Articolo a cura di: Redazione - Studio Legale Calvello

La nostra azienda deve avere un DPO oppure possiamo gestire la privacy senza nominare un Responsabile della protezione dei dati? È una domanda che molti imprenditori si pongono quando devono verificare la conformità al GDPR, affrontare un controllo, acquisire nuovi clienti o introdurre sistemi informatici che comportano il trattamento di grandi quantità di dati personali.

La risposta non dipende semplicemente dal numero dei dipendenti, dal fatturato o dalla forma societaria. Il Regolamento (UE) 2016/679 individua specifiche condizioni che rendono obbligatoria la designazione del Data Protection Officer (DPO), denominato anche Responsabile della protezione dei dati (RPD). Un’impresa può essere tenuta a nominare il DPO anche se ha dimensioni contenute, mentre una società strutturata potrebbe non rientrare nei casi di obbligatorietà. Per stabilirlo occorre esaminare concretamente le attività svolte e le caratteristiche dei trattamenti.

Una valutazione errata può esporre l’azienda a contestazioni del Garante per la protezione dei dati personali. Per questo, quando sussistono dubbi sull’applicazione dell’articolo 37 GDPR, è opportuno effettuare una verifica documentata prima di decidere se procedere alla nomina o motivarne la non obbligatorietà.

Come capire se la nostra azienda è obbligata a nominare un DPO

Il primo errore da evitare consiste nel ritenere che tutte le aziende soggette al GDPR debbano necessariamente avere un DPO. Il Regolamento distingue gli obblighi generali in materia di protezione dei dati dall’obbligo specifico di designare un Responsabile della protezione dei dati. Quest’ultimo ricorre nelle situazioni individuate dall’articolo 37, paragrafo 1, del GDPR, ferme restando eventuali ulteriori disposizioni applicabili.

Per le imprese private, la verifica riguarda soprattutto due ipotesi: quando le attività principali del titolare o del responsabile del trattamento consistono in operazioni che richiedono il monitoraggio regolare e sistematico degli interessati su larga scala; oppure quando le attività principali consistono nel trattamento, su larga scala, di categorie particolari di dati personali ai sensi dell’articolo 9 GDPR o di dati relativi a condanne penali e reati ai sensi dell’articolo 10.

Un’ulteriore ipotesi riguarda il trattamento effettuato da un’autorità pubblica o da un organismo pubblico, fatta eccezione per le autorità giurisdizionali nell’esercizio delle loro funzioni giurisdizionali. Anche le società che operano in ambiti collegati ai servizi pubblici devono quindi verificare la propria qualificazione giuridica e l’eventuale applicazione di disposizioni specifiche, senza presumere che qualsiasi rapporto contrattuale con una pubblica amministrazione comporti automaticamente l’obbligo di nomina.

Per stabilire se il DPO è obbligatorio, dobbiamo partire dalle attività effettivamente svolte dall’impresa. Non basta consultare l’oggetto sociale o considerare il settore economico di appartenenza. Occorre comprendere quali dati vengono raccolti, per quali finalità, con quale continuità, su quanti interessati e attraverso quali sistemi organizzativi e tecnologici.

Consideriamo una società che utilizza un gestionale per amministrare i rapporti con i dipendenti, emettere fatture e conservare i dati dei fornitori. Queste attività comportano obblighi GDPR, ma non determinano automaticamente la necessità di nominare un DPO. Diversa può essere la situazione di un’impresa la cui attività principale consiste nel monitorare sistematicamente il comportamento di un numero elevato di utenti, oppure nel trattare dati sanitari su larga scala.

La distinzione riguarda anche le piccole e medie imprese. Non esiste una soglia generale di fatturato o di dipendenti oltre la quale il DPO diventa automaticamente obbligatorio. Un’azienda con pochi lavoratori potrebbe svolgere trattamenti che rientrano nell’articolo 37, mentre una società con un organico numeroso potrebbe effettuare prevalentemente trattamenti amministrativi e gestionali che, considerati nel loro concreto contesto, non integrano le condizioni previste dalla norma.

La presenza di videosorveglianza, sistemi di geolocalizzazione, strumenti di profilazione commerciale, archivi sanitari o piattaforme digitali richiede un’attenzione particolare. Nessuno di questi elementi, considerato isolatamente, consente però di affermare sempre che il DPO sia obbligatorio. La valutazione deve riguardare il rapporto tra il trattamento, l’attività principale dell’organizzazione e gli ulteriori requisiti stabiliti dal GDPR.

Per le aziende che desiderano approfondire il quadro normativo generale, abbiamo dedicato un’analisi specifica a quando un’azienda è obbligata a nominare il DPO. Il problema operativo rimane stabilire se quelle condizioni ricorrano effettivamente nella propria organizzazione e quali elementi possano documentare la valutazione compiuta.

Quali verifiche effettuare sui trattamenti aziendali prima di decidere

Una verifica attendibile dell’obbligo di nomina richiede di ricostruire le attività di trattamento dell’impresa. Il punto di partenza è normalmente il registro delle attività di trattamento previsto dall’articolo 30 GDPR, quando disponibile, integrato dall’esame dei processi aziendali, dei sistemi informatici e dei rapporti con eventuali responsabili esterni. L’assenza del registro, quando obbligatorio, costituisce una questione distinta che deve essere affrontata nell’ambito della verifica di conformità.

La prima valutazione riguarda il concetto di attività principale. Secondo l’interpretazione delle autorità europee di protezione dei dati, non si tratta soltanto dell’attività formalmente indicata nello statuto, ma delle operazioni essenziali per conseguire gli obiettivi dell’organizzazione. Un’impresa sanitaria che eroga prestazioni cliniche tratta dati relativi alla salute nell’ambito delle proprie attività principali. Un’azienda manifatturiera che conserva certificati medici per gli adempimenti relativi al personale svolge invece un trattamento che, normalmente, ha natura accessoria rispetto alla produzione industriale.

Questa distinzione non può essere applicata meccanicamente. Occorre esaminare il modello operativo dell’impresa e verificare se il trattamento dei dati costituisca una componente essenziale del servizio offerto. Per una società che gestisce informazioni personali per conto di altre organizzazioni, ad esempio, l’analisi deve considerare anche la sua posizione di responsabile del trattamento: l’articolo 37 può infatti trovare applicazione tanto al titolare quanto al responsabile.

Il secondo elemento è la larga scala del trattamento. Il GDPR non stabilisce un numero unico di interessati oltre il quale tale requisito si considera soddisfatto. Le indicazioni europee richiedono di considerare, tra gli altri fattori, il numero delle persone coinvolte, il volume e la varietà dei dati, la durata delle operazioni e l’estensione geografica del trattamento.

Un’impresa che conserva occasionalmente informazioni sanitarie relative a pochi soggetti presenta caratteristiche differenti da una struttura che gestisce stabilmente archivi clinici relativi a un numero elevato di pazienti. Anche l’utilizzo di sistemi informatici complessi, da solo, non equivale necessariamente a un trattamento su larga scala. È l’insieme delle circostanze concrete che consente di qualificare correttamente l’attività.

Il terzo elemento riguarda il monitoraggio regolare e sistematico degli interessati. Possono assumere rilievo, a seconda delle modalità operative, le attività di tracciamento dei comportamenti online, la profilazione continuativa, alcuni sistemi di monitoraggio delle persone e i servizi basati sull’osservazione sistematica degli utenti. Per determinare l’obbligo di DPO ai sensi dell’articolo 37, paragrafo 1, lettera b), queste operazioni devono però costituire attività principali dell’organizzazione ed essere effettuate su larga scala.

La verifica deve comprendere anche le categorie particolari di dati personali. Informazioni sulla salute, dati biometrici trattati per identificare univocamente una persona e altre categorie individuate dall’articolo 9 GDPR possono rendere necessaria la nomina quando il relativo trattamento su larga scala costituisce un’attività principale. Analoga attenzione richiedono i dati relativi a condanne penali e reati. La semplice presenza di alcuni dati particolari negli archivi aziendali non è sufficiente, di per sé, a determinare l’obbligo.

Un ulteriore passaggio consiste nell’esaminare i cambiamenti intervenuti nell’organizzazione. L’acquisizione di una società, l’apertura di nuove sedi, l’introduzione di una piattaforma digitale, l’ampliamento dei servizi o l’avvio di trattamenti prima inesistenti possono modificare le condizioni sulla base delle quali era stata esclusa la necessità del DPO. Una valutazione effettuata anni prima potrebbe quindi non descrivere più la situazione attuale.

Quando l’impresa appartiene a un gruppo societario, la verifica deve considerare le attività e le responsabilità delle singole società. La possibilità di designare un unico DPO di gruppo, prevista dall’articolo 37, paragrafo 2, non significa che l’obbligo possa essere valutato indistintamente per tutte le controllate. Occorre individuare le società tenute alla designazione e assicurare, nel caso di incarico comune, che il DPO sia facilmente raggiungibile da ciascuno stabilimento.

Per ricostruire correttamente questi elementi può essere necessario verificare e aggiornare il registro dei trattamenti, confrontando la documentazione con le operazioni realmente svolte dai reparti aziendali. La verifica dell’obbligo di DPO non deve infatti basarsi su modelli standardizzati o dichiarazioni generiche, ma su informazioni attendibili relative all’organizzazione.

Quali rischi corre l’azienda se non nomina il DPO quando è obbligatorio

Quando ricorrono le condizioni previste dall’articolo 37 GDPR, la designazione del Responsabile della protezione dei dati costituisce un obbligo giuridico. La sua inosservanza può essere contestata dal Garante per la protezione dei dati personali, anche indipendentemente dall’accertamento di una violazione dei dati o di un danno subito dagli interessati. È quindi importante distinguere la mancata nomina del DPO dalle altre irregolarità che possono emergere nella gestione della privacy aziendale.

L’articolo 83, paragrafo 4, lettera a), del GDPR include le violazioni degli obblighi previsti dagli articoli 37, 38 e 39 tra quelle soggette al regime sanzionatorio amministrativo fino a 10 milioni di euro oppure, per le imprese, fino al 2% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore. Questi importi rappresentano i limiti massimi previsti dalla normativa, non una sanzione automatica applicabile a ogni azienda priva di DPO. La determinazione dell’eventuale sanzione richiede la valutazione delle circostanze concrete secondo i criteri dell’articolo 83 GDPR, nel rispetto delle disposizioni applicabili.

Il problema può emergere durante un’ispezione, in seguito a un reclamo oppure nell’ambito di una richiesta di informazioni rivolta all’impresa. In tali circostanze, l’autorità può verificare quali trattamenti siano effettuati, se ricorrano i presupposti dell’obbligo e per quali ragioni l’azienda abbia deciso di non designare un DPO. Una semplice dichiarazione secondo cui la società è troppo piccola o non tratta dati particolarmente delicati potrebbe non essere sufficiente a giustificare la scelta.

Per questo consigliamo di conservare una valutazione motivata e documentata dell’obbligo di nomina, soprattutto quando le attività aziendali presentano caratteristiche che rendono dubbia l’applicazione dell’articolo 37. Il documento dovrebbe descrivere i trattamenti esaminati, le attività principali dell’organizzazione, i criteri utilizzati per valutare la larga scala e il monitoraggio degli interessati, nonché le ragioni giuridiche della decisione. Non esiste un modello unico obbligatorio per tutte le imprese, ma la possibilità di ricostruire il percorso valutativo è coerente con il principio di responsabilizzazione previsto dall’articolo 5, paragrafo 2, GDPR.

Occorre prestare attenzione anche alla situazione opposta: un’azienda potrebbe aver formalmente nominato un DPO senza aver verificato che il professionista disponga delle competenze, dell’indipendenza e delle risorse necessarie. Gli articoli 37, 38 e 39 GDPR disciplinano infatti non soltanto la designazione, ma anche la posizione e i compiti del Responsabile della protezione dei dati. Una nomina puramente formale non risolve eventuali carenze organizzative e può determinare ulteriori criticità. Abbiamo approfondito questo problema nell’articolo dedicato al DPO assente o solo formale e ai rischi per l’azienda.

Se la verifica interna accerta che il DPO avrebbe dovuto essere nominato, l’impresa deve affrontare la situazione senza ritardi ingiustificati. Occorre ricostruire le attività interessate, individuare i requisiti dell’incarico, verificare eventuali incompatibilità e procedere alla designazione secondo le modalità previste dal GDPR. La successiva nomina non elimina automaticamente una violazione già verificatasi, ma costituisce un intervento necessario per regolarizzare l’organizzazione rispetto all’obbligo accertato.

La decisione richiede particolare attenzione quando l’azienda ha già ricevuto una comunicazione del Garante oppure è coinvolta in un procedimento di controllo. In questi casi dobbiamo valutare separatamente la sussistenza dell’obbligo, l’eventuale periodo di inosservanza, la documentazione disponibile e le modalità di interlocuzione con l’autorità. Per le imprese che devono affrontare verifiche ispettive abbiamo predisposto anche un approfondimento sull’ispezione del Garante Privacy in azienda e sulle possibilità di assistenza legale.

Se invece dall’analisi risulta che la designazione non è obbligatoria, l’impresa rimane comunque tenuta a rispettare gli altri adempimenti GDPR applicabili. La mancata obbligatorietà del DPO non esonera il titolare dall’adozione di misure tecniche e organizzative adeguate, dalla corretta gestione dei rapporti con i responsabili del trattamento e dalla valutazione dei rischi connessi alle proprie attività. La scelta di avvalersi di un consulente privacy oppure di nominare volontariamente un DPO deve essere distinta dalla verifica dell’obbligo legale.

Un esempio pratico: azienda che deve verificare se nominare un DPO dopo l’ampliamento delle attività

Consideriamo, a titolo esemplificativo, una società di servizi che inizialmente gestisce soltanto dati amministrativi relativi ai propri dipendenti, clienti e fornitori. Con la crescita dell’attività, l’impresa acquisisce nuovi contratti e introduce una piattaforma informatica attraverso la quale tratta continuativamente dati personali per conto di numerose aziende clienti. L’amministratore si domanda se la precedente decisione di non nominare un DPO sia ancora corretta.

In una situazione di questo tipo, la verifica professionale partirebbe dall’esame dei contratti, dei servizi effettivamente erogati, delle categorie di dati trattati e delle caratteristiche della piattaforma. Particolare attenzione dovrebbe essere riservata alla posizione della società quale eventuale responsabile del trattamento, alla natura delle attività principali e alla possibilità che le operazioni effettuate integrino un monitoraggio regolare e sistematico su larga scala oppure un trattamento su larga scala delle categorie di dati previste dall’articolo 37.

L’esito dipenderebbe dalle caratteristiche concrete del servizio. Qualora emergessero i presupposti dell’obbligo, sarebbe necessario procedere alla designazione del DPO e organizzare le condizioni per l’effettivo svolgimento dell’incarico. In caso contrario, la società potrebbe documentare le ragioni della mancata nomina, prevedendo una nuova verifica in occasione di ulteriori modifiche dell’attività. Il passaggio determinante non sarebbe quindi la crescita dimensionale in sé, ma il cambiamento della natura e della portata dei trattamenti effettuati.

Domande frequenti sulla verifica dell’obbligo di nomina del DPO

Un’azienda con meno di 50 dipendenti deve nominare il DPO?

Il numero dei dipendenti non costituisce, da solo, un criterio per stabilire l’obbligo. Anche un’impresa con meno di 50 lavoratori può essere tenuta alla designazione se le sue attività principali comportano trattamenti che soddisfano le condizioni dell’articolo 37 GDPR. Occorre verificare la natura dei dati, le finalità del trattamento, l’eventuale monitoraggio degli interessati e la sua dimensione.

Se la nostra azienda tratta dati sanitari, il DPO è sempre obbligatorio?

No. La presenza di dati relativi alla salute non determina automaticamente l’obbligo di nomina. Ai sensi dell’articolo 37, paragrafo 1, lettera c), GDPR, occorre verificare se il trattamento su larga scala di categorie particolari di dati costituisca un’attività principale dell’organizzazione. La valutazione può essere particolarmente delicata per strutture sanitarie, società che gestiscono informazioni cliniche e imprese che erogano servizi basati sull’elaborazione di dati sanitari.

Chi deve dimostrare che l’azienda non era obbligata a nominare un DPO?

Il titolare o il responsabile del trattamento deve essere in grado di giustificare le proprie scelte organizzative in relazione agli obblighi GDPR applicabili. Sebbene non sia previsto un documento standard obbligatorio denominato “certificazione di esenzione dal DPO”, è opportuno conservare una valutazione scritta che descriva i trattamenti esaminati e le ragioni per cui non ricorrono le condizioni dell’articolo 37. Questa documentazione può assumere rilievo durante un controllo del Garante.

Se un cliente o un committente ci chiede il nominativo del DPO, siamo obbligati a nominarlo?

La richiesta di un cliente non determina automaticamente l’esistenza dell’obbligo previsto dal GDPR. Occorre distinguere tra obbligo normativo e requisiti eventualmente stabiliti nei rapporti contrattuali. Se la società non è tenuta alla designazione, può essere necessario chiarire al committente le ragioni della scelta e verificare se il contratto preveda specifici impegni organizzativi. L’eventuale designazione volontaria deve comunque rispettare le disposizioni applicabili al DPO.

Quanto spesso dobbiamo verificare se il DPO è diventato obbligatorio?

Il GDPR non stabilisce una periodicità generale per ripetere questa specifica valutazione. È opportuno riesaminarla quando cambiano le attività principali, vengono introdotti nuovi trattamenti, aumenta sensibilmente la portata delle operazioni oppure intervengono acquisizioni e riorganizzazioni societarie. Per le imprese con trattamenti complessi può essere utile integrare tale verifica nei controlli periodici di conformità privacy.

Studio Legale Calvello: richiedere una valutazione sull’obbligo di nominare il DPO

Stabilire se un’azienda debba nominare un Responsabile della protezione dei dati richiede un esame delle attività effettivamente svolte e dei criteri previsti dall’articolo 37 GDPR. Una valutazione basata esclusivamente sulle dimensioni dell’impresa o sulla tipologia generale dei dati trattati può condurre a decisioni non corrette, con conseguenze anche nei rapporti con il Garante Privacy.

Lo Studio Legale Calvello, con oltre 25 anni di esperienza nell’assistenza legale, affianca le imprese nell’esame degli obblighi di protezione dei dati personali, nella valutazione della necessità di designare un DPO e nell’individuazione delle soluzioni organizzative coerenti con le caratteristiche dell’attività aziendale.

Se la vostra società non ha mai verificato formalmente l’obbligo di nomina, ha modificato i propri trattamenti oppure deve affrontare una richiesta di chiarimenti sulla presenza del DPO, possiamo esaminare la situazione e valutare gli interventi necessari.

Richiedi una valutazione sull’obbligo di nominare un DPO per la tua azienda attraverso il modulo dedicato. Lo Studio esaminerà la richiesta per individuare le esigenze professionali e le possibili modalità di assistenza.