Articolo a cura di: Redazione - Studio Legale Calvello

La revoca o sostituzione del DPO (Data Protection Officer), denominato anche Responsabile della Protezione dei Dati (RPD), richiede una gestione attenta degli adempimenti previsti dal GDPR. Quando un’azienda decide di cambiare il proprio DPO, deve verificare le condizioni di cessazione dell’incarico, formalizzare la decisione, valutare la necessità di nominare un sostituto e aggiornare le comunicazioni al Garante Privacy e i recapiti pubblicati. Occorre inoltre assicurare la continuità delle attività di sorveglianza e consulenza in materia di protezione dei dati personali.

La situazione diventa particolarmente delicata quando il DPO si dimette improvvisamente, non svolge correttamente le proprie funzioni, presenta un conflitto di interessi oppure viene sostituito mentre sono in corso verifiche, contestazioni o procedimenti davanti al Garante. In questi casi, un passaggio gestito senza le necessarie verifiche può esporre l’impresa a irregolarità organizzative e difficoltà nella ricostruzione delle attività svolte. È quindi necessario conoscere gli obblighi giuridici e le procedure che devono accompagnare la cessazione dell’incarico e il subentro del nuovo professionista.

Quando un’azienda può revocare o sostituire il DPO e quali problemi deve affrontare

La decisione di sostituire il DPO può derivare dalla scadenza del contratto, dalle dimissioni del professionista, da una riorganizzazione aziendale oppure dall’esigenza di affidare l’incarico a un soggetto dotato di competenze più adeguate alla complessità dei trattamenti effettuati. Può anche emergere una situazione di inadempimento contrattuale, come la mancata esecuzione delle attività concordate o l’assenza di un supporto effettivo nei rapporti con le funzioni aziendali.

Occorre però distinguere la legittima cessazione del rapporto professionale dalla revoca vietata dall’articolo 38, paragrafo 3, del Regolamento (UE) 2016/679. Tale disposizione stabilisce che il DPO non può essere rimosso o penalizzato dal titolare o dal responsabile del trattamento per l’adempimento dei propri compiti. L’azienda non può quindi revocarlo semplicemente perché ha formulato valutazioni sgradite, segnalato carenze nella gestione dei dati personali oppure espresso un parere contrario alle decisioni della direzione.

La protezione riconosciuta dal GDPR tutela l’indipendenza della funzione, ma non rende l’incarico irrevocabile. La cessazione può essere giustificata da ragioni estranee al corretto esercizio dei compiti del DPO, purché siano rispettate le disposizioni applicabili al rapporto contrattuale o lavorativo. Nel caso di un professionista esterno, occorre esaminare le clausole relative alla durata, al recesso, al preavviso e all’eventuale risoluzione per inadempimento. Se invece il DPO è un dipendente, devono essere considerate anche le norme lavoristiche e le conseguenze dell’eventuale modifica delle mansioni.

Un problema ricorrente riguarda il DPO che non risponde alle comunicazioni aziendali, non partecipa alle verifiche concordate oppure non fornisce il supporto richiesto. Prima di procedere alla revoca, è opportuno ricostruire gli obblighi effettivamente assunti e documentare le eventuali contestazioni, distinguendo le attività proprie del DPO da quelle che rimangono sotto la responsabilità del titolare del trattamento. Il DPO, infatti, svolge funzioni di informazione, consulenza e sorveglianza, ma non è il soggetto incaricato di eseguire personalmente ogni adempimento privacy dell’impresa.

Quando il problema riguarda un incarico rimasto soltanto formale, può essere utile verificare le circostanze descritte nel nostro approfondimento sul DPO che non risponde o non segue l’azienda. Se emergono dubbi sull’effettiva indipendenza del professionista, occorre invece considerare le regole relative al conflitto di interessi del DPO, che possono rendere necessario modificare l’assetto organizzativo o individuare un diverso incaricato.

Prima della revoca è necessario verificare anche se l’impresa continui a essere obbligata a designare un DPO ai sensi dell’articolo 37 GDPR. Se i presupposti dell’obbligo permangono, la cessazione dell’incarico non elimina la necessità di assicurare la funzione. Qualora invece il DPO fosse stato nominato volontariamente, l’azienda può valutare se mantenerlo o cessare la designazione, considerando l’organizzazione dei trattamenti e le esigenze di controllo. Anche una nomina volontaria, finché rimane in essere, comporta l’applicazione delle disposizioni del GDPR relative alla funzione.

Revoca del DPO e comunicazione al Garante Privacy: quali adempimenti effettuare

Una volta accertati i presupposti per la cessazione dell’incarico, l’azienda deve formalizzare la revoca o prendere atto delle dimissioni, individuando con precisione la data dalla quale il precedente DPO non eserciterà più le proprie funzioni. Il documento deve essere coerente con la natura del rapporto e con i poteri degli organi aziendali competenti. Nelle società, a seconda dell’organizzazione interna, la decisione può essere assunta dall’amministratore o dall’organo al quale è attribuita la competenza, fermo restando il rispetto delle condizioni contrattuali applicabili.

Il passaggio successivo riguarda la comunicazione della variazione al Garante per la protezione dei dati personali. L’articolo 37, paragrafo 7, GDPR impone al titolare o al responsabile del trattamento di pubblicare i dati di contatto del DPO e comunicarli all’autorità di controllo. Quando cambia il soggetto designato, le informazioni precedentemente comunicate devono essere aggiornate utilizzando la procedura telematica predisposta dal Garante. Se la designazione cessa senza sostituzione perché non sussiste più l’obbligo e l’organizzazione ha deciso di non mantenere un DPO volontario, deve essere gestita la relativa cessazione attraverso il servizio disponibile.

È importante distinguere l’obbligo di comunicazione dalla previsione di un termine specifico. Il GDPR non stabilisce un termine generale espresso di un determinato numero di giorni per comunicare la sostituzione del DPO. Questo non autorizza però a lasciare indefinitamente informazioni non aggiornate: la comunicazione deve essere gestita tempestivamente, in coerenza con l’obbligo di rendere effettivamente contattabile il soggetto incaricato. Non sarebbe corretto presentare come termine legale inderogabile una scadenza che non risulta prevista dalla disposizione.

Quando la nomina è obbligatoria, consigliamo di programmare il subentro in modo da evitare interruzioni della funzione. La società deve verificare preventivamente i requisiti del nuovo professionista, la sua conoscenza della normativa e delle pratiche di protezione dei dati, l’assenza di conflitti di interessi e la disponibilità di risorse adeguate. L’incarico deve consentire al DPO di riferire direttamente al vertice gerarchico del titolare o del responsabile del trattamento e di operare senza ricevere istruzioni sull’esecuzione dei propri compiti.

La comunicazione al Garante non esaurisce gli adempimenti. Occorre aggiornare i recapiti del DPO riportati nelle informative privacy, sul sito aziendale e negli altri documenti nei quali siano presenti i riferimenti del professionista uscente. Devono essere verificati anche gli indirizzi email dedicati, i canali utilizzati per l’esercizio dei diritti degli interessati e le procedure interne che prevedono il coinvolgimento del DPO. L’aggiornamento del registro dei trattamenti, delle DPIA o dei contratti con i responsabili del trattamento è necessario soltanto nella misura in cui tali documenti contengano informazioni da modificare o emergano ulteriori esigenze di revisione: il semplice cambio del nominativo non impone automaticamente di riscrivere l’intera documentazione GDPR.

Una particolare attenzione deve essere dedicata al passaggio delle consegne tra il DPO uscente e quello subentrante. È opportuno predisporre un inventario della documentazione disponibile, delle valutazioni già formulate, delle criticità segnalate alla direzione, delle verifiche programmate e delle eventuali richieste degli interessati o dell’autorità ancora pendenti. Devono essere regolati anche la restituzione dei documenti aziendali, la gestione degli accessi ai sistemi informatici e gli obblighi di riservatezza che continuano a rilevare dopo la cessazione del rapporto.

Il nuovo DPO deve poter conoscere le attività svolte e le questioni ancora aperte, senza che il trasferimento delle informazioni determini accessi indiscriminati a dati personali non necessari. L’azienda deve quindi organizzare il passaggio rispettando i principi di minimizzazione, riservatezza e sicurezza previsti dal GDPR. Quando la documentazione risulta incompleta o il precedente professionista non collabora, può rendersi necessaria una verifica specifica per ricostruire lo stato effettivo della compliance e stabilire quali attività debbano essere riprese con priorità.

Sostituzione del DPO: responsabilità aziendali, rischi e controlli da effettuare

La sostituzione del DPO non trasferisce al nuovo professionista la responsabilità generale dell’azienda per il rispetto della normativa sulla protezione dei dati personali. Gli articoli 5, paragrafo 2, e 24 del GDPR attribuiscono al titolare del trattamento il compito di assicurare e dimostrare la conformità delle attività svolte. Il DPO esercita invece le funzioni di consulenza, informazione, sorveglianza e cooperazione con l’autorità di controllo previste dall’articolo 39. Questa distinzione assume particolare rilievo quando il cambio del professionista avviene dopo un periodo di gestione insoddisfacente o in presenza di irregolarità già conosciute dalla direzione.

Se il precedente DPO aveva segnalato criticità riguardanti la sicurezza informatica, la conservazione dei dati, le informative o le procedure aziendali, la sua revoca non elimina tali problemi. L’impresa deve verificare quali osservazioni siano state formulate, quali decisioni siano state assunte e quali interventi risultino ancora necessari. Analogamente, il nuovo DPO non risponde automaticamente delle omissioni commesse prima della propria designazione, ma deve poter esercitare le proprie funzioni anche rispetto alle situazioni pregresse che continuano a produrre effetti sull’organizzazione.

Una delle prime verifiche riguarda quindi la continuità delle attività di controllo e consulenza durante il passaggio tra i due professionisti. Se l’azienda è obbligata a designare un DPO, lasciare la funzione scoperta può determinare una situazione di non conformità all’articolo 37 GDPR. La normativa non prevede un periodo generale di tolleranza durante il quale l’impresa possa rimanere priva del DPO obbligatorio senza conseguenze. Per questa ragione, quando la cessazione è programmabile, è opportuno coordinare le date dei due incarichi e completare preventivamente le verifiche sul professionista subentrante.

Il problema è diverso quando il DPO si dimette con effetto immediato, diventa improvvisamente indisponibile oppure cessa il rapporto senza un passaggio concordato. In tali circostanze, l’azienda deve attivarsi per individuare un sostituto idoneo e documentare le iniziative intraprese. La tempestività della risposta organizzativa può assumere rilievo nella valutazione complessiva della condotta del titolare, ma non costituisce di per sé una causa automatica di esclusione della responsabilità.

Particolare attenzione richiedono le situazioni nelle quali la sostituzione interviene mentre è in corso un’ispezione del Garante Privacy, una richiesta di informazioni, un reclamo oppure la gestione di una violazione dei dati personali. Il nuovo DPO deve essere messo nelle condizioni di conoscere gli atti e le scadenze pertinenti, mentre la direzione deve assicurare che le attività necessarie proseguano senza interruzioni. La sostituzione del professionista non sospende i termini previsti dalla normativa né quelli eventualmente assegnati dall’autorità.

Se è in corso un data breach, ad esempio, il titolare deve continuare a valutare gli obblighi di notifica previsti dall’articolo 33 GDPR e, quando ne ricorrono i presupposti, quelli di comunicazione agli interessati ai sensi dell’articolo 34. Il termine ordinario di 72 ore per la notifica al Garante, ove dovuta, decorre dal momento in cui il titolare viene a conoscenza della violazione, non dalla data di nomina del nuovo DPO. Per gli interventi immediati in queste situazioni rinviamo al nostro approfondimento su cosa fare nelle prime 72 ore dopo un data breach aziendale.

Il cambio del DPO può inoltre rendere opportuna una verifica delle attività precedentemente svolte. Non si tratta di presumere che il professionista uscente abbia commesso irregolarità, ma di accertare se la documentazione disponibile consenta di ricostruire il funzionamento del sistema privacy. Possono essere esaminati i pareri rilasciati, le relazioni alla direzione, le valutazioni d’impatto, le attività formative e le segnalazioni di criticità. Un eventuale audit privacy del DPO deve essere calibrato sui trattamenti effettivamente svolti e sulle informazioni già disponibili, evitando duplicazioni prive di utilità.

Quanto alle sanzioni, la mancata designazione del DPO nei casi obbligatori e la violazione degli obblighi relativi alla sua funzione rientrano nel sistema sanzionatorio previsto dall’articolo 83, paragrafo 4, lettera a), GDPR, che contempla, per le imprese, sanzioni amministrative pecuniarie fino a 10 milioni di euro o, se superiore, fino al 2% del fatturato mondiale totale annuo dell’esercizio precedente. Si tratta dei limiti massimi normativi, non di importi automaticamente applicabili in caso di sostituzione irregolare. La concreta valutazione dipende dalla violazione accertata e dai criteri stabiliti dall’articolo 83, paragrafo 2.

Un’ulteriore questione riguarda le eventuali responsabilità del DPO uscente. Se il rapporto è disciplinato da un contratto professionale e vengono contestati specifici inadempimenti, occorre verificare il contenuto dell’incarico, la condotta concretamente tenuta, l’esistenza di un danno e il nesso causale. La responsabilità contrattuale del professionista non coincide con quella del titolare per la conformità dei trattamenti. Abbiamo approfondito questa distinzione nell’articolo dedicato alla responsabilità del DPO e dell’azienda per le violazioni GDPR.

Quando la sostituzione è determinata da inadempimenti contestati, documentazione non restituita o contrasti sulla cessazione del rapporto, riteniamo opportuno valutare separatamente gli aspetti contrattuali e quelli relativi alla protezione dei dati. La risoluzione della controversia con il professionista uscente non deve impedire all’impresa di garantire il funzionamento della propria organizzazione privacy e l’accessibilità del nuovo DPO.

Esempio pratico: sostituzione di un DPO esterno con documentazione incompleta e verifiche ancora aperte

Consideriamo il caso ipotetico di una società di servizi che abbia affidato a un professionista esterno l’incarico di DPO e decida di non rinnovare il contratto dopo aver riscontrato difficoltà nei rapporti operativi. Durante la preparazione del passaggio emerge che alcune verifiche programmate non risultano documentate, mentre sono ancora aperte osservazioni relative alla gestione dei dati dei dipendenti e ai rapporti con alcuni fornitori informatici. La società deve quindi sostituire il professionista senza perdere la continuità delle attività già avviate.

In una situazione di questo tipo, il primo intervento consiste nell’esaminare il contratto in scadenza, individuare la data di cessazione e verificare i requisiti del nuovo DPO. Contestualmente viene organizzata la raccolta dei documenti disponibili, distinguendo le attività effettivamente completate da quelle per le quali mancano riscontri sufficienti. L’attenzione principale riguarda la possibilità di ricostruire le questioni ancora pendenti senza attribuire automaticamente al professionista uscente responsabilità che richiederebbero specifici accertamenti.

Il subentro viene quindi accompagnato dalla formalizzazione della nuova designazione, dall’aggiornamento della comunicazione al Garante e dalla revisione dei recapiti pubblicati. Le criticità emerse vengono sottoposte al nuovo DPO affinché possa formulare le proprie valutazioni e consentire alla direzione di programmare gli interventi necessari. L’esempio mostra come la sostituzione debba essere gestita attraverso una procedura documentata, soprattutto quando il cambio dell’incaricato coincide con problemi organizzativi già presenti nell’azienda.

Domande frequenti sulla revoca e sostituzione del DPO

Un’azienda può revocare il DPO senza aver già individuato un sostituto?

La possibilità di cessare l’incarico deve essere valutata distinguendo le condizioni del rapporto contrattuale dall’obbligo di designazione previsto dal GDPR. Se l’azienda è tenuta ad avere un DPO, deve organizzare tempestivamente la sostituzione, evitando periodi nei quali la funzione rimanga scoperta. Se invece la designazione era volontaria e non sussistono più ragioni per mantenerla, può essere decisa la cessazione, provvedendo agli aggiornamenti necessari.

È necessario comunicare al Garante anche la revoca del DPO, oltre alla nuova nomina?

La comunicazione deve rappresentare correttamente la situazione aggiornata. Quando viene nominato un nuovo DPO, occorre utilizzare il servizio telematico del Garante per modificare i dati della designazione. Se l’incarico cessa definitivamente senza sostituzione, deve essere gestita la cessazione della comunicazione precedentemente effettuata. È opportuno conservare le ricevute e la documentazione delle operazioni eseguite.

Il DPO uscente può rifiutarsi di consegnare la documentazione privacy aziendale?

La cessazione dell’incarico non attribuisce automaticamente al professionista il diritto di trattenere documenti aziendali che devono essere restituiti secondo il contratto e le disposizioni applicabili. Occorre distinguere la documentazione dell’impresa dagli eventuali documenti professionali propri del DPO, verificando anche gli obblighi di conservazione e riservatezza. In caso di rifiuto, può essere necessario formulare una richiesta formale e valutare i rimedi contrattuali disponibili.

È possibile sostituire il DPO mentre è in corso un’ispezione del Garante Privacy?

Sì, purché la sostituzione avvenga per ragioni legittime e non costituisca una rimozione vietata dall’articolo 38 GDPR. Il cambio non sospende l’attività ispettiva, non modifica le scadenze assegnate e non elimina le responsabilità dell’azienda. È necessario assicurare al nuovo DPO l’accesso alle informazioni pertinenti e mantenere la continuità dei rapporti con l’autorità.

Quanto costa sostituire un DPO esterno?

Il costo dipende dalle condizioni di cessazione del precedente incarico, dall’eventuale preavviso contrattuale, dalle dimensioni dell’organizzazione e dalle attività necessarie per il subentro. Se occorre ricostruire documentazione mancante o verificare criticità pregresse, tali interventi possono richiedere un incarico distinto rispetto al servizio periodico del nuovo DPO. Prima di confrontare i preventivi, è quindi opportuno definire le prestazioni comprese e quelle eventualmente aggiuntive.

Revocare o sostituire il DPO: richiedi una valutazione allo Studio Legale Calvello

La revoca di un DPO può presentare criticità contrattuali, organizzative e giuridiche, soprattutto quando il professionista uscente non collabora, sono presenti irregolarità documentali oppure l’azienda deve assicurare una sostituzione urgente. Una gestione corretta richiede di verificare le condizioni dell’incarico, gli obblighi di comunicazione al Garante e la continuità della funzione di protezione dei dati.

Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, assiste le imprese nella valutazione delle problematiche relative alla revoca e alla sostituzione del DPO, nella verifica degli adempimenti GDPR e nell’organizzazione del subentro di un responsabile della protezione dei dati esterno.

Se la vostra azienda deve cambiare DPO, affrontare una cessazione controversa dell’incarico oppure verificare la correttezza delle procedure già avviate, richiedete una valutazione attraverso il modulo dedicato al servizio DPO esterno per aziende. Esamineremo la richiesta per individuare le questioni giuridiche e organizzative che richiedono un intervento professionale.