Articolo a cura di: Redazione - Studio Legale Calvello

La gestione della privacy aziendale richiede competenze giuridiche, organizzative e informatiche che non sempre sono presenti all’interno dell’impresa. Una delle domande più frequenti tra amministratori e imprenditori riguarda proprio chi possa occuparsi della privacy e del GDPR in azienda, quali attività possano essere affidate a dipendenti o consulenti esterni e chi risponda in caso di irregolarità. La scelta non è soltanto organizzativa: attribuire incarichi in modo improprio, confondere le funzioni del DPO con quelle di un consulente o trascurare il controllo sugli adempimenti può esporre la società a contestazioni e responsabilità. Occorre distinguere gli obblighi che rimangono in capo all’azienda dalle attività che possono essere affidate a professionisti qualificati.

Chi può gestire la privacy in azienda e quali figure possono essere incaricate

Il Regolamento (UE) 2016/679 non impone a tutte le imprese di nominare un generico “responsabile privacy”. La figura giuridica centrale è il titolare del trattamento, normalmente identificabile nella società quando è quest’ultima a determinare le finalità e i mezzi dei trattamenti di dati personali. Spetta al titolare adottare misure tecniche e organizzative adeguate, verificare il rispetto della normativa e poter dimostrare la conformità delle proprie attività secondo il principio di responsabilizzazione previsto dall’articolo 5, paragrafo 2, e dall’articolo 24 del GDPR.

Questo non significa che l’amministratore debba predisporre personalmente ogni informativa, controllare i contratti con i fornitori o verificare le procedure informatiche. La gestione operativa della privacy può essere organizzata attraverso personale interno, consulenti esterni oppure una combinazione delle due soluzioni. La scelta dipende dalle dimensioni dell’impresa, dalla natura dei dati trattati, dalla complessità dei processi e dalle competenze effettivamente disponibili.

Un’azienda può individuare un referente interno incaricato di coordinare gli adempimenti GDPR, raccogliere le informazioni necessarie, seguire l’aggiornamento della documentazione e mantenere i rapporti con i professionisti. Tale referente può appartenere all’ufficio amministrativo, alle risorse umane, all’ufficio legale o ad altra funzione aziendale. La sua designazione non trasferisce automaticamente le responsabilità proprie del titolare del trattamento e non equivale alla nomina di un Responsabile della protezione dei dati.

Anche il responsabile IT può contribuire alla gestione della conformità, soprattutto per quanto riguarda sicurezza degli accessi, autorizzazioni, backup, conservazione dei dati e protezione dei sistemi. Le competenze informatiche, però, non esauriscono gli obblighi GDPR. La valutazione delle basi giuridiche, la disciplina dei rapporti con i responsabili del trattamento, la gestione dei diritti degli interessati e la verifica della liceità dei controlli sui dipendenti richiedono conoscenze che vanno oltre la sicurezza tecnologica.

Per questo motivo, nelle aziende prive di un ufficio legale o di una funzione compliance strutturata, può essere opportuno affidare il coordinamento degli adempimenti a un professionista esterno. Un consulente privacy aziendale può assistere la società nella predisposizione e nell’aggiornamento della documentazione, nella valutazione dei rischi, nella definizione delle procedure e nella verifica periodica delle misure adottate. Quando emergono questioni interpretative, contestazioni o possibili responsabilità, l’intervento di un avvocato esperto in GDPR consente di affrontare anche le implicazioni giuridiche delle decisioni aziendali.

È necessario distinguere queste figure dal responsabile del trattamento ai sensi dell’articolo 28 GDPR. Quest’ultimo è il soggetto che tratta dati personali per conto del titolare, secondo le istruzioni ricevute e sulla base di un rapporto disciplinato dalla normativa. Un fornitore di servizi informatici, ad esempio, può assumere tale qualifica in relazione ai trattamenti effettuati per conto dell’azienda. Non diventa, per questo solo fatto, il soggetto incaricato di governare l’intera conformità privacy dell’impresa. Per approfondire la distinzione tra i ruoli, abbiamo esaminato le differenze tra titolare, responsabile e autorizzato al trattamento.

Quando serve il DPO e quali differenze esistono rispetto al consulente privacy

Una delle principali difficoltà organizzative consiste nel distinguere la gestione ordinaria del GDPR dalle funzioni attribuite al Responsabile della protezione dei dati (DPO o RPD). Le due attività possono essere collegate, ma rispondono a presupposti e regole differenti. Il consulente privacy assiste operativamente l’impresa nell’attuazione degli adempimenti; il DPO esercita le funzioni di informazione, consulenza, sorveglianza e cooperazione previste dall’articolo 39 del GDPR, operando con le garanzie di autonomia stabilite dall’articolo 38.

La nomina del DPO è obbligatoria nei casi previsti dall’articolo 37 del GDPR, tra cui determinate attività che comportano il monitoraggio regolare e sistematico degli interessati su larga scala oppure il trattamento su larga scala di categorie particolari di dati personali o di dati relativi a condanne penali e reati. Per le imprese private non esiste un obbligo generalizzato di nominare il DPO per il semplice fatto di avere dipendenti, utilizzare software gestionali o trattare dati dei clienti. Occorre verificare concretamente la natura delle attività principali e le caratteristiche dei trattamenti effettuati.

Quando la nomina è obbligatoria, il DPO può essere un dipendente oppure un professionista esterno incaricato mediante contratto di servizi. In entrambi i casi deve possedere conoscenze specialistiche adeguate e poter svolgere le proprie funzioni senza ricevere istruzioni sul modo in cui esercitare i compiti di sorveglianza. Il titolare deve coinvolgerlo tempestivamente nelle questioni relative alla protezione dei dati e mettergli a disposizione le risorse necessarie.

Il problema si presenta quando un’azienda attribuisce al DPO anche responsabilità decisionali sui trattamenti che egli dovrebbe successivamente controllare. L’articolo 38, paragrafo 6, consente lo svolgimento di altri compiti, purché non determinino conflitti di interessi. Un responsabile IT che stabilisce autonomamente finalità e mezzi essenziali dei trattamenti, ad esempio, potrebbe trovarsi in una posizione incompatibile con l’indipendenza richiesta al DPO. La stessa verifica deve essere effettuata quando l’incarico viene proposto a un dirigente, a un responsabile HR o a un consulente esterno che assume anche funzioni decisionali.

Non è quindi sufficiente individuare una persona competente e attribuirle formalmente l’incarico. Occorre verificare le funzioni concretamente esercitate, i poteri decisionali, i rapporti gerarchici e le possibili interferenze tra attività operative e compiti di controllo. Abbiamo approfondito questi aspetti nella guida dedicata alle differenze tra DPO esterno e consulente privacy.

Quando il DPO non è obbligatorio, l’impresa rimane comunque tenuta a rispettare il GDPR. Può organizzare la gestione attraverso un referente interno e un consulente qualificato, oppure valutare una nomina volontaria del DPO. In quest’ultimo caso, la designazione comporta l’applicazione delle disposizioni del GDPR relative alla figura. Non è corretto utilizzare formalmente il titolo di DPO per indicare un semplice referente operativo senza rispettare le condizioni previste dal Regolamento.

Per le aziende che intendono affidare stabilmente la gestione degli adempimenti a soggetti esterni, la scelta deve considerare anche il contenuto dell’incarico. È opportuno chiarire quali attività siano comprese, chi debba predisporre e aggiornare i documenti, come vengano gestite le richieste degli interessati e quali siano le modalità di intervento in presenza di incidenti o contestazioni. La consulenza privacy per aziende deve essere organizzata in funzione delle caratteristiche dell’impresa, evitando che l’affidamento esterno si traduca in una semplice produzione iniziale di documenti destinati a rimanere invariati nel tempo.

Obblighi e responsabilità dell’azienda: quali attività affidare e quali controlli mantenere

Affidare la gestione della privacy a un dipendente, a un consulente GDPR o a uno studio legale non comporta il trasferimento automatico delle responsabilità del titolare del trattamento. Gli articoli 5 e 24 del Regolamento (UE) 2016/679 richiedono che l’impresa adotti misure adeguate ai rischi dei trattamenti e sia in grado di dimostrarne l’effettiva applicazione. La responsabilità della conformità GDPR rimane in capo alla società, anche quando gli adempimenti vengono materialmente eseguiti da professionisti esterni. Questo principio deve orientare la distribuzione degli incarichi, la definizione delle procedure e il controllo delle attività affidate.

Il primo problema riguarda l’individuazione delle responsabilità operative. Se l’ufficio amministrativo conserva i dati dei clienti, le risorse umane gestiscono quelli dei dipendenti e il reparto informatico amministra gli accessi ai sistemi, ciascuna funzione deve conoscere le istruzioni applicabili e i limiti delle proprie competenze. Il referente privacy può coordinare queste attività, ma occorre stabilire chi autorizza i trattamenti, chi segnala eventuali anomalie, chi aggiorna la documentazione e chi sottopone alla direzione le decisioni che richiedono una valutazione giuridica. Un incarico generico, privo di compiti definiti e di adeguati poteri organizzativi, rischia di lasciare scoperti proprio gli adempimenti più delicati.

Tra le attività che possono essere affidate a un consulente esterno rientrano la ricognizione dei trattamenti, la predisposizione delle informative, il supporto nella tenuta del registro previsto dall’articolo 30 GDPR, la verifica dei contratti con i responsabili del trattamento e l’assistenza nelle valutazioni d’impatto sulla protezione dei dati, quando necessarie. Il professionista può anche contribuire alla definizione delle procedure di conservazione, alla formazione del personale e alla verifica delle misure organizzative. Le decisioni che competono al titolare devono comunque essere assunte dall’impresa sulla base delle informazioni e delle valutazioni disponibili. Per comprendere quali documenti richiedano particolare attenzione, abbiamo dedicato un approfondimento alla documentazione privacy obbligatoria per le aziende.

Un aspetto spesso trascurato riguarda il controllo dei fornitori. L’utilizzo di software gestionali, piattaforme cloud, servizi di elaborazione paghe o strumenti di marketing può comportare il trattamento di dati personali da parte di soggetti esterni. Quando il fornitore opera come responsabile del trattamento, l’articolo 28 GDPR richiede un contratto o altro atto giuridico conforme alle prescrizioni del Regolamento. Il consulente privacy può assistere nella qualificazione dei rapporti e nella verifica delle garanzie offerte, ma l’azienda deve assicurarsi che gli accordi siano coerenti con le attività effettivamente svolte.

La necessità di una gestione professionale emerge con maggiore evidenza quando vengono introdotti sistemi di videosorveglianza, strumenti di controllo degli accessi, applicazioni per il monitoraggio delle attività lavorative o nuove modalità di utilizzo della posta elettronica aziendale. In queste situazioni la valutazione non riguarda esclusivamente il GDPR, ma può coinvolgere anche l’articolo 4 dello Statuto dei lavoratori e le disposizioni del Codice Privacy. Un responsabile informatico può configurare correttamente il sistema dal punto di vista tecnico senza che siano stati verificati tutti i presupposti giuridici del trattamento. Occorre quindi coordinare competenze differenti prima dell’attivazione degli strumenti.

Un’altra questione riguarda la gestione delle violazioni dei dati personali. In presenza di un accesso non autorizzato, della perdita di documenti contenenti dati personali o di un attacco informatico, l’impresa deve disporre di una procedura che consenta di individuare tempestivamente l’incidente, valutarne le conseguenze e stabilire gli eventuali obblighi di notifica e comunicazione. L’articolo 33 GDPR prevede, quando ricorrono i presupposti, la notifica al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui il titolare è venuto a conoscenza della violazione. Il coinvolgimento del consulente o del DPO deve essere organizzato in modo da non ritardare le valutazioni richieste. Per gli interventi immediati abbiamo approfondito cosa fare nelle prime 72 ore dopo un data breach aziendale.

La mancata definizione dei ruoli può assumere rilievo anche durante un controllo del Garante per la protezione dei dati personali. L’Autorità può richiedere informazioni sulla struttura organizzativa, sulle misure adottate, sulla documentazione disponibile e sulle modalità con cui vengono rispettati gli obblighi normativi. La presenza di un contratto di consulenza o di una nomina formale non dimostra, da sola, che l’impresa abbia organizzato correttamente i trattamenti. Diventa necessario poter ricostruire le attività svolte, le istruzioni impartite, gli aggiornamenti effettuati e le verifiche eseguite.

Per questa ragione, quando un’azienda decide di affidare la privacy a un professionista esterno, è opportuno definire un incarico che specifichi le prestazioni, le modalità di collaborazione con gli uffici interni, la periodicità delle verifiche e le procedure di segnalazione delle criticità. Una gestione GDPR continuativa deve accompagnare le modifiche dell’organizzazione aziendale, perché l’assunzione di personale, l’introduzione di nuovi servizi, il cambiamento dei fornitori o l’utilizzo di ulteriori strumenti informatici possono rendere necessario aggiornare valutazioni e documenti precedentemente predisposti.

Esempio pratico: un’azienda con la privacy affidata a più uffici senza un coordinamento definito

Si consideri, a titolo esemplificativo, una società di servizi nella quale la gestione della privacy sia distribuita tra amministrazione, risorse umane e reparto informatico. L’ufficio amministrativo conserva le informative predisposte alcuni anni prima, il responsabile HR gestisce autonomamente i dati dei dipendenti e il reparto IT si occupa della sicurezza dei sistemi. La società utilizza anche fornitori esterni per la gestione delle paghe e dei servizi cloud, senza che sia stato individuato un referente incaricato di verificare periodicamente l’insieme degli adempimenti.

Il problema emerge quando la direzione decide di introdurre un nuovo gestionale e si accorge che nessuno è in grado di confermare se il registro dei trattamenti sia aggiornato, se gli accordi con i fornitori siano adeguati e chi debba valutare gli aspetti privacy del nuovo servizio. In una situazione di questo tipo, l’intervento professionale può iniziare dalla ricognizione dei trattamenti e degli incarichi esistenti, per poi verificare la documentazione, individuare le attività prive di un responsabile operativo e definire le procedure di coordinamento. Occorre anche accertare se ricorrano i presupposti per la nomina del DPO oppure se le esigenze dell’impresa possano essere affrontate attraverso un referente interno supportato da un consulente esterno.

L’elemento che richiede maggiore attenzione è la distinzione tra le attività che possono essere delegate operativamente e le decisioni che devono rimanere sotto il controllo del titolare. La riorganizzazione può prevedere incarichi scritti, un sistema di comunicazione tra uffici e professionista, verifiche periodiche e procedure per coinvolgere tempestivamente la direzione quando emergono nuovi trattamenti o criticità. L’obiettivo è rendere identificabili i soggetti incaricati e verificabili le attività svolte, senza presumere che la sola nomina di un consulente sia sufficiente a rendere conforme l’organizzazione aziendale.

Domande frequenti su chi può gestire la privacy e il GDPR in azienda

Un’azienda può affidare la gestione della privacy a un proprio dipendente?

Sì. Il GDPR non impone di affidare la gestione ordinaria della privacy a un professionista esterno. L’impresa può incaricare un dipendente adeguatamente formato, definendone compiti, istruzioni e risorse disponibili. Occorre però verificare che possieda competenze proporzionate alla complessità dei trattamenti e che le attività affidate siano effettivamente svolte. La designazione interna non elimina le responsabilità del titolare del trattamento.

Il commercialista o il consulente del lavoro possono occuparsi del GDPR aziendale?

Possono assistere l’impresa nelle attività per le quali dispongono di competenze adeguate, anche in relazione ai trattamenti amministrativi e alla gestione del personale. Non esiste però un’automatica equivalenza tra competenze fiscali, lavoristiche e capacità di gestire l’intera conformità GDPR. Prima di affidare l’incarico occorre verificare quali prestazioni siano comprese e se il professionista possa affrontare anche questioni relative a sicurezza dei dati, rapporti con i fornitori, valutazioni dei rischi e responsabilità giuridiche.

È possibile affidare allo stesso professionista la consulenza GDPR e l’incarico di DPO?

La contemporanea attribuzione dei due incarichi non è vietata in termini assoluti. È però necessario verificare l’assenza di conflitti di interessi ai sensi dell’articolo 38, paragrafo 6, GDPR. Se il professionista assume decisioni sulle finalità o sui mezzi dei trattamenti che dovrebbe successivamente sorvegliare come DPO, la compatibilità degli incarichi può risultare compromessa. La valutazione deve riguardare le attività concretamente svolte e non soltanto le qualifiche indicate nel contratto.

Chi risponde se il consulente privacy commette un errore?

Il titolare del trattamento conserva gli obblighi che il GDPR gli attribuisce, anche quando si avvale di consulenti esterni. Un eventuale errore professionale può determinare responsabilità del consulente secondo la natura dell’incarico, gli obblighi contrattuali e le circostanze del caso concreto. Occorre distinguere la responsabilità dell’impresa nei confronti degli interessati e dell’Autorità di controllo dagli eventuali rapporti risarcitori tra azienda e professionista.

Quando conviene affidare la gestione della privacy a uno studio legale?

L’assistenza legale può risultare particolarmente utile quando l’impresa deve interpretare obblighi normativi complessi, valutare la liceità di trattamenti riguardanti dipendenti o clienti, disciplinare rapporti contrattuali con fornitori oppure affrontare contestazioni e richieste del Garante Privacy. Può essere opportuna anche quando la direzione intende riorganizzare le responsabilità interne e affidare a un professionista il coordinamento continuativo degli adempimenti. La scelta deve dipendere dai rischi effettivi e dalle competenze già presenti in azienda.

Affidare correttamente la gestione della privacy aziendale: richiedi una valutazione

Quando non è chiaro chi debba occuparsi del GDPR, gli incarichi interni sono insufficientemente definiti oppure la gestione della privacy è affidata a soggetti privi delle competenze necessarie, l’azienda dovrebbe verificare la propria organizzazione prima che emergano contestazioni o irregolarità. La valutazione deve considerare i trattamenti effettuati, le responsabilità del titolare, l’eventuale obbligo di nominare un DPO e le attività che possono essere affidate a un professionista esterno.

Lo Studio Legale Calvello dell’Avvocato Claudio Calvello, con oltre 25 anni di esperienza professionale, assiste le imprese nell’esame degli obblighi privacy, nella definizione degli incarichi e nell’organizzazione della gestione GDPR, anche attraverso rapporti di assistenza continuativa. Valutiamo le esigenze della singola società per individuare le questioni giuridiche e organizzative che richiedono un intervento professionale.

Se la tua azienda deve individuare chi possa gestire la privacy, verificare gli incarichi esistenti o riorganizzare gli adempimenti GDPR, richiedi una valutazione della gestione privacy aziendale attraverso il modulo dedicato. Esamineremo la richiesta per verificare le esigenze rappresentate e le possibili modalità di assistenza.