Articolo a cura di: Redazione - Studio Legale Calvello
Quando un’azienda decide di cambiare consulente privacy, il problema non riguarda soltanto la scelta del nuovo professionista. Occorre assicurare la continuità degli adempimenti GDPR, recuperare la documentazione predisposta durante il precedente incarico e verificare che le attività rimaste in sospeso vengano correttamente prese in carico. Il passaggio diventa particolarmente delicato quando il consulente uscente non collabora, i documenti sono incompleti oppure l’impresa non dispone di un archivio autonomo delle proprie procedure.
Il Regolamento (UE) 2016/679 attribuisce al titolare del trattamento la responsabilità di dimostrare il rispetto degli obblighi applicabili. La sostituzione del consulente GDPR non interrompe questa responsabilità e non sospende eventuali scadenze. Per questo consigliamo di organizzare il subentro attraverso una ricognizione dei documenti, degli incarichi e delle criticità esistenti, distinguendo ciò che deve essere recuperato dal precedente professionista dalle attività che richiedono una nuova valutazione legale.
Quando cambiare consulente privacy e quali problemi affrontare prima del subentro
La decisione di sostituire il consulente privacy può dipendere da esigenze organizzative, dalla crescita dell’impresa, dalla necessità di ottenere un’assistenza più continuativa oppure da difficoltà emerse nel rapporto professionale. In alcune aziende la gestione del GDPR è affidata da anni allo stesso soggetto, ma la direzione non riceve aggiornamenti periodici, non conosce lo stato delle verifiche effettuate e non dispone di una documentazione facilmente consultabile. In altre situazioni il rapporto funziona regolarmente, ma l’impresa intende affidare la gestione della privacy a uno studio legale capace di seguire anche questioni contrattuali, contestazioni e rapporti con il Garante.
Il primo controllo riguarda il contratto in essere. Prima di comunicare la cessazione dell’incarico occorre esaminare durata, termini di preavviso, eventuali clausole di rinnovo, prestazioni ancora da eseguire e modalità previste per la restituzione dei documenti. Il diritto dell’azienda a ottenere la documentazione relativa ai propri trattamenti deve essere valutato distinguendo i documenti aziendali, i dati personali eventualmente affidati al consulente e gli elaborati professionali soggetti a specifiche condizioni contrattuali. Non è corretto presumere che qualsiasi materiale prodotto dal professionista debba essere automaticamente trasferito senza considerare il contenuto dell’accordo e la natura delle informazioni.
Un problema frequente riguarda la concentrazione della documentazione presso il consulente uscente. Registri dei trattamenti, informative, contratti con i responsabili esterni, valutazioni d’impatto, procedure interne e relazioni sulle verifiche possono trovarsi esclusivamente su una piattaforma gestita dal fornitore. Se l’azienda non possiede copie aggiornate o non dispone delle credenziali necessarie, la cessazione del rapporto può rendere difficoltosa la ricostruzione delle attività svolte. Occorre quindi individuare tempestivamente i documenti disponibili, quelli mancanti e le modalità per ottenerne una copia utilizzabile dal nuovo incaricato.
La situazione richiede maggiore attenzione quando il cambio di consulente GDPR deriva da presunti inadempimenti. La mancanza di aggiornamenti, l’assenza di verifiche documentate o il mancato riscontro alle richieste aziendali non dimostrano automaticamente una violazione professionale: è necessario confrontare le prestazioni effettivamente concordate con quelle eseguite. Se emergono carenze, consigliamo di conservarne traccia e di distinguere l’eventuale controversia contrattuale dall’esigenza immediata di ripristinare un’adeguata gestione della privacy.
Quando il precedente professionista non segue più l’impresa, può essere utile approfondire come riorganizzare il GDPR in caso di consulente privacy assente o inattivo. La cessazione dell’incarico, infatti, non dovrebbe tradursi in un periodo durante il quale nessuno controlla le richieste degli interessati, le scadenze operative o gli incidenti che coinvolgono dati personali.
Quali documenti GDPR trasferire al nuovo consulente e come organizzare il passaggio di consegne
Il passaggio di consegne tra consulenti privacy dovrebbe iniziare con la predisposizione di un inventario documentale. Il nuovo professionista deve poter comprendere quali trattamenti vengono effettuati dall’azienda, chi vi partecipa, quali misure sono state adottate e quali verifiche risultano ancora necessarie. Non è sufficiente ricevere una cartella contenente informative e modelli standard: occorre accertare che i documenti corrispondano all’organizzazione effettiva dell’impresa e siano coerenti tra loro.
Tra i materiali da esaminare rientrano, secondo le caratteristiche dei trattamenti, il registro delle attività di trattamento previsto dall’art. 30 GDPR, le informative rivolte a dipendenti, clienti e fornitori, le designazioni e le istruzioni impartite alle persone autorizzate, gli accordi con i responsabili del trattamento ai sensi dell’art. 28, le valutazioni d’impatto eventualmente necessarie e la documentazione relativa alle misure tecniche e organizzative. Devono essere considerati anche i criteri di conservazione, le procedure per gestire le richieste degli interessati, la documentazione delle violazioni dei dati personali e le evidenze delle attività formative o di controllo già svolte.
Non tutti questi documenti sono obbligatori indistintamente per ogni azienda. La loro necessità dipende dalla normativa applicabile, dalla natura dei trattamenti e dall’organizzazione del titolare. Per una verifica dei materiali da acquisire può essere utile consultare il nostro approfondimento sui documenti privacy obbligatori per le aziende, fermo restando che il fascicolo da trasferire deve essere definito sulla situazione concreta.
Particolare attenzione merita il registro dei trattamenti. Se il precedente consulente ha conservato una versione non aggiornata, il nuovo incaricato dovrà confrontarla con i processi aziendali effettivi, coinvolgendo i responsabili delle funzioni interessate. Un cambiamento nei software utilizzati, nei fornitori cloud, nelle modalità di gestione del personale o nelle attività commerciali può aver modificato i trattamenti rispetto a quelli originariamente censiti. La revisione deve quindi basarsi su informazioni raccolte presso l’impresa, secondo i criteri descritti nell’approfondimento dedicato a quando aggiornare il registro dei trattamenti.
Il trasferimento della documentazione richiede anche una verifica degli accessi informatici. Se il consulente uscente dispone di credenziali per piattaforme GDPR, archivi condivisi, sistemi di gestione dei consensi o altri ambienti contenenti dati personali, occorre stabilire quali autorizzazioni debbano essere revocate e quali debbano rimanere temporaneamente operative per completare le attività concordate. La consegna deve avvenire attraverso modalità sicure, evitando l’invio indiscriminato di archivi contenenti dati personali non necessari al nuovo incarico. Quando il professionista uscente tratta dati per conto dell’azienda quale responsabile ai sensi dell’art. 28 GDPR, devono essere rispettate anche le disposizioni contrattuali sulla restituzione o cancellazione dei dati al termine della prestazione, salvi gli obblighi di conservazione previsti dalla legge.
Riteniamo opportuno formalizzare il passaggio attraverso un verbale o una comunicazione riepilogativa che identifichi i documenti ricevuti, quelli ancora da consegnare, gli accessi trasferiti e le questioni rimaste aperte. Tale documento non costituisce un adempimento generalizzato imposto dal GDPR, ma rappresenta una misura organizzativa utile per ricostruire la continuità della gestione e attribuire correttamente le attività successive.
Il nuovo consulente dovrà poi distinguere la semplice presa in carico dalla verifica sostanziale della conformità. Ricevere documenti predisposti dal precedente professionista non significa averne accertato la correttezza. Quando emergono lacune o incongruenze, può essere necessario programmare un intervento di aggiornamento della documentazione privacy aziendale, stabilendo le priorità in base ai trattamenti effettivi, alle scadenze e ai rischi riscontrati.
Responsabilità, documenti mancanti e rischi GDPR durante la sostituzione del consulente
Una volta recuperata la documentazione disponibile, occorre verificare se il precedente incarico abbia lasciato attività incomplete o situazioni che richiedono un intervento immediato. Il principio di responsabilizzazione previsto dagli artt. 5, paragrafo 2, e 24 del GDPR impone al titolare del trattamento di adottare misure adeguate e di poter dimostrare il rispetto della normativa. Il cambio del consulente privacy non trasferisce automaticamente al nuovo professionista la responsabilità degli adempimenti aziendali, né libera il titolare dalle eventuali violazioni precedenti. Le responsabilità contrattuali o professionali dei consulenti devono essere valutate separatamente, considerando gli incarichi ricevuti, le attività effettivamente svolte e gli eventuali inadempimenti.
Quando il nuovo consulente individua un registro dei trattamenti incompleto, informative non aggiornate o accordi mancanti con fornitori che trattano dati personali per conto dell’impresa, deve anzitutto accertare la situazione effettiva. Non ogni documento mancante costituisce automaticamente una violazione sanzionabile: occorre verificare se l’adempimento fosse richiesto, se sia stato assolto attraverso altra documentazione e quali conseguenze possano derivare dalla carenza riscontrata. La stessa valutazione riguarda le misure di sicurezza, le procedure interne e le eventuali valutazioni d’impatto previste dall’art. 35 GDPR.
La priorità cambia quando risultano pendenti richieste di esercizio dei diritti degli interessati, reclami, incidenti di sicurezza o comunicazioni dell’Autorità di controllo. In questi casi il passaggio di consegne deve consentire di ricostruire le date di ricezione, le risposte già fornite e le scadenze applicabili. Per esempio, l’art. 12 GDPR prevede che il titolare fornisca riscontro alle richieste degli interessati senza ingiustificato ritardo e, comunque, entro un mese dal ricevimento, salve le condizioni previste per un’eventuale proroga. La sostituzione del consulente non determina una nuova decorrenza del termine.
Analoga attenzione è necessaria se durante il subentro emerge una violazione dei dati personali non ancora esaminata. Il nuovo professionista dovrà contribuire a ricostruire l’accaduto, individuare il momento in cui il titolare ne ha avuto conoscenza e valutare i presupposti della notifica al Garante ai sensi dell’art. 33 GDPR. Quando la notifica è dovuta, il termine ordinario è di 72 ore dalla conoscenza della violazione da parte del titolare, ove possibile; un eventuale ritardo deve essere motivato. La gestione operativa di queste situazioni è approfondita nel nostro articolo dedicato a cosa fare nelle prime 72 ore dopo un data breach aziendale.
Un ulteriore profilo riguarda il rapporto con il consulente uscente. Se la documentazione non viene consegnata, occorre formulare una richiesta precisa, individuando i materiali necessari e richiamando gli obblighi contrattuali applicabili. Qualora il professionista operi anche come responsabile del trattamento, l’art. 28, paragrafo 3, lettera g), GDPR prevede che, al termine della prestazione, i dati personali siano cancellati o restituiti, a scelta del titolare, salvo che il diritto dell’Unione o degli Stati membri ne imponga la conservazione. Tale disposizione non disciplina indistintamente la proprietà di ogni elaborato professionale, ma assume rilievo per i dati trattati nell’ambito del rapporto disciplinato dall’art. 28.
Se il mancato rilascio dei documenti impedisce all’azienda di ricostruire gli adempimenti o di rispondere a richieste dell’Autorità, può rendersi necessaria un’iniziativa formale nei confronti del precedente incaricato. Prima di contestare una responsabilità professionale, però, dobbiamo esaminare il contratto, le comunicazioni intercorse e le prestazioni pattuite. La presenza di irregolarità nella gestione GDPR non prova, da sola, che esse siano imputabili al consulente, poiché alcune attività richiedono informazioni, decisioni e risorse che devono provenire direttamente dall’organizzazione aziendale.
La verifica del subentro dovrebbe tradursi in un programma di intervento proporzionato alle criticità riscontrate, assegnando precedenza agli obblighi con scadenze pendenti, ai trattamenti che presentano rischi maggiori e alle carenze che incidono concretamente sulla protezione dei dati. Se l’impresa ha già ricevuto una richiesta del Garante, la ricostruzione documentale deve essere coordinata con la gestione del procedimento, evitando dichiarazioni non supportate da evidenze e ricostruzioni retroattive che possano risultare inesatte. In tali circostanze è opportuno valutare anche le modalità di risposta alle richieste di informazioni del Garante Privacy.
Esempio pratico: il passaggio di consegne in un’azienda con documentazione privacy incompleta
Consideriamo il caso esemplificativo di una società di servizi che decide di sostituire il proprio consulente GDPR dopo alcuni anni di collaborazione. Al momento del subentro, la direzione dispone delle informative utilizzate per clienti e dipendenti, ma non riesce a reperire l’ultima versione del registro dei trattamenti e non conosce lo stato degli accordi sottoscritti con alcuni fornitori informatici. Una parte dei documenti è conservata su una piattaforma accessibile soltanto al precedente consulente.
In una situazione di questo tipo, organizzeremmo inizialmente una ricognizione dei documenti presenti presso l’azienda, confrontandoli con le attività effettivamente svolte e con i rapporti contrattuali in essere. Parallelamente, esamineremmo le condizioni di cessazione dell’incarico e predisporremmo una richiesta circostanziata della documentazione mancante, concordando modalità sicure per il trasferimento dei file e per la revoca degli accessi non più necessari.
L’aspetto più delicato riguarderebbe la distinzione tra documenti non reperibili e adempimenti mai eseguiti. L’assenza di una copia presso la direzione, infatti, non dimostra necessariamente che il documento non sia mai stato predisposto. Soltanto dopo questa verifica sarebbe possibile definire quali materiali recuperare, quali aggiornare e quali attività avviare ex novo. Il passaggio verrebbe documentato attraverso un inventario e un piano di intervento condiviso con i referenti aziendali, mantenendo separata l’eventuale valutazione di responsabilità del precedente professionista dalla riorganizzazione operativa della gestione GDPR.
Domande frequenti sul cambio di consulente privacy aziendale
Possiamo cambiare consulente GDPR anche se il contratto non è ancora scaduto?
La possibilità di interrompere anticipatamente il rapporto dipende dalla natura dell’incarico e dalle clausole contrattuali applicabili. Occorre verificare eventuali termini di preavviso, condizioni di recesso e conseguenze economiche della cessazione. Prima di affidare formalmente l’attività a un nuovo professionista, consigliamo di definire le modalità di chiusura del precedente rapporto, evitando sovrapposizioni di incarichi o periodi nei quali alcune attività rimangano prive di un referente.
Il precedente consulente privacy può rifiutarsi di consegnare i documenti GDPR?
La risposta dipende dalla natura dei documenti, dal contratto e dal ruolo ricoperto dal professionista. I dati personali trattati per conto dell’azienda nell’ambito di un rapporto disciplinato dall’art. 28 GDPR sono soggetti alle regole di restituzione o cancellazione previste dalla normativa e dall’accordo applicabile. Per altri elaborati professionali occorre esaminare le condizioni contrattuali. Un rifiuto indiscriminato di consegnare materiali necessari alla gestione aziendale può richiedere una valutazione legale specifica.
Il nuovo consulente GDPR deve rifare tutta la documentazione privacy?
No. La sostituzione del consulente non comporta automaticamente l’obbligo di predisporre nuovamente ogni documento. È necessario verificare se le informative, il registro dei trattamenti, gli accordi con i fornitori e le procedure esistenti siano corretti e aggiornati. I documenti ancora adeguati possono essere mantenuti; quelli incompleti o non coerenti con l’organizzazione aziendale devono essere revisionati secondo le necessità effettive.
Come dobbiamo comportarci se il vecchio consulente non risponde e non abbiamo accesso alla documentazione?
Consigliamo di conservare le comunicazioni già inviate, formalizzare una richiesta dettagliata dei documenti e verificare le disposizioni contrattuali sulla loro restituzione. Nel frattempo, l’azienda dovrebbe ricostruire le informazioni disponibili attraverso i propri uffici e fornitori, dando priorità agli adempimenti con scadenze imminenti. Se il mancato passaggio di consegne provoca conseguenze concrete o impedisce di adempiere a obblighi normativi, può essere opportuno valutare una diffida e gli ulteriori rimedi applicabili.
Quanto costa affidare il passaggio di consegne GDPR a un nuovo consulente?
Il costo dipende dalla dimensione dell’impresa, dal numero e dalla complessità dei trattamenti, dalla documentazione disponibile e dalle attività necessarie per verificare eventuali irregolarità. Un subentro con documentazione ordinata richiede normalmente un lavoro diverso rispetto alla ricostruzione di un sistema privacy incompleto. Il preventivo dovrebbe distinguere la presa in carico, l’eventuale audit iniziale, gli aggiornamenti documentali e l’assistenza successiva, così da permettere all’azienda di conoscere le prestazioni comprese nell’incarico.
Cambiare consulente privacy: richiedere assistenza legale per il passaggio di consegne GDPR
La sostituzione del consulente privacy richiede particolare attenzione quando la documentazione aziendale è incompleta, il precedente professionista non collabora oppure occorre verificare adempimenti rimasti in sospeso. Un passaggio di consegne organizzato consente di individuare i documenti da recuperare, chiarire le responsabilità contrattuali e programmare le verifiche necessarie senza interrompere la gestione degli obblighi GDPR.
Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, assiste le imprese nella valutazione dei rapporti con i consulenti privacy, nella verifica della documentazione esistente e nell’organizzazione del subentro di un nuovo professionista. Esaminiamo le criticità in relazione alle caratteristiche dell’azienda, agli incarichi precedenti e agli obblighi concretamente applicabili.
Se la vostra azienda intende cambiare consulente GDPR oppure incontra difficoltà nel recupero della documentazione dal precedente incaricato, potete richiedere una valutazione legale per il passaggio di consegne e la gestione della privacy aziendale attraverso il modulo dedicato. Esamineremo la richiesta per individuare le questioni che necessitano di approfondimento e le possibili modalità di assistenza.
