Articolo a cura di: Redazione - Studio Legale Calvello

Un’azienda che avrebbe dovuto nominare un Responsabile della Protezione dei Dati (DPO o RPD), ma non lo ha fatto, può trovarsi in una situazione di violazione del GDPR anche quando non si sono verificati incidenti informatici o reclami. La mancata designazione costituisce infatti un inadempimento autonomo, quando ricorrono i presupposti dell’articolo 37 del Regolamento (UE) 2016/679. Le conseguenze possono emergere durante un’ispezione del Garante Privacy, un audit aziendale, una verifica richiesta da un committente oppure in seguito a una violazione dei dati personali.

Il problema richiede due verifiche distinte: accertare se l’obbligo di nomina fosse effettivamente applicabile all’impresa e individuare gli interventi necessari per regolarizzare la situazione. Nominare oggi un DPO non cancella automaticamente l’eventuale violazione precedente, ma consente di affrontare l’inadempimento e organizzare correttamente le funzioni di controllo e consulenza previste dal GDPR. Quando l’obbligo risulta già maturato, è opportuno intervenire senza attendere una contestazione.

Quando un’azienda senza DPO viola il GDPR e quali situazioni richiedono una verifica immediata

L’articolo 37, paragrafo 1, del GDPR individua le situazioni nelle quali la designazione del Responsabile della Protezione dei Dati è obbligatoria. Per le imprese private, le ipotesi principali riguardano le attività principali che consistono in trattamenti che richiedono il monitoraggio regolare e sistematico degli interessati su larga scala oppure nel trattamento su larga scala di categorie particolari di dati personali o di dati relativi a condanne penali e reati. L’obbligo riguarda anche i trattamenti effettuati da autorità pubbliche e organismi pubblici, con l’eccezione prevista per le autorità giurisdizionali nell’esercizio delle loro funzioni giurisdizionali.

Non è quindi sufficiente verificare il numero dei dipendenti, il fatturato o la forma giuridica della società. Una PMI può essere obbligata a nominare un DPO, mentre un’impresa di dimensioni maggiori potrebbe non rientrare nelle ipotesi previste dalla disposizione. La valutazione deve concentrarsi sulla natura dei trattamenti, sulla loro estensione, sulle finalità perseguite e sul ruolo che assumono nell’attività aziendale. Il fatto che un’impresa tratti dati personali, utilizzi software gestionali o conservi informazioni sui dipendenti non determina, da solo, l’obbligo di designazione.

Il problema si presenta frequentemente nelle organizzazioni che hanno modificato nel tempo il proprio modello operativo. Pensiamo a una società inizialmente impegnata nella fornitura di servizi amministrativi che successivamente sviluppi attività di monitoraggio sistematico per numerosi clienti, oppure a un’impresa che inizi a gestire su larga scala informazioni sanitarie nell’ambito delle proprie attività principali. L’assenza di una rivalutazione degli obblighi privacy può lasciare l’azienda priva di una figura che avrebbe dovuto essere designata a seguito dell’evoluzione dei trattamenti.

Un’attenzione particolare è necessaria quando l’impresa opera come responsabile del trattamento per conto di altre organizzazioni. L’obbligo di designare un DPO può riguardare sia il titolare sia il responsabile del trattamento, purché ricorrano autonomamente i presupposti normativi. Una società che gestisce dati per numerosi clienti non può quindi escludere l’obbligo soltanto perché non determina direttamente tutte le finalità dei trattamenti affidati.

Per comprendere se la mancata nomina costituisca una violazione, noi esaminiamo le attività effettivamente svolte, le categorie di interessati, i dati trattati, la dimensione e la continuità delle operazioni. La nozione di larga scala richiede una valutazione complessiva, considerando anche il numero degli interessati, il volume dei dati, la durata delle attività e la loro estensione geografica. Il semplice utilizzo di dati sanitari o di strumenti di videosorveglianza non consente di affermare automaticamente che il DPO sia obbligatorio.

Quando il dubbio riguarda l’applicabilità dell’articolo 37, occorre distinguere la verifica dei presupposti dalla successiva regolarizzazione. Abbiamo approfondito i criteri normativi nell’articolo dedicato a quando un’azienda è obbligata a nominare il DPO. Se invece l’impresa ha già accertato di rientrare nelle ipotesi previste dal GDPR e non ha provveduto alla designazione, il problema diventa individuare da quando sussiste l’inadempimento e come intervenire.

Mancata nomina del DPO: sanzioni, responsabilità aziendali e conseguenze di una designazione tardiva

La mancata designazione del DPO, quando obbligatoria, costituisce una violazione degli articoli 37 e seguenti del GDPR. L’articolo 83, paragrafo 4, lettera a), prevede per le violazioni degli obblighi contemplati dagli articoli da 37 a 39 sanzioni amministrative pecuniarie fino a 10 milioni di euro oppure, per le imprese, fino al 2% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore. Si tratta dei limiti massimi previsti dalla normativa, non di importi automaticamente applicabili a ogni azienda priva di DPO.

La determinazione della sanzione dipende dalle circostanze concrete e dai criteri indicati nell’articolo 83 del Regolamento, tra cui natura, gravità e durata della violazione, carattere doloso o colposo della condotta, misure adottate per attenuarne le conseguenze e grado di cooperazione con l’autorità di controllo. L’assenza di un incidente informatico non esclude la violazione dell’obbligo di designazione, mentre la successiva nomina può costituire un elemento da valutare nell’ambito della condotta correttiva dell’impresa, senza assicurare l’esclusione della sanzione.

La responsabilità dell’adempimento ricade sull’organizzazione tenuta alla designazione. Il DPO è una figura di consulenza, sorveglianza e raccordo con l’autorità di controllo, ma non sostituisce il titolare o il responsabile del trattamento negli obblighi loro attribuiti dal GDPR. Quando la società non ha provveduto alla nomina, non può giustificare l’omissione sostenendo che la privacy fosse affidata all’ufficio IT, al responsabile amministrativo o a un consulente esterno genericamente incaricato dell’adeguamento normativo.

La presenza di un consulente privacy, infatti, non equivale necessariamente alla designazione formale di un DPO. Occorre verificare che l’incarico sia stato effettivamente conferito per le funzioni previste dagli articoli 37, 38 e 39, che il professionista possieda le qualità richieste, disponga delle risorse necessarie e operi senza conflitti di interessi. Anche una nomina meramente formale, priva delle condizioni organizzative necessarie per esercitare le funzioni, può lasciare irrisolte criticità rilevanti. Sul punto, abbiamo trattato separatamente i rischi di un DPO assente o soltanto formale.

Un ulteriore profilo riguarda gli adempimenti successivi alla designazione. L’articolo 37, paragrafo 7, impone al titolare o al responsabile del trattamento di pubblicare i dati di contatto del DPO e comunicarli all’autorità di controllo. Occorre distinguere l’azienda che non ha mai designato il Responsabile della Protezione dei Dati da quella che ha conferito un incarico valido, ma ha omesso o ritardato la comunicazione al Garante. Sono situazioni giuridicamente differenti, che richiedono verifiche e interventi specifici.

Quando l’impresa scopre di avere omesso una nomina obbligatoria, la prima esigenza è ricostruire correttamente la situazione senza alterare la documentazione preesistente. Non è appropriato predisporre incarichi retrodatati o rappresentare come già svolte attività di sorveglianza che non sono state effettuate. La data effettiva della designazione deve essere documentata, mentre il periodo precedente richiede una valutazione autonoma per accertare l’eventuale durata dell’inadempimento e le ulteriori carenze organizzative.

La mancata nomina può emergere anche durante un’ispezione del Garante Privacy o in seguito a una richiesta di informazioni. In tali circostanze, oltre a verificare l’obbligo di designazione, occorre esaminare il contenuto della contestazione, i documenti richiesti e i termini assegnati per rispondere. La società deve poter illustrare le caratteristiche dei trattamenti, le ragioni delle precedenti scelte organizzative e le misure correttive effettivamente adottate. Se è già stato avviato un procedimento, la predisposizione delle memorie difensive nei confronti del Garante Privacy richiede una valutazione specifica degli addebiti e delle prove disponibili.

La designazione tardiva non deve essere confusa con una sanatoria automatica. Il GDPR non prevede un meccanismo generale di ravvedimento operoso che estingua la violazione per effetto della successiva nomina. L’intervento dell’azienda deve quindi essere effettivo, verificabile e coerente con le attività svolte, tenendo conto sia dell’obbligo rimasto inadempiuto sia della necessità di assicurare al nuovo DPO condizioni adeguate per esercitare le proprie funzioni.

Come regolarizzare un’azienda senza DPO obbligatorio: verifiche, nomina e interventi correttivi

Quando viene accertato che l’azienda avrebbe dovuto nominare un DPO, la regolarizzazione deve partire dalla ricostruzione dei trattamenti che hanno determinato l’obbligo. Occorre stabilire quando tali attività siano iniziate, se abbiano subito modifiche e quali decisioni siano state assunte in materia di protezione dei dati personali. Questa ricostruzione permette di distinguere una violazione protratta nel tempo da una situazione nella quale l’obbligo è sorto successivamente, ad esempio per l’ampliamento dei servizi offerti o per l’introduzione di trattamenti su larga scala.

La verifica deve essere documentata attraverso elementi aziendali attendibili, tra cui il registro delle attività di trattamento, i contratti con clienti e fornitori, le procedure operative e le informazioni relative ai sistemi utilizzati. Se il registro è incompleto o non aggiornato, occorre ricostruire le attività effettive senza limitarsi alla documentazione disponibile. La regolarizzazione della nomina non può essere considerata separatamente dalle condizioni organizzative che hanno determinato l’obbligo di designazione. Un’impresa che effettua monitoraggi sistematici su larga scala, ad esempio, deve verificare anche se le relative operazioni siano state correttamente individuate e sottoposte alle valutazioni richieste dal GDPR.

Accertato l’obbligo, l’azienda deve procedere alla designazione di un professionista in possesso delle qualità previste dall’articolo 37, paragrafo 5, del GDPR, con particolare riferimento alla conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati e alla capacità di assolvere i compiti indicati nell’articolo 39. La scelta può ricadere su una figura interna oppure su un DPO esterno incaricato mediante un contratto di servizi. La soluzione deve essere proporzionata alla complessità dei trattamenti e deve consentire un esercizio effettivo delle funzioni.

Nel conferimento dell’incarico occorre definire chiaramente il perimetro delle attività, i rapporti con la direzione e le modalità attraverso le quali il DPO riceverà le informazioni necessarie. L’articolo 38 del GDPR impone che il Responsabile della Protezione dei Dati sia coinvolto tempestivamente e adeguatamente nelle questioni riguardanti la protezione dei dati personali, disponga delle risorse necessarie e possa riferire direttamente al vertice gerarchico del titolare o del responsabile del trattamento. Deve inoltre poter svolgere i propri compiti senza ricevere istruzioni sul loro esercizio e senza essere penalizzato o rimosso per averli svolti.

Queste condizioni assumono particolare rilievo quando la nomina avviene dopo un periodo di inadempimento. L’azienda potrebbe essere tentata di affidare l’incarico a un dirigente già responsabile delle decisioni sui trattamenti, ma occorre verificare che le sue ulteriori funzioni non determinino un conflitto di interessi. Un soggetto che stabilisce finalità e mezzi di trattamenti rilevanti non può contemporaneamente esercitare le funzioni di sorveglianza del DPO sugli stessi trattamenti in condizioni di indipendenza. La necessità di intervenire rapidamente non giustifica una designazione incompatibile con i requisiti normativi.

Dopo la nomina, l’impresa deve pubblicare i dati di contatto del DPO e comunicarli al Garante per la protezione dei dati personali attraverso le modalità previste dall’Autorità. Devono essere aggiornate, ove necessario, le informative privacy e le procedure che individuano i riferimenti del Responsabile della Protezione dei Dati. La comunicazione non sostituisce l’atto di designazione e non attribuisce efficacia retroattiva all’incarico. È opportuno conservare documentazione della data effettiva della nomina, delle comunicazioni effettuate e delle successive attività organizzative.

La regolarizzazione richiede poi di stabilire quali verifiche siano necessarie rispetto ai trattamenti già in corso. Il DPO deve poter accedere alle informazioni pertinenti e formulare le proprie valutazioni sulle priorità di intervento. Potrebbero emergere carenze nel registro dei trattamenti, nelle valutazioni d’impatto, nei contratti con i responsabili esterni o nelle procedure di gestione delle violazioni dei dati. Non ogni carenza documentale costituisce automaticamente una violazione ulteriore, ma ciascuna deve essere esaminata in relazione agli obblighi effettivamente applicabili. Per gli interventi più ampi, abbiamo approfondito le attività di adeguamento GDPR aziendale.

Quando l’assenza del DPO è stata rilevata durante un controllo o dopo una contestazione, è necessario coordinare gli interventi organizzativi con la gestione del procedimento. Le comunicazioni all’autorità devono essere coerenti con la situazione effettiva e con la documentazione disponibile. La designazione successiva può essere rappresentata come misura correttiva, ma non deve essere presentata come prova dell’inesistenza della violazione precedente. Anche i tempi degli interventi devono essere documentabili, distinguendo le attività già completate da quelle programmate.

Per le aziende che hanno scoperto autonomamente l’inadempimento, intervenire prima di un’ispezione consente di affrontare la situazione senza le ulteriori difficoltà derivanti da termini procedimentali già assegnati. Ciò non significa che la regolarizzazione spontanea escluda qualsiasi conseguenza sanzionatoria. Significa piuttosto che l’impresa può procedere a una valutazione ordinata degli obblighi, effettuare una designazione corretta e predisporre le misure necessarie per assicurare il funzionamento effettivo del DPO.

Esempio pratico: un’azienda scopre durante un audit di non avere nominato il DPO obbligatorio

Si consideri il caso ipotetico di una società che fornisce servizi digitali a numerose strutture sanitarie e che, nel corso degli anni, ha ampliato le proprie attività fino a effettuare trattamenti su larga scala di dati relativi alla salute per conto dei clienti. La società dispone di informative privacy, contratti con i committenti e procedure di sicurezza informatica, ma non ha mai designato un Responsabile della Protezione dei Dati, ritenendo sufficiente l’assistenza del proprio consulente informatico.

Durante una verifica di conformità richiesta da un importante committente emerge la possibile obbligatorietà della nomina. Il problema non riguarda soltanto l’assenza del nominativo del DPO: occorre accertare da quando i trattamenti svolti come attività principali abbiano assunto caratteristiche tali da rendere applicabile l’articolo 37 del GDPR. La verifica deve quindi esaminare l’evoluzione dei servizi, la natura dei dati gestiti, la dimensione dei trattamenti e i contratti con le strutture clienti.

In una situazione di questo tipo, l’intervento professionale consiste nel ricostruire i presupposti dell’obbligo, verificare la documentazione esistente e assistere la società nella designazione di un DPO dotato dei requisiti necessari. Particolare attenzione deve essere dedicata all’indipendenza del professionista e al suo coinvolgimento nei processi aziendali. La società dovrà quindi effettuare le comunicazioni previste e organizzare le attività di verifica sui trattamenti già in corso, mantenendo distinta la regolarizzazione attuale dall’eventuale responsabilità per il periodo precedente.

Domande frequenti sulla mancata nomina del DPO obbligatorio

Se l’azienda nomina il DPO in ritardo, può evitare la sanzione?

La nomina tardiva non elimina automaticamente la violazione eventualmente commessa. Il Garante Privacy può valutare le misure correttive adottate dall’impresa, la durata dell’inadempimento e le altre circostanze previste dall’articolo 83 del GDPR. Una regolarizzazione spontanea e documentata può essere considerata nella valutazione del caso concreto, ma non garantisce l’esclusione di provvedimenti sanzionatori.

Se l’azienda non sapeva che il DPO fosse obbligatorio, è comunque responsabile?

La mancata conoscenza dell’obbligo non esclude, di per sé, la responsabilità dell’organizzazione. Occorre verificare quando siano maturati i presupposti della designazione, quali controlli siano stati effettuati e se l’omissione sia riconducibile a una condotta colposa o dolosa. La documentazione delle valutazioni precedentemente svolte può assumere rilievo nell’esame delle circostanze concrete.

È possibile nominare un DPO esterno dopo avere ricevuto una contestazione del Garante?

Sì. L’azienda può procedere alla designazione anche dopo l’avvio di un accertamento o di un procedimento sanzionatorio. Occorre però distinguere la regolarizzazione dell’assetto organizzativo dalla difesa rispetto alla violazione contestata. La nomina deve essere effettiva, rispettare i requisiti di indipendenza e professionalità e non essere presentata come se fosse avvenuta prima della data reale.

Se il DPO era obbligatorio soltanto da alcuni mesi, come si valuta l’inadempimento?

È necessario ricostruire quando le attività aziendali abbiano assunto le caratteristiche previste dall’articolo 37 del GDPR. L’obbligo potrebbe essere sorto in seguito all’ampliamento dei servizi, all’introduzione di nuovi trattamenti o a modifiche della loro estensione. La durata dell’eventuale violazione deve essere valutata sulla base di elementi documentali attendibili, senza presumere che coincida necessariamente con la data di costituzione della società.

Un’azienda può affidare temporaneamente le funzioni del DPO al proprio consulente privacy?

È possibile designare come DPO un professionista che già assiste l’impresa, purché possieda i requisiti previsti dal GDPR e non si trovi in conflitto di interessi. Non è invece sufficiente attribuirgli informalmente alcune attività privacy. Anche un incarico di durata limitata deve assicurare l’effettivo esercizio delle funzioni, l’indipendenza e le risorse necessarie, oltre al rispetto degli obblighi di pubblicazione e comunicazione dei dati di contatto.

Azienda senza DPO obbligatorio: richiedi una valutazione legale per regolarizzare la nomina

Se la vostra azienda avrebbe dovuto nominare un DPO e non ha ancora provveduto, oppure avete scoperto l’omissione durante un audit, una verifica contrattuale o un controllo del Garante Privacy, è opportuno accertare tempestivamente gli obblighi applicabili e definire le misure correttive necessarie.

Lo Studio Legale Calvello dell’Avvocato Claudio Calvello, con oltre 25 anni di esperienza professionale, assiste le imprese nella valutazione degli obblighi GDPR, nella verifica delle criticità organizzative e giuridiche e nella definizione delle modalità di regolarizzazione. Possiamo esaminare la situazione aziendale e valutare l’affidamento dell’incarico a un DPO esterno, tenendo conto delle caratteristiche dei trattamenti e delle eventuali contestazioni già ricevute.

Per verificare se la vostra azienda è tenuta alla nomina e individuare gli interventi necessari, richiedete una valutazione attraverso il modulo dedicato al servizio DPO esterno per aziende. Esamineremo la richiesta per valutare le esigenze rappresentate e le possibili modalità di assistenza professionale.