Articolo a cura di: Redazione - Studio Legale Calvello
Un’azienda che deve organizzare la propria conformità al GDPR può avere bisogno di un DPO esterno, di un consulente privacy oppure di entrambi. La scelta non è soltanto economica: le due figure svolgono funzioni differenti e attribuire loro compiti indistinti può creare problemi nella gestione degli adempimenti, nei controlli e nell’individuazione delle responsabilità. Il DPO, o Responsabile della protezione dei dati (RPD), esercita le funzioni previste dal Regolamento (UE) 2016/679; il consulente privacy assiste invece l’impresa nell’attuazione concreta delle misure necessarie a rispettare la normativa.
La distinzione assume particolare rilievo quando l’azienda deve predisporre documentazione GDPR, verificare i trattamenti dei dipendenti, gestire fornitori informatici, affrontare un incidente di sicurezza o rispondere a richieste del Garante Privacy. Occorre comprendere quali attività spettino a ciascun professionista, quando la nomina del DPO sia obbligatoria e a quali condizioni le due funzioni possano essere affidate allo stesso soggetto. Una valutazione preventiva degli incarichi consente di organizzare il servizio in modo coerente con le effettive esigenze aziendali.
DPO esterno o consulente privacy: quale figura serve realmente all’azienda?
La differenza principale riguarda la posizione che i due professionisti occupano nell’organizzazione della protezione dei dati. Il DPO esterno è una figura disciplinata dagli articoli 37, 38 e 39 del GDPR, incaricata di informare e consigliare il titolare o il responsabile del trattamento, sorvegliare l’osservanza della normativa, fornire pareri sulla valutazione d’impatto e cooperare con l’autorità di controllo. Il consulente privacy, invece, non costituisce una figura con funzioni tipizzate dal GDPR: le sue attività dipendono dal contratto professionale e possono comprendere l’analisi dei trattamenti, la predisposizione della documentazione, l’assistenza operativa e l’organizzazione delle procedure interne.
Per un imprenditore la distinzione può apparire poco rilevante, soprattutto quando entrambi i professionisti possiedono competenze giuridiche e tecniche analoghe. Le conseguenze organizzative sono però concrete. Il DPO deve poter svolgere una funzione di consulenza e sorveglianza con autonomia, senza ricevere istruzioni sull’esecuzione dei propri compiti. Il consulente GDPR può invece ricevere dall’azienda un incarico operativo per realizzare determinati interventi, predisporre documenti o assistere gli uffici nell’adozione delle misure concordate.
Consideriamo una società che utilizza software gestionali, tratta dati di dipendenti e clienti e affida parte delle proprie attività a fornitori esterni. Il consulente privacy può essere incaricato di ricostruire i flussi dei dati, aggiornare il registro dei trattamenti, predisporre informative e verificare i contratti con i fornitori ai sensi dell’articolo 28 GDPR. Il DPO, ove nominato, può esaminare l’adeguatezza dell’organizzazione, formulare osservazioni sulle procedure, verificare il rispetto degli obblighi e segnalare alla direzione eventuali criticità. Le attività possono interagire, ma non coincidono necessariamente.
Un altro elemento riguarda l’obbligatorietà. L’articolo 37 GDPR individua le situazioni nelle quali la designazione del Responsabile della protezione dei dati è necessaria, tra cui determinati trattamenti che comportano il monitoraggio regolare e sistematico degli interessati su larga scala oppure il trattamento su larga scala di categorie particolari di dati o di dati relativi a condanne penali e reati. Restano ferme le ulteriori ipotesi previste dalla normativa applicabile. Non tutte le imprese devono nominare un DPO, mentre tutte quelle soggette al GDPR devono rispettarne gli obblighi pertinenti, indipendentemente dalla presenza di un responsabile della protezione dei dati.
Per questo motivo, un’azienda che non rientra nei casi di designazione obbligatoria può scegliere di avvalersi di un consulente privacy senza nominare un DPO. Se decide comunque di designare volontariamente un DPO ai sensi del GDPR, deve rispettare le disposizioni che ne regolano posizione e funzioni. Quando invece la nomina è obbligatoria, un semplice contratto di consulenza GDPR non può sostituire la designazione richiesta dalla legge. La verifica deve essere condotta sui trattamenti effettivamente svolti e non soltanto sul numero dei dipendenti o sulle dimensioni economiche dell’impresa.
Le aziende che devono ancora chiarire questo aspetto possono approfondire quando un’azienda è obbligata a nominare il DPO. Se la necessità della designazione è già stata accertata, la scelta riguarda anche le caratteristiche del servizio e il coordinamento con gli altri professionisti che seguono la privacy aziendale.
Quali attività spettano al DPO esterno e quali al consulente GDPR?
La ripartizione delle funzioni deve partire dagli articoli 38 e 39 del GDPR. Il DPO informa e fornisce consulenza al titolare del trattamento, al responsabile del trattamento e ai dipendenti che eseguono i trattamenti in merito agli obblighi derivanti dalla normativa. Sorveglia l’osservanza delle disposizioni applicabili e delle politiche aziendali in materia di protezione dei dati, comprese l’attribuzione delle responsabilità, la sensibilizzazione e la formazione del personale e le attività di controllo connesse. Fornisce inoltre, quando richiesto, un parere sulla valutazione d’impatto e ne sorveglia lo svolgimento.
Questi compiti non comportano che il DPO debba personalmente redigere ogni documento, eseguire ogni verifica tecnica o assumere la gestione quotidiana degli adempimenti. La responsabilità di determinare finalità e mezzi dei trattamenti, adottare misure adeguate e dimostrare il rispetto del GDPR rimane in capo al titolare del trattamento, secondo il principio di responsabilizzazione previsto dall’articolo 5, paragrafo 2, e dall’articolo 24 del Regolamento.
Il consulente privacy aziendale può invece essere incaricato dell’attuazione operativa della compliance GDPR. Il suo intervento può comprendere la ricognizione dei trattamenti, la predisposizione e l’aggiornamento delle informative, il supporto nella tenuta del registro delle attività di trattamento, la revisione delle procedure di conservazione dei dati e l’assistenza nella regolamentazione dei rapporti con i responsabili esterni. Può collaborare con gli uffici HR e IT per affrontare questioni relative alla videosorveglianza, all’utilizzo degli strumenti informatici, ai servizi cloud e alla gestione degli accessi ai sistemi aziendali.
La presenza di un consulente non trasferisce automaticamente su quest’ultimo gli obblighi del titolare. Il professionista può elaborare proposte, documenti e procedure, ma le decisioni che competono all’azienda devono essere assunte dai soggetti legittimati. Analogamente, quando il consulente presta assistenza nella valutazione dei rischi o nella predisposizione di una DPIA, il titolare rimane responsabile della valutazione e degli adempimenti previsti dall’articolo 35 GDPR, consultando il DPO ove designato.
Il problema diventa più delicato quando l’impresa intende affidare allo stesso professionista sia l’incarico di DPO sia la consulenza operativa. Il GDPR non stabilisce un divieto generale di cumulo. L’articolo 38, paragrafo 6, consente al DPO di svolgere altri compiti e funzioni, purché non diano luogo a un conflitto di interessi. Occorre quindi verificare se le attività aggiuntive comportino il potere di determinare finalità e mezzi dei trattamenti oppure pongano il professionista nella condizione di sorvegliare decisioni operative delle quali è direttamente responsabile.
La semplice partecipazione del DPO alla predisposizione di un documento o alla formulazione di raccomandazioni non determina automaticamente un’incompatibilità. Diversa è la situazione nella quale il professionista assume poteri decisionali propri del titolare, dirige autonomamente le attività di trattamento o stabilisce misure che dovrebbe successivamente valutare nell’esercizio della funzione di sorveglianza. La verifica deve riguardare i poteri effettivamente attribuiti, non soltanto la denominazione dell’incarico.
Una società può quindi avvalersi di un unico fornitore per più servizi privacy, ma deve verificare l’organizzazione concreta delle attività, l’indipendenza del DPO e l’eventuale presenza di conflitti. Anche quando il fornitore è una società di consulenza o uno studio professionale, occorre individuare chiaramente il soggetto che esercita le funzioni di DPO e assicurare che siano rispettati i requisiti previsti dal GDPR. Sul punto assumono rilievo anche le condizioni che possono determinare un conflitto di interessi del DPO.
Nella definizione dei rapporti contrattuali è opportuno distinguere le attività di sorveglianza e consulenza proprie del DPO dalle prestazioni operative di adeguamento GDPR, precisando referenti aziendali, modalità di collaborazione, documentazione da produrre e procedure di segnalazione delle criticità. Questa distinzione diventa particolarmente utile quando la direzione deve valutare le osservazioni del DPO, autorizzare interventi correttivi o verificare l’effettiva esecuzione delle attività affidate al consulente privacy.
Responsabilità, controlli e rischi: come organizzare correttamente i rapporti tra DPO e consulente privacy
Quando un’azienda affida la gestione della privacy a professionisti esterni, deve evitare che la distribuzione degli incarichi produca incertezza sulle responsabilità. La presenza contemporanea di un DPO e di un consulente GDPR non modifica il principio stabilito dagli articoli 5 e 24 del Regolamento (UE) 2016/679: il titolare del trattamento rimane responsabile della conformità dei trattamenti e deve essere in grado di dimostrare l’adozione di misure tecniche e organizzative adeguate. Il DPO esercita le proprie funzioni di consulenza e sorveglianza, mentre il consulente privacy risponde delle prestazioni professionali assunte secondo il relativo incarico e le norme applicabili.
La distinzione diventa particolarmente importante quando emergono irregolarità nella documentazione o nelle procedure aziendali. Se, ad esempio, il registro dei trattamenti non è aggiornato, le informative risultano incomplete oppure i contratti con i fornitori non disciplinano correttamente il trattamento dei dati personali, occorre verificare chi fosse incaricato delle attività operative, quali informazioni fossero state messe a disposizione e se il DPO avesse rilevato e comunicato le criticità nell’esercizio delle proprie funzioni. La responsabilità per un eventuale inadempimento professionale deve essere valutata separatamente dagli obblighi che il GDPR attribuisce direttamente al titolare.
Il DPO non è il soggetto automaticamente responsabile delle violazioni commesse dall’azienda. L’articolo 39 GDPR gli attribuisce compiti di informazione, consulenza, sorveglianza e cooperazione con l’autorità di controllo, senza trasferirgli la responsabilità generale della conformità. Ciò non esclude che eventuali comportamenti negligenti del professionista possano assumere rilievo sul piano contrattuale o secondo le altre disposizioni applicabili. Analogamente, l’affidamento della documentazione privacy a un consulente esterno non libera l’impresa dall’obbligo di verificarne l’adeguatezza e di adottare le misure necessarie.
Un’organizzazione corretta richiede che siano individuati i soggetti incaricati di predisporre e aggiornare i documenti, quelli autorizzati ad approvare le procedure e i referenti che devono trasmettere al DPO le informazioni necessarie per svolgere la sorveglianza. Il Responsabile della protezione dei dati deve essere coinvolto tempestivamente nelle questioni riguardanti la protezione dei dati personali e deve poter riferire direttamente al vertice gerarchico del titolare o del responsabile del trattamento, come previsto dall’articolo 38 GDPR. L’azienda deve inoltre mettere a sua disposizione risorse adeguate e garantire l’accesso ai dati personali e alle operazioni di trattamento necessari all’esercizio delle funzioni.
Particolare attenzione merita il rapporto tra DPO e consulente privacy durante gli audit. Il consulente può effettuare verifiche operative, individuare documenti mancanti e proporre interventi correttivi. Il DPO può sorvegliare l’osservanza delle procedure, valutare le criticità e formulare raccomandazioni alla direzione. Se entrambe le funzioni sono affidate allo stesso professionista, occorre esaminare concretamente il rischio che questi debba controllare decisioni operative assunte nell’esercizio di un altro incarico. La compatibilità dipende dalle mansioni e dai poteri effettivi, non dalla semplice coincidenza delle qualifiche professionali.
La necessità di una ripartizione chiara emerge anche in occasione di un data breach. Il consulente privacy può assistere l’impresa nella ricostruzione dell’incidente, nella raccolta delle informazioni e nella predisposizione della documentazione. Il DPO deve essere coinvolto per fornire il proprio parere sugli obblighi applicabili e può fungere da punto di contatto con il Garante Privacy. La valutazione del rischio per i diritti e le libertà delle persone fisiche e l’eventuale decisione di notificare la violazione ai sensi dell’articolo 33 GDPR rimangono di competenza del titolare del trattamento. In presenza dei presupposti normativi, la notifica deve essere effettuata senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui il titolare è venuto a conoscenza della violazione.
Lo stesso criterio vale quando l’azienda riceve una richiesta di informazioni o una contestazione del Garante. Il DPO coopera con l’autorità di controllo nell’ambito delle proprie funzioni, mentre l’assistenza nella predisposizione delle risposte, delle memorie difensive o nella gestione del procedimento può richiedere un distinto incarico professionale, anche di natura legale. Per approfondire la distribuzione degli obblighi è utile esaminare chi risponde delle violazioni GDPR tra DPO e azienda.
Quando l’impresa deve scegliere tra un DPO esterno, un consulente privacy o un servizio che comprenda entrambe le attività, riteniamo opportuno verificare preventivamente il contenuto degli incarichi, l’effettiva indipendenza del DPO, le competenze disponibili e le modalità con cui saranno documentate le attività svolte. Un contratto genericamente riferito alla gestione della privacy può lasciare scoperti adempimenti che l’azienda riteneva compresi nel servizio, oppure attribuire al DPO compiti incompatibili con la posizione che deve mantenere.
Un esempio pratico: azienda con consulente GDPR che deve nominare un DPO esterno
Consideriamo, a titolo esemplificativo, una società che abbia affidato da alcuni anni la gestione della documentazione privacy a un consulente esterno. Il professionista predispone informative, aggiorna il registro dei trattamenti e assiste l’ufficio HR nella gestione dei dati dei dipendenti. Con l’ampliamento delle attività aziendali vengono introdotti nuovi sistemi di trattamento e la direzione decide di verificare se sussistano i presupposti per la nomina obbligatoria di un DPO.
La prima attività consiste nell’esaminare concretamente i trattamenti effettuati, le finalità, le categorie di dati e le modalità operative, senza presumere che la crescita dell’impresa comporti automaticamente l’obbligo di designazione. Qualora la verifica accerti la necessità di nominare un DPO, occorre stabilire se il consulente già incaricato possa assumere anche questa funzione oppure se sia preferibile individuare un professionista distinto.
L’aspetto più delicato riguarda la separazione tra le attività operative e quelle di sorveglianza. Se il consulente determina autonomamente aspetti essenziali dei trattamenti o assume responsabilità decisionali incompatibili con l’indipendenza richiesta al DPO, la sovrapposizione degli incarichi può risultare problematica. Una possibile soluzione organizzativa consiste nel mantenere al consulente le attività di supporto operativo e affidare al DPO esterno le funzioni previste dall’articolo 39 GDPR, disciplinando i flussi informativi e i rapporti con la direzione. In altre situazioni può essere compatibile un’organizzazione differente, purché siano rispettati i requisiti normativi.
L’esempio mostra perché la scelta non dovrebbe dipendere soltanto dalla convenienza economica di utilizzare un unico fornitore. La verifica delle mansioni effettive e delle responsabilità consente di individuare una distribuzione degli incarichi adeguata all’organizzazione aziendale, evitando che la nomina del DPO rimanga un adempimento esclusivamente formale.
Domande frequenti su DPO esterno e consulente privacy
Un’azienda può affidare allo stesso professionista l’incarico di DPO e la consulenza GDPR?
Sì, purché le attività aggiuntive non determinino un conflitto di interessi ai sensi dell’articolo 38, paragrafo 6, GDPR. Occorre verificare che il professionista non assuma poteri decisionali sulle finalità e sui mezzi dei trattamenti che dovrebbe successivamente sorvegliare come DPO. La compatibilità deve essere valutata considerando le mansioni effettive e l’organizzazione aziendale.
Se l’azienda ha già un consulente privacy, deve nominare anche un DPO?
La presenza di un consulente GDPR non elimina l’eventuale obbligo di designare un DPO. Se ricorrono i presupposti previsti dall’articolo 37 GDPR o da altre disposizioni applicabili, l’azienda deve procedere alla nomina. In assenza di tale obbligo, può utilizzare un servizio di consulenza privacy senza designare un Responsabile della protezione dei dati, mantenendo comunque la responsabilità degli adempimenti normativi.
Il DPO esterno è obbligato a predisporre informative, registro dei trattamenti e contratti GDPR?
No. La redazione materiale di questi documenti non rientra automaticamente tra i compiti che l’articolo 39 GDPR attribuisce al DPO. Il professionista può fornire indicazioni, esaminare la documentazione e partecipare alle attività di supporto, nel rispetto della propria indipendenza. La predisposizione operativa può essere affidata a un consulente privacy o ad altri soggetti incaricati dall’azienda. Le prestazioni effettivamente comprese nel servizio devono risultare chiaramente definite.
È preferibile scegliere due professionisti distinti oppure un unico fornitore?
Non esiste una soluzione valida per tutte le imprese. Due incarichi distinti possono agevolare la separazione tra attività operative e sorveglianza, mentre un unico fornitore può offrire un’organizzazione coordinata dei servizi. In entrambi i casi devono essere verificati l’indipendenza del DPO, l’assenza di conflitti di interessi, le competenze disponibili e la distribuzione delle responsabilità. La convenienza economica non può prevalere sul rispetto dei requisiti previsti dal GDPR.
Come verificare se il contratto con il DPO comprende anche la consulenza privacy aziendale?
Occorre esaminare l’oggetto dell’incarico e distinguere le funzioni previste dagli articoli 38 e 39 GDPR dalle eventuali prestazioni aggiuntive. È opportuno verificare se siano compresi l’aggiornamento della documentazione, il supporto agli uffici, gli audit operativi, la formazione e l’assistenza in caso di incidenti o richieste del Garante. Le attività non espressamente disciplinate possono richiedere accordi separati. Per approfondire questi aspetti è possibile consultare anche le clausole essenziali del contratto con il DPO esterno.
DPO esterno e consulente privacy: richiedi una valutazione per la tua azienda
Se la tua azienda deve scegliere tra un DPO esterno e un consulente privacy, verificare la compatibilità di incarichi già esistenti oppure organizzare un servizio che comprenda entrambe le funzioni, è opportuno esaminare i trattamenti effettuati, gli obblighi applicabili e le responsabilità attribuite ai professionisti.
Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, offre assistenza giuridica alle imprese nella valutazione degli incarichi DPO, nell’organizzazione della compliance GDPR e nella definizione dei rapporti tra consulenti esterni e struttura aziendale.
Per sottoporre la situazione della tua impresa allo Studio, richiedi una valutazione per il servizio DPO esterno e la gestione della privacy aziendale attraverso il modulo dedicato. Esamineremo la richiesta per individuare le questioni giuridiche e organizzative che richiedono un approfondimento professionale.
