disponibili. Se le criticità compromettono la continuità del servizio, può diventare opportuno esaminare la sostituzione dell’incaricato, assicurando un passaggio ordinato della documentazione e delle questioni ancora aperte. Abbiamo trattato separatamente le modalità per cambiare DPO e gestire correttamente il passaggio di incarico.
La verifica dell’efficacia del servizio dovrebbe essere collegata anche ai cambiamenti dell’impresa. L’apertura di nuove sedi, l’aumento dei trattamenti, l’acquisizione di società, l’introduzione di nuovi servizi digitali o la gestione di dati personali particolarmente delicati possono rendere insufficiente un’organizzazione inizialmente adeguata. In queste circostanze è opportuno riesaminare il programma di attività, le risorse disponibili e le modalità di coinvolgimento del DPO, senza presumere che le condizioni definite al momento della nomina rimangano immutate per tutta la durata del rapporto.
Esempio pratico: organizzazione del DPO esterno in una PMI con più reparti e fornitori informatici
Si consideri, a titolo esemplificativo, una PMI manifatturiera che abbia affidato l’incarico di DPO esterno ma non disponga di un ufficio privacy. L’amministrazione gestisce i dati dei fornitori, l’ufficio del personale utilizza un software cloud per le presenze e il reparto commerciale impiega un CRM per i rapporti con i clienti. Il professionista riceve richieste occasionali, mentre le modifiche ai sistemi informatici vengono decise direttamente dai responsabili di reparto, senza una procedura che ne preveda il coinvolgimento.
In una situazione di questo tipo, l’intervento organizzativo può iniziare dalla ricostruzione dei trattamenti e dall’individuazione delle persone che assumono le decisioni operative. La direzione può designare un referente interno, stabilire un calendario di verifiche e introdurre una procedura per comunicare al DPO i nuovi progetti e le modifiche rilevanti. L’aspetto più delicato riguarda generalmente il coordinamento tra il professionista, i responsabili aziendali e i fornitori informatici, affinché le valutazioni sulla protezione dei dati siano effettuate prima dell’attivazione dei nuovi servizi.
Il servizio può quindi essere strutturato prevedendo relazioni periodiche, un sistema di raccolta delle richieste e modalità di intervento per le situazioni urgenti. Le eventuali criticità vengono sottoposte alla direzione, che decide le misure da adottare e ne affida l’esecuzione ai soggetti competenti. Si tratta di un esempio ipotetico di riorganizzazione, nel quale il risultato dipende dalla collaborazione effettiva dell’impresa e dalla concreta attuazione delle procedure definite.
Domande frequenti sull’organizzazione del DPO esterno nelle PMI
Una PMI può affidare al DPO esterno tutta la gestione della privacy aziendale?
Può affidare a professionisti esterni anche attività operative di adeguamento GDPR, ma deve distinguere tali prestazioni dalle funzioni proprie del DPO. Quest’ultimo svolge compiti di consulenza e sorveglianza e deve mantenere la propria indipendenza. L’attribuzione di ulteriori incarichi è possibile soltanto quando non determina conflitti di interessi. Il titolare del trattamento conserva la responsabilità delle decisioni e degli adempimenti che gli competono.
È necessario nominare un referente privacy interno quando l’azienda ha già un DPO esterno?
Il GDPR non impone generalmente alle PMI di istituire una specifica figura denominata referente privacy interno. La sua individuazione rappresenta però una soluzione organizzativa utile quando il DPO opera dall’esterno e deve coordinarsi con diversi reparti. Il referente facilita la circolazione delle informazioni e l’attuazione delle decisioni aziendali, senza sostituire il professionista nelle sue funzioni.
Come può l’amministratore verificare se il servizio DPO esterno è adeguato?
Può esaminare le attività effettivamente svolte, i pareri ricevuti, le verifiche documentate e le modalità con cui il DPO viene coinvolto nelle decisioni riguardanti i dati personali. Occorre considerare anche la complessità dei trattamenti e le risorse messe a disposizione del professionista. L’assenza di un determinato numero di visite o relazioni non costituisce, da sola, una violazione, ma deve essere valutata rispetto alle concrete esigenze dell’impresa.
Il DPO esterno deve essere coinvolto anche quando l’azienda introduce nuovi software o cambia fornitori?
Sì, quando tali decisioni riguardano la protezione dei dati personali. Il coinvolgimento deve essere adeguato e tempestivo, secondo l’art. 38 del GDPR. Il DPO può fornire indicazioni sui rischi del trattamento e sugli aspetti da verificare, mentre le decisioni operative e contrattuali rimangono di competenza dei responsabili aziendali.
È possibile riorganizzare il servizio DPO esterno senza cambiare professionista?
Sì. Quando le difficoltà dipendono da referenti non individuati, comunicazioni insufficienti o assenza di un programma di attività, può essere opportuno intervenire sull’organizzazione del rapporto. Se emergono invece inadempimenti professionali, incompatibilità o carenze che impediscono lo svolgimento delle funzioni, occorre valutare le circostanze specifiche e le disposizioni contrattuali prima di decidere come procedere.
Richiedere assistenza per organizzare il servizio DPO esterno della propria PMI
Un servizio DPO esterno deve essere costruito sulle caratteristiche effettive dell’impresa. La presenza di più reparti, l’utilizzo di fornitori informatici, la complessità dei trattamenti e l’assenza di un ufficio privacy interno incidono sulle modalità di collaborazione, sulle verifiche necessarie e sulle risorse da destinare alla funzione.
Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, assiste le aziende nella valutazione e nell’organizzazione del servizio DPO esterno, con particolare attenzione alla corretta distribuzione delle responsabilità, ai rapporti con la direzione, ai flussi informativi e alla gestione delle criticità GDPR.
Se la vostra PMI deve affidare un nuovo incarico, riorganizzare un servizio esistente oppure verificare l’adeguatezza della funzione DPO, potete richiedere una valutazione per il servizio DPO esterno della vostra azienda attraverso il modulo dedicato. Esamineremo la richiesta per individuare le esigenze organizzative e gli aspetti giuridici che richiedono un approfondimento professionale.
