Articolo a cura di: Redazione - Studio Legale Calvello
Le nomine privacy aziendali sono uno degli aspetti che più frequentemente richiedono una verifica quando un’impresa riorganizza il personale, affida servizi a fornitori esterni o aggiorna la propria documentazione GDPR. Il problema non consiste soltanto nell’avere lettere di incarico e contratti firmati: occorre individuare correttamente chi tratta i dati personali, con quale ruolo, sotto la responsabilità di quale soggetto e in base a quali istruzioni. Una designazione mancante, un accordo sottoscritto dal soggetto sbagliato o una qualificazione giuridica non coerente con l’attività effettivamente svolta possono esporre l’azienda a contestazioni. Per questo è opportuno verificare quali nomine siano realmente necessarie, chi abbia il potere di sottoscriverle e quando debbano essere aggiornate, soprattutto se la documentazione è stata predisposta anni prima o non rispecchia più l’organizzazione aziendale.
Quali nomine privacy servono realmente in azienda e come individuare quelle mancanti
Il Regolamento (UE) 2016/679 non impone a tutte le imprese un identico insieme di nomine privacy. Gli adempimenti dipendono dai trattamenti effettuati, dalle persone che vi accedono, dai rapporti con i fornitori e dall’eventuale obbligo di designare un Responsabile della protezione dei dati. Una società con personale amministrativo, ufficio commerciale, gestione delle risorse umane e servizi informatici esternalizzati deve quindi esaminare separatamente le diverse posizioni, evitando di utilizzare indistintamente la stessa lettera di incarico per dipendenti, consulenti e società fornitrici.
La prima distinzione riguarda il titolare del trattamento, che determina finalità e mezzi del trattamento dei dati personali. Nelle società tale ruolo compete normalmente alla persona giuridica, mentre il legale rappresentante agisce per suo conto secondo i poteri attribuiti. Il titolare deve organizzare i trattamenti e individuare le persone autorizzate a operare sotto la propria autorità. Gli articoli 29 e 32, paragrafo 4, del GDPR richiedono che tali persone trattino i dati secondo le istruzioni ricevute, salvo specifici obblighi di legge. L’articolo 2-quaterdecies del D.Lgs. 196/2003 disciplina ulteriormente l’attribuzione di funzioni e compiti a persone fisiche espressamente designate nell’ambito dell’assetto organizzativo.
Per i dipendenti che accedono ai dati di clienti, fornitori, colleghi o altri interessati occorre quindi predisporre un sistema di autorizzazioni e istruzioni coerente con le mansioni effettivamente svolte. Non è necessariamente richiesta dalla normativa europea una lettera individuale sottoscritta da ciascun dipendente, ma l’impresa deve poter dimostrare che l’accesso ai dati è stato correttamente organizzato e che il personale ha ricevuto istruzioni adeguate. Una designazione scritta, accompagnata da procedure e regole di accesso, costituisce frequentemente una soluzione documentale utile, soprattutto per le funzioni che trattano informazioni riservate o categorie particolari di dati.
Una situazione diversa si presenta quando l’azienda affida trattamenti a soggetti esterni che operano per suo conto. Se un fornitore tratta dati personali in qualità di responsabile del trattamento ai sensi dell’articolo 28 GDPR, il rapporto deve essere disciplinato da un contratto o altro atto giuridico vincolante che contenga gli elementi prescritti dalla disposizione. La semplice presenza di un contratto commerciale, di una fattura o di un’informativa privacy del fornitore non dimostra necessariamente che tale obbligo sia stato adempiuto. Occorre prima qualificare correttamente il rapporto, perché alcuni professionisti e fornitori possono operare come titolari autonomi e non come responsabili del trattamento.
La verifica comprende anche l’eventuale designazione del DPO o RPD, obbligatoria soltanto nelle ipotesi previste dall’articolo 37 GDPR o da specifiche disposizioni applicabili. La presenza di numerosi dipendenti, l’utilizzo di un software gestionale o l’esternalizzazione dei servizi informatici non rendono automaticamente necessaria questa figura. Quando la designazione è obbligatoria, oppure viene effettuata volontariamente, occorre rispettare i requisiti e le garanzie previsti dagli articoli 37-39 del Regolamento. La figura del DPO non deve essere confusa con quella del responsabile del trattamento, come approfondiamo nella nostra analisi sulle differenze tra titolare, responsabile e autorizzato al trattamento.
Un controllo delle nomine privacy aziendali deve partire dall’organigramma, dalle attività di trattamento e dai rapporti contrattuali effettivamente esistenti. Confrontando questi elementi con il registro dei trattamenti, le autorizzazioni del personale e gli accordi con i fornitori, possiamo individuare incarichi mancanti, documenti superati e attribuzioni di responsabilità che non corrispondono più all’organizzazione dell’impresa. Questa ricognizione permette di distinguere gli adempimenti normativamente richiesti dalle ulteriori misure organizzative che l’azienda può opportunamente adottare.
Chi deve firmare le nomine privacy: amministratore, dipendenti, fornitori e DPO
La sottoscrizione delle nomine privacy richiede di distinguere il soggetto giuridico che assume gli obblighi, la persona fisica autorizzata a rappresentarlo e il destinatario dell’incarico. Nelle società, gli atti riferibili al titolare del trattamento vengono normalmente sottoscritti dal legale rappresentante oppure da un soggetto munito di idonei poteri. Non è necessario che ogni documento sia personalmente firmato dall’amministratore delegato, se l’organizzazione societaria attribuisce validamente determinati poteri a procuratori o dirigenti. La delega deve però essere verificata rispetto alla natura dell’atto e ai poteri effettivamente conferiti.
Per le autorizzazioni dei dipendenti, la questione è diversa da quella dei contratti stipulati con soggetti esterni. Il GDPR non prescrive una specifica forma di accettazione individuale per ogni autorizzazione al trattamento. L’impresa deve assicurare che le istruzioni siano impartite, conosciute e concretamente applicate. La firma del lavoratore può essere utilizzata per documentare la ricezione delle istruzioni, ma non sostituisce la loro effettiva comunicazione né la predisposizione delle misure organizzative necessarie. Analogamente, l’assenza della firma del dipendente non comporta automaticamente l’invalidità dell’autorizzazione quando l’azienda dispone di altri elementi idonei a dimostrare l’attribuzione delle funzioni e la comunicazione delle istruzioni.
Occorre prestare particolare attenzione ai responsabili HR, ai responsabili informatici e ai dirigenti che possono accedere a quantità rilevanti di dati personali. La loro posizione non deve essere qualificata automaticamente come quella di responsabile del trattamento ai sensi dell’articolo 28 GDPR. Quando operano nell’organizzazione e sotto l’autorità della società titolare, possono ricevere funzioni, compiti e autorizzazioni interne, mentre la responsabilità del trattamento in senso tecnico riguarda un soggetto distinto che tratta dati personali per conto del titolare. Per le modalità di designazione del personale e la gestione delle istruzioni rimandiamo all’approfondimento sugli autorizzati al trattamento, nomina e controlli aziendali.
Nei rapporti con i fornitori esterni, invece, l’accordo previsto dall’articolo 28 GDPR deve vincolare giuridicamente il titolare e il responsabile del trattamento. Quando assume forma contrattuale, viene sottoscritto dalle parti attraverso i rispettivi rappresentanti o soggetti dotati dei necessari poteri. Il Regolamento ammette anche il formato elettronico. La validità dell’accordo non dipende necessariamente dalla presenza di una firma autografa su carta, ma dalla sua efficacia vincolante, dalla corretta individuazione delle parti e dalla possibilità di dimostrare gli obblighi assunti. Per un esame specifico delle disposizioni contrattuali rinviamo all’articolo dedicato al contratto ex articolo 28 GDPR e alle clausole obbligatorie.
La designazione del DPO richiede ulteriori verifiche. Se il responsabile della protezione dei dati è un professionista esterno, il relativo incarico deve essere formalizzato attraverso un rapporto giuridico adeguato, sottoscritto per l’azienda da chi dispone dei poteri necessari. Se il DPO è interno, occorre documentarne la designazione e assicurare che possa esercitare le funzioni previste dal GDPR con le necessarie garanzie di indipendenza. L’eventuale delibera del consiglio di amministrazione dipende anche dall’assetto societario e dalla distribuzione delle competenze interne: il GDPR non impone indistintamente una delibera consiliare per ogni designazione. Quando prevista, deve essere effettuata anche la comunicazione dei dati di contatto al Garante, secondo l’articolo 37, paragrafo 7. Per le imprese che devono verificare o formalizzare l’incarico abbiamo approfondito i requisiti e le responsabilità della nomina del DPO esterno.
La firma rappresenta dunque soltanto uno degli elementi da verificare. Un documento regolarmente sottoscritto può risultare inadeguato quando attribuisce al destinatario un ruolo giuridico errato, descrive trattamenti diversi da quelli effettivi o non contiene le istruzioni e le condizioni richieste. Viceversa, per le autorizzazioni interne, la prova dell’effettiva attribuzione dei compiti e della comunicazione delle istruzioni può assumere forme differenti. È proprio questa distinzione che rende necessario esaminare le nomine privacy insieme ai poteri societari, alle mansioni del personale e ai contratti con i fornitori, anziché limitarsi a controllare la presenza materiale delle firme.
Nomine privacy mancanti, non aggiornate o firmate dal soggetto sbagliato: rischi e modalità di regolarizzazione
Le irregolarità nelle nomine privacy aziendali emergono frequentemente quando cambiano le mansioni dei dipendenti, vengono introdotti nuovi software o si affidano attività a fornitori esterni senza aggiornare la documentazione. Un’impresa può disporre di numerose lettere di incarico e, contemporaneamente, non avere disciplinato correttamente l’accesso ai dati da parte del personale oppure il trattamento affidato a una società informatica. In queste situazioni, il problema non è soltanto documentale: la mancata corrispondenza tra ruoli formalizzati e attività effettive può compromettere la capacità dell’azienda di dimostrare il rispetto degli obblighi GDPR.
Il principio di responsabilizzazione previsto dall’articolo 5, paragrafo 2, e dall’articolo 24 del Regolamento (UE) 2016/679 impone al titolare di adottare misure adeguate e di essere in grado di dimostrarne l’effettiva applicazione. Questo significa che la semplice raccolta delle firme non è sufficiente quando mancano istruzioni operative, limitazioni degli accessi o accordi giuridicamente vincolanti con i responsabili esterni. Durante un controllo del Garante per la protezione dei dati personali, l’impresa può essere chiamata a documentare come abbia individuato i soggetti autorizzati, quali istruzioni abbia impartito e su quale base abbia affidato determinati trattamenti a terzi.
Le conseguenze devono essere valutate distinguendo le diverse violazioni. L’assenza di un accordo conforme all’articolo 28 GDPR, quando il rapporto presenta effettivamente le caratteristiche del trattamento per conto del titolare, può integrare un inadempimento degli obblighi previsti dal Regolamento. Diversamente, la mancanza della firma di un dipendente su una lettera di autorizzazione non costituisce automaticamente una violazione sanzionabile, se l’azienda può dimostrare attraverso altri strumenti che le istruzioni sono state correttamente impartite e che il trattamento avviene sotto la propria autorità. Occorre quindi evitare di equiparare qualsiasi imperfezione formale a una violazione sostanziale.
Per gli obblighi relativi agli articoli 25-39 GDPR, comprese le disposizioni applicabili alla designazione dei responsabili del trattamento e del DPO, l’articolo 83, paragrafo 4, prevede, nei casi pertinenti, sanzioni amministrative pecuniarie fino a 10 milioni di euro o, per le imprese, fino al 2% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore. Questi importi rappresentano massimali normativi e non sanzioni automatiche. La concreta valutazione dipende dalla violazione accertata, dalla sua gravità, dalle circostanze e dai criteri stabiliti dall’articolo 83. Altre condotte eventualmente riscontrate possono ricadere in differenti disposizioni sanzionatorie. La regolarizzazione successiva non elimina necessariamente una violazione già commessa, ma le misure correttive adottate possono assumere rilievo nella valutazione complessiva.
Quando riscontriamo nomine privacy incomplete o superate, la verifica deve iniziare dai trattamenti effettivamente svolti. Occorre confrontare le funzioni aziendali con le autorizzazioni esistenti, individuare chi dispone di accessi ai dati non coerenti con le mansioni e controllare se i fornitori siano stati correttamente qualificati come responsabili del trattamento o titolari autonomi. Particolare attenzione richiedono le società che gestiscono paghe, servizi cloud, manutenzione informatica e piattaforme digitali, poiché la qualificazione del rapporto dipende dalle attività concretamente affidate e non dalla denominazione utilizzata nel contratto commerciale. Per approfondire questa distinzione rimandiamo all’articolo sui fornitori che devono essere designati responsabili del trattamento.
La regolarizzazione può richiedere la predisposizione di nuove autorizzazioni, l’aggiornamento delle istruzioni, la revisione degli accordi contrattuali e la verifica dei poteri di firma. Quando cambia il legale rappresentante, non è necessariamente indispensabile sottoscrivere nuovamente tutti gli accordi validamente conclusi dalla società, poiché il titolare del trattamento può rimanere il medesimo soggetto giuridico. Diversa è la situazione in cui intervengano modifiche sostanziali dei trattamenti, dei fornitori, delle responsabilità o dell’organizzazione societaria. In questi casi occorre verificare quali documenti debbano essere aggiornati e quali rapporti richiedano una nuova formalizzazione.
Un ulteriore controllo riguarda la conservazione delle evidenze documentali. Le lettere di autorizzazione, le istruzioni consegnate, gli accordi con i responsabili esterni e le eventuali deleghe di firma devono essere reperibili e coerenti con le attività aziendali. È opportuno prevedere una procedura che colleghi l’aggiornamento delle autorizzazioni alle assunzioni, ai cambi di mansione, alla cessazione dei rapporti e all’introduzione di nuovi servizi. La documentazione deve essere riesaminata quando cambiano le circostanze rilevanti, senza presumere che tutte le nomine abbiano una scadenza annuale obbligatoria. Un controllo di questo tipo può essere integrato nell’audit privacy aziendale, così da individuare le irregolarità prima che emergano durante una contestazione o una richiesta dell’Autorità.
Esempio pratico: un’azienda scopre che le nomine privacy non corrispondono più alla propria organizzazione
Consideriamo il caso ipotetico di una società di servizi che, dopo aver ampliato il personale e sostituito il proprio gestionale, decide di verificare le nomine privacy predisposte alcuni anni prima. Dall’esame emerge che diversi dipendenti hanno cambiato mansione senza ricevere istruzioni aggiornate, mentre il nuovo fornitore informatico accede ai dati dei clienti e del personale sulla base di un contratto commerciale privo delle disposizioni richieste dall’articolo 28 GDPR. Alcune lettere interne qualificano inoltre i responsabili di reparto come responsabili del trattamento, senza distinguere correttamente le funzioni organizzative interne dai rapporti con soggetti esterni.
In una situazione simile, l’intervento professionale consiste anzitutto nel ricostruire i flussi dei dati e verificare le attività effettivamente svolte. Le autorizzazioni del personale vengono riesaminate in relazione alle mansioni, mentre il rapporto con il fornitore informatico viene valutato per stabilire gli obblighi contrattuali applicabili. L’aspetto che richiede maggiore attenzione è la corretta attribuzione dei ruoli: predisporre nuovi documenti senza chiarire chi determina le finalità del trattamento e chi opera per conto dell’azienda rischierebbe di riprodurre le stesse irregolarità. Una volta definito l’assetto organizzativo, è possibile aggiornare gli incarichi, formalizzare gli accordi necessari e introdurre una procedura per mantenerli coerenti con le successive modifiche aziendali.
Domande frequenti sulle nomine privacy aziendali
Le nomine privacy devono essere firmate obbligatoriamente da tutti i dipendenti?
Il GDPR non impone una firma individuale obbligatoria per ogni autorizzazione al trattamento. L’azienda deve però dimostrare che il personale opera sotto la propria autorità e ha ricevuto istruzioni adeguate. La sottoscrizione della lettera di autorizzazione è uno strumento utile per documentarne la ricezione, ma possono essere utilizzate anche altre modalità verificabili, purché coerenti con l’organizzazione aziendale.
Il responsabile HR o il direttore amministrativo possono firmare le nomine privacy?
Sì, quando dispongono di poteri idonei rispetto agli atti da sottoscrivere. Per le autorizzazioni interne possono essere previste specifiche competenze organizzative, mentre la conclusione di contratti con responsabili esterni richiede poteri adeguati a vincolare la società. La sola qualifica di responsabile HR o direttore amministrativo non attribuisce automaticamente il potere di sottoscrivere qualsiasi accordo privacy.
Le nomine privacy devono essere rinnovate ogni anno?
Non esiste un obbligo generale di rinnovo annuale di tutte le nomine GDPR. Le autorizzazioni e gli accordi devono rimanere coerenti con i trattamenti effettivi. Un aggiornamento può diventare necessario quando cambiano le mansioni, i fornitori, le attività affidate o le condizioni contrattuali. È comunque opportuno prevedere verifiche periodiche per individuare tempestivamente eventuali documenti non più adeguati.
Cosa succede se un fornitore tratta dati personali senza aver firmato la nomina privacy?
Occorre innanzitutto verificare se il fornitore operi effettivamente come responsabile del trattamento ai sensi dell’articolo 28 GDPR. In tal caso deve esistere un contratto o altro atto giuridico vincolante conforme alla disposizione. L’assenza di un accordo valido può costituire una violazione degli obblighi del Regolamento, anche quando il servizio viene prestato regolarmente. Non è però indispensabile in ogni caso una firma autografa, purché il rapporto sia giuridicamente vincolante e documentabile.
Un’azienda può regolarizzare le nomine privacy mancanti prima di un’ispezione del Garante?
Sì. L’impresa può verificare e aggiornare la documentazione anche quando non ha ricevuto contestazioni. La regolarizzazione deve riguardare gli effettivi rapporti di trattamento e non limitarsi alla predisposizione retroattiva di lettere o contratti. Gli interventi correttivi non cancellano automaticamente eventuali violazioni pregresse, ma permettono di affrontare le carenze individuate e documentare le misure successivamente adottate.
Nomine privacy aziendali incomplete o non aggiornate: richiedi una valutazione legale
Se la vostra azienda dispone di nomine privacy predisposte anni fa, ha modificato la propria organizzazione oppure non è certa che dipendenti, dirigenti e fornitori siano stati correttamente autorizzati o designati, è opportuno verificare la documentazione prima di procedere con nuove sottoscrizioni. Una valutazione giuridica delle nomine GDPR consente di individuare gli obblighi applicabili, verificare i poteri di firma e stabilire quali incarichi o accordi debbano essere predisposti o aggiornati.
Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, assiste le imprese nell’organizzazione degli adempimenti privacy, nella verifica delle responsabilità e nella revisione della documentazione contrattuale e aziendale. Per sottoporre il vostro caso allo Studio, richiedete una valutazione delle nomine privacy aziendali attraverso il modulo dedicato, indicando le principali criticità riscontrate. Esamineremo la richiesta per valutare la possibilità di un intervento professionale adeguato alla situazione dell’impresa.
