Articolo a cura di: Redazione - Studio Legale Calvello

Cambiare DPO, ossia il Responsabile della Protezione dei Dati (RPD), può diventare necessario quando il professionista incaricato non assicura un supporto adeguato, emergono conflitti di interessi, il rapporto contrattuale si interrompe oppure le esigenze dell’impresa richiedono competenze diverse. La sostituzione deve essere gestita con attenzione: occorre verificare le condizioni di cessazione dell’incarico, garantire la continuità della funzione, organizzare il passaggio della documentazione e aggiornare i dati comunicati al Garante Privacy. Una transizione improvvisata può lasciare irrisolte attività delicate, soprattutto in presenza di violazioni dei dati, verifiche ispettive o criticità GDPR già individuate. In queste situazioni, l’assistenza di un professionista esperto permette di valutare le modalità di sostituzione e gli adempimenti necessari in relazione alla concreta organizzazione aziendale.

Quando è opportuno cambiare DPO e quali problemi devono indurre l’azienda a valutare la sostituzione

La decisione di sostituire il DPO aziendale dovrebbe partire da una valutazione delle attività effettivamente svolte e della capacità del professionista di esercitare le funzioni previste dal Regolamento (UE) 2016/679. Il DPO non è il soggetto che assume al posto dell’impresa le decisioni sui trattamenti dei dati personali, ma deve informare e consigliare il titolare, sorvegliare l’osservanza della normativa, fornire pareri sulla valutazione d’impatto quando richiesto e cooperare con l’autorità di controllo.

Un primo motivo di insoddisfazione può emergere quando il DPO esterno non risponde alle richieste aziendali, non partecipa alle attività per le quali il suo coinvolgimento è necessario oppure non segnala criticità che avrebbe ragionevolmente dovuto rilevare nell’esercizio dei propri compiti. Occorre però distinguere l’inadempimento professionale dalla mancata esecuzione di attività che non rientrano nell’incarico. Il DPO svolge una funzione di consulenza e sorveglianza: la predisposizione materiale di ogni documento privacy, l’implementazione delle misure di sicurezza e la gestione operativa di tutti gli adempimenti non sono automaticamente obblighi personali del DPO.

Per questo, prima di procedere alla revoca, consigliamo di esaminare il contratto, le relazioni eventualmente prodotte, le richieste rimaste senza riscontro e le attività concretamente concordate. Se il problema riguarda un servizio insufficiente o un rapporto ormai compromesso, può essere opportuno valutare la sostituzione. Se invece dipende dall’assenza di risorse aziendali, da responsabilità interne non definite o da aspettative estranee alla funzione, il cambio del professionista potrebbe non risolvere le difficoltà organizzative.

Particolare attenzione merita il caso del DPO assente o nominato soltanto formalmente. La designazione non può ridursi all’indicazione di un nominativo nei documenti aziendali. Gli articoli 38 e 39 GDPR richiedono che il responsabile sia coinvolto tempestivamente nelle questioni riguardanti la protezione dei dati, disponga delle risorse necessarie e possa svolgere i propri compiti con indipendenza. Per comprendere le conseguenze di una funzione priva di effettività, abbiamo approfondito il tema nell’articolo DPO assente o solo formale: quali rischi corre l’azienda.

Un’altra ragione per valutare il cambio riguarda il conflitto di interessi. Il GDPR consente al DPO di svolgere altri compiti, purché questi non compromettano la sua indipendenza. Il problema si presenta, ad esempio, quando il professionista ricopre contemporaneamente una posizione che comporta la determinazione delle finalità e dei mezzi dei trattamenti che dovrebbe sorvegliare. La verifica deve riguardare le funzioni concretamente esercitate, senza presumere che ogni cumulo di incarichi sia automaticamente incompatibile.

La sostituzione può dipendere anche da circostanze non patologiche: scadenza del contratto, dimissioni del professionista, riorganizzazione societaria, acquisizione di altre imprese, aumento della complessità dei trattamenti o decisione di passare da un DPO interno a un servizio esterno. In questi casi, l’obiettivo è individuare una soluzione proporzionata alle caratteristiche dell’organizzazione, evitando interruzioni nelle attività di sorveglianza e consulenza.

Quando il problema consiste soprattutto nella mancanza di risposte o nella scarsa partecipazione del professionista alla vita aziendale, è utile distinguere le iniziative correttive dalla cessazione definitiva del rapporto. Abbiamo esaminato queste situazioni nell’approfondimento Il DPO non risponde o non segue l’azienda: cosa fare.

Revoca dell’incarico, scelta del nuovo DPO e organizzazione del passaggio di consegne

Una volta accertata l’opportunità di cambiare responsabile della protezione dei dati, l’impresa deve affrontare due questioni distinte: la legittima cessazione del precedente incarico e l’organizzazione del subentro. La prima richiede un esame delle condizioni contrattuali e delle garanzie previste dal GDPR; la seconda riguarda la continuità operativa della funzione e il trasferimento ordinato delle informazioni necessarie al nuovo professionista.

L’articolo 38, paragrafo 3, GDPR stabilisce che il DPO non può essere rimosso o penalizzato dal titolare o dal responsabile del trattamento per l’adempimento dei propri compiti. Questa tutela impedisce che la revoca venga utilizzata come reazione a pareri indipendenti, segnalazioni di irregolarità o valutazioni professionali sgradite alla direzione aziendale. Non significa, invece, che l’incarico sia irrevocabile o che il professionista non possa essere sostituito per ragioni legittime, estranee all’esercizio indipendente delle sue funzioni.

Nel caso di un DPO esterno, occorre verificare durata dell’incarico, clausole di recesso, termini di preavviso, eventuali penali, obblighi di collaborazione alla cessazione e modalità di restituzione della documentazione. Se il rapporto presenta gravi inadempimenti, devono essere valutati i presupposti giuridici degli eventuali rimedi contrattuali, evitando di considerare automaticamente legittima una risoluzione immediata. Quando il DPO è un dipendente, entrano in gioco anche le regole applicabili al rapporto di lavoro e la distinzione tra revoca della funzione e cessazione del rapporto lavorativo.

La scelta del nuovo professionista dovrebbe precedere, quando possibile, la cessazione effettiva dell’incarico precedente. L’articolo 37, paragrafo 5, GDPR richiede che il DPO sia designato in funzione delle qualità professionali, della conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati e della capacità di assolvere i compiti previsti dall’articolo 39. Per un’impresa che tratta dati sanitari, utilizza sistemi complessi di profilazione o gestisce numerosi fornitori tecnologici, la valutazione deve considerare anche la competenza rispetto ai trattamenti concretamente effettuati.

Nel predisporre il nuovo incarico è opportuno definire con precisione le attività comprese nel servizio, le modalità di accesso alle informazioni, i referenti interni, i tempi di riscontro, le riunioni periodiche e le procedure di coinvolgimento nelle situazioni urgenti. Un contratto che si limiti a prevedere genericamente la nomina del DPO può generare incomprensioni sulle prestazioni attese. Le questioni contrattuali sono trattate più estesamente nell’articolo Contratto con il DPO esterno: clausole essenziali e rischi da evitare.

Il passaggio di consegne tra DPO uscente e nuovo DPO deve consentire a quest’ultimo di conoscere lo stato effettivo della gestione privacy. È opportuno predisporre un inventario della documentazione disponibile, comprendente il registro delle attività di trattamento, le valutazioni d’impatto, le relazioni e i pareri del precedente DPO, le eventuali criticità segnalate, gli audit effettuati e le questioni ancora aperte. Devono essere individuate anche le richieste degli interessati non concluse, le violazioni dei dati in corso di gestione e le comunicazioni con il Garante Privacy.

Non tutta la documentazione aziendale deve necessariamente essere detenuta dal DPO uscente. Il registro dei trattamenti, ad esempio, è un adempimento che ricade sul titolare o sul responsabile del trattamento nei casi previsti dall’articolo 30 GDPR. La sostituzione costituisce quindi anche l’occasione per verificare che l’impresa abbia effettiva disponibilità dei propri documenti e non dipenda esclusivamente dagli archivi personali del consulente precedente.

La trasmissione delle informazioni deve rispettare i principi di riservatezza, minimizzazione e sicurezza. Occorre definire quali documenti debbano essere consegnati, attraverso quali strumenti, chi possa accedervi e quali credenziali debbano essere disabilitate alla cessazione del rapporto. Eventuali controversie con il professionista uscente non dovrebbero impedire all’impresa di organizzare tempestivamente la propria funzione di protezione dei dati.

Una volta formalizzata la nuova designazione, l’azienda dovrà anche aggiornare i dati di contatto del DPO e provvedere agli adempimenti di comunicazione e pubblicazione previsti dall’articolo 37, paragrafo 7, GDPR. Questi aspetti devono essere coordinati con la data effettiva del subentro, soprattutto quando la designazione del responsabile è obbligatoria e l’impresa deve assicurare la continuità della funzione.

Obblighi GDPR, comunicazione al Garante e responsabilità dell’azienda durante la sostituzione del DPO

La sostituzione del Responsabile della Protezione dei Dati non esaurisce gli obblighi dell’impresa con la firma del nuovo incarico. Quando la designazione del DPO è obbligatoria ai sensi dell’articolo 37 GDPR, il titolare deve organizzare il passaggio in modo da assicurare la continuità della funzione. Se il precedente professionista ha cessato improvvisamente l’attività, occorre attivarsi tempestivamente per individuare un sostituto idoneo, documentando le iniziative adottate e verificando le questioni che richiedono un intervento immediato.

Uno degli adempimenti da gestire riguarda la comunicazione del nuovo DPO al Garante per la protezione dei dati personali. L’articolo 37, paragrafo 7, del Regolamento (UE) 2016/679 prevede che il titolare o il responsabile del trattamento pubblichi i dati di contatto del DPO e li comunichi all’autorità di controllo. In caso di sostituzione, l’impresa deve aggiornare la comunicazione attraverso la procedura telematica messa a disposizione dal Garante, indicando i dati relativi alla nuova designazione secondo le modalità previste dal servizio.

Non è sufficiente modificare il nominativo nei documenti interni. Occorre verificare anche le informative privacy, il sito aziendale, gli indirizzi email dedicati e gli altri strumenti attraverso i quali dipendenti, clienti, fornitori e interessati possono contattare il responsabile della protezione dei dati. L’articolo 38, paragrafo 4, GDPR riconosce infatti agli interessati la possibilità di rivolgersi al DPO per tutte le questioni relative al trattamento dei propri dati personali e all’esercizio dei diritti previsti dal Regolamento. Recapiti non aggiornati possono ostacolare concretamente questa funzione.

La responsabilità della conformità GDPR rimane in capo al titolare del trattamento, anche quando l’impresa si avvale di un DPO esterno. La nomina del nuovo professionista non trasferisce automaticamente a quest’ultimo le responsabilità organizzative dell’azienda, né elimina eventuali irregolarità maturate durante il precedente incarico. Se emergono documenti mancanti, valutazioni d’impatto non effettuate o misure di sicurezza inadeguate, occorre verificare quali interventi siano necessari e chi debba materialmente eseguirli.

Per questa ragione, riteniamo opportuno accompagnare il cambio del DPO con una verifica mirata dello stato della compliance aziendale, soprattutto quando la sostituzione deriva da un servizio precedente ritenuto insufficiente. Il nuovo professionista dovrebbe poter esaminare le attività di trattamento più esposte, le criticità già segnalate e le misure correttive ancora da attuare. L’eventuale revisione della documentazione può essere organizzata secondo le modalità illustrate nell’approfondimento Come aggiornare correttamente la documentazione privacy aziendale.

La situazione richiede maggiore attenzione quando il cambio del DPO coincide con un data breach, un’ispezione o una contestazione del Garante Privacy. In presenza di una violazione dei dati personali, il titolare deve continuare a rispettare gli obblighi previsti dagli articoli 33 e 34 GDPR, indipendentemente dalla sostituzione del consulente. Il termine di 72 ore previsto per la notifica al Garante, quando dovuta, decorre dal momento in cui il titolare viene a conoscenza della violazione secondo i criteri applicabili, e non viene sospeso per effetto del cambio del DPO.

Se è già in corso un procedimento davanti all’autorità di controllo, il nuovo responsabile deve essere messo nelle condizioni di conoscere le comunicazioni ricevute, le scadenze, le richieste ancora pendenti e le eventuali osservazioni formulate dal precedente professionista. L’azienda deve mantenere il controllo delle attività difensive e degli adempimenti richiesti, eventualmente avvalendosi di un avvocato esperto nei rapporti con il Garante. Per le verifiche ispettive abbiamo predisposto l’approfondimento Ispezione del Garante Privacy in azienda: assistenza e difesa.

Il passaggio richiede attenzione anche alla gestione delle credenziali e delle informazioni riservate. Alla cessazione dell’incarico devono essere riesaminati gli accessi del precedente DPO ai sistemi aziendali, alle piattaforme documentali e alle caselle di posta dedicate. La restituzione o l’eventuale conservazione di copie dei documenti deve essere valutata considerando gli obblighi contrattuali, le esigenze di tutela giuridica e le regole applicabili alla protezione dei dati. Non è corretto presumere che ogni documento debba essere immediatamente cancellato, così come non è ammissibile mantenere accessi non più giustificati.

Quando il DPO collabora con l’Organismo di Vigilanza o interviene nelle valutazioni privacy relative al canale whistleblowing, il passaggio deve preservare la riservatezza delle informazioni e la separazione dei ruoli. La sostituzione del DPO non comporta automaticamente la sostituzione del gestore delle segnalazioni o dell’OdV. Occorre piuttosto verificare quali flussi informativi debbano essere aggiornati e quali dati possano essere legittimamente comunicati al nuovo professionista, senza attribuirgli accessi indiscriminati a segnalazioni o fascicoli riservati.

Un cambio organizzato consente anche di individuare le questioni che richiedono un intervento prioritario: richieste degli interessati prossime alla scadenza, verifiche sui fornitori, valutazioni d’impatto pendenti o trattamenti aziendali modificati senza un adeguato esame dei rischi. L’ordine degli interventi dovrebbe dipendere dalla gravità delle criticità riscontrate e dalla loro effettiva incidenza sui diritti e sulle libertà delle persone, evitando di trattare ogni irregolarità documentale come una violazione della stessa gravità.

Un esempio pratico: sostituzione del DPO esterno in un’azienda con documentazione incompleta

Consideriamo il caso, puramente esemplificativo, di una società di servizi che decide di cambiare DPO esterno dopo aver riscontrato difficoltà nei rapporti con il professionista incaricato. Nel corso degli ultimi mesi l’impresa ha introdotto nuovi applicativi gestionali e modificato alcune procedure relative ai dipendenti, senza disporre di una ricostruzione aggiornata delle valutazioni privacy effettuate. La direzione intende affidarsi a un nuovo professionista, ma teme che la cessazione del precedente contratto possa determinare la perdita di documentazione e informazioni necessarie.

In una situazione di questo tipo, l’intervento professionale dovrebbe iniziare dall’esame del contratto esistente e delle condizioni di recesso, per poi coordinare la nuova designazione con la cessazione del precedente incarico. Il passaggio di consegne richiederebbe una ricognizione dei documenti disponibili, delle questioni ancora aperte e delle attività sulle quali il precedente DPO aveva formulato osservazioni. Particolare attenzione dovrebbe essere riservata ai nuovi applicativi e ai trattamenti dei dati del personale, per verificare se le modifiche organizzative abbiano introdotto rischi non ancora adeguatamente valutati.

Il nuovo DPO potrebbe quindi predisporre, nell’ambito delle proprie funzioni, un quadro delle criticità riscontrate e delle raccomandazioni da sottoporre alla direzione, distinguendo gli interventi immediati dalle verifiche programmabili. Spetterebbe all’azienda assumere le decisioni organizzative e attuare le misure necessarie, con il supporto dei soggetti competenti. Il caso mostra perché la sostituzione del DPO debba essere accompagnata da un passaggio documentale verificabile e da una chiara attribuzione delle responsabilità, senza considerare la semplice nuova nomina sufficiente a risolvere eventuali carenze pregresse.

Domande frequenti sulla sostituzione del DPO aziendale

Un’azienda può cambiare DPO prima della scadenza del contratto?

Sì, purché siano rispettate le condizioni contrattuali, le disposizioni applicabili al rapporto e le garanzie di indipendenza previste dall’articolo 38 GDPR. Occorre verificare le clausole di recesso, gli eventuali termini di preavviso e le conseguenze economiche della cessazione anticipata. La sostituzione non può costituire una penalizzazione per il corretto esercizio delle funzioni del DPO.

Il precedente DPO può rifiutarsi di consegnare la documentazione privacy?

Gli obblighi di consegna dipendono dalla natura dei documenti, dal contratto e dal titolo in base al quale il professionista li detiene. L’impresa deve poter disporre della documentazione necessaria per adempiere ai propri obblighi GDPR. In presenza di un rifiuto, occorre distinguere i documenti aziendali da quelli eventualmente soggetti a differenti regimi di conservazione o riservatezza e valutare i rimedi contrattuali applicabili.

Quando cambia il DPO bisogna effettuare una nuova comunicazione al Garante Privacy?

Sì, il cambiamento deve essere comunicato tempestivamente, ma attraverso la procedura di variazione della comunicazione già effettuata, senza procedere prima alla revoca dei dati del precedente DPO. Il Garante precisa che la variazione sostituisce integralmente le informazioni precedentemente comunicate. L’adempimento compete al titolare o al responsabile del trattamento, non al professionista uscente.

Il nuovo DPO risponde degli errori commessi dal precedente professionista?

La nuova designazione non comporta un automatico trasferimento delle eventuali responsabilità professionali del DPO uscente. Il nuovo responsabile deve esercitare diligentemente le funzioni affidategli, anche rispetto alle criticità pregresse di cui venga a conoscenza. Rimane distinta la responsabilità del titolare del trattamento per il rispetto degli obblighi GDPR, così come l’eventuale responsabilità contrattuale del precedente consulente.

Quanto costa cambiare DPO esterno?

Il costo dipende dalle condizioni di cessazione del precedente incarico, dalle dimensioni e dalla complessità dell’organizzazione, dalle attività richieste al nuovo professionista e dall’eventuale necessità di una verifica iniziale della documentazione. Un preventivo dovrebbe distinguere il compenso per la funzione continuativa di DPO dalle eventuali prestazioni aggiuntive di consulenza, audit o adeguamento GDPR.

Cambiare DPO aziendale: richiedi una valutazione allo Studio Legale Calvello

Se la vostra azienda intende sostituire il DPO esterno, revocare un incarico non più soddisfacente oppure organizzare il passaggio a un nuovo Responsabile della Protezione dei Dati, possiamo esaminare le condizioni del rapporto esistente, le esigenze organizzative e gli adempimenti necessari per gestire correttamente la transizione.

Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, offre assistenza giuridica alle imprese nella gestione della privacy aziendale e nell’organizzazione della funzione DPO, con particolare attenzione alla continuità del servizio, alla documentazione e alle responsabilità previste dal GDPR.

Per sottoporci la situazione della vostra impresa, richiedete una valutazione per la sostituzione del DPO aziendale attraverso il modulo dedicato. Esamineremo la richiesta per individuare le questioni che richiedono approfondimento e le possibili modalità di assistenza.