Articolo a cura di: Redazione - Studio Legale Calvello

La nomina di un Data Protection Officer (DPO), o Responsabile della Protezione dei Dati (RPD), può risultare non conforme al GDPR quando il professionista incaricato ricopre contemporaneamente funzioni che compromettono la sua indipendenza. Il problema riguarda sia il DPO interno sia quello esterno e si presenta soprattutto quando la stessa persona deve controllare trattamenti, procedure o decisioni che contribuisce a determinare nell’esercizio di un altro incarico.

Per l’azienda, un conflitto di interessi del DPO non è una semplice questione formale. Può comportare la violazione dell’articolo 38 del Regolamento (UE) 2016/679, rilievi del Garante per la protezione dei dati personali e la necessità di modificare l’organizzazione aziendale o sostituire il professionista. Occorre quindi verificare le mansioni effettivamente svolte, i poteri decisionali attribuiti e la possibilità per il DPO di esercitare le proprie funzioni senza controllare il proprio operato.

Quando il DPO è in conflitto di interessi e la nomina diventa irregolare

Il conflitto di interessi del Responsabile della Protezione dei Dati si verifica quando gli ulteriori compiti o funzioni assegnati al DPO compromettono l’indipendenza richiesta per lo svolgimento dell’incarico. La situazione più evidente è quella in cui il professionista partecipa, attraverso un’altra funzione aziendale, alla determinazione delle finalità o dei mezzi del trattamento dei dati personali e deve successivamente sorvegliare la conformità delle medesime decisioni al GDPR.

L’articolo 38, paragrafo 6, del GDPR consente espressamente al DPO di svolgere altri compiti e funzioni, ma impone al titolare o al responsabile del trattamento di assicurare che tali attività non diano luogo a un conflitto di interessi. Il cumulo degli incarichi non è quindi vietato in assoluto: diventa problematico quando le responsabilità attribuite al DPO risultano incompatibili con il suo ruolo di controllo e consulenza indipendente.

Un caso ricorrente riguarda la nomina del responsabile IT quale DPO aziendale. Se il responsabile informatico decide quali sistemi utilizzare, stabilisce le modalità operative di gestione dei dati e determina le misure tecniche adottate dall’impresa, potrebbe trovarsi a dover verificare la conformità di scelte che ha personalmente assunto. Una situazione analoga può riguardare il direttore delle risorse umane, quando determina le modalità di trattamento dei dati dei dipendenti, oppure il responsabile marketing, quando decide finalità e strumenti delle attività di profilazione commerciale.

Le criticità possono interessare anche amministratori, direttori generali, dirigenti e responsabili di funzioni aziendali. Per alcune posizioni apicali il rischio di incompatibilità è particolarmente elevato, poiché i poteri gestionali comprendono decisioni sulle finalità e sui mezzi dei trattamenti. Per altri incarichi occorre invece esaminare concretamente le deleghe, le responsabilità e l’autonomia decisionale. La denominazione della posizione organizzativa, da sola, non è sempre sufficiente per stabilire se la nomina sia legittima.

Il problema non scompare affidando l’incarico a un professionista esterno. Anche un consulente privacy, una società informatica o un fornitore di servizi GDPR possono trovarsi in conflitto di interessi se assumono decisioni operative sui trattamenti che, in qualità di DPO, dovrebbero successivamente controllare. La semplice circostanza di fornire consulenza o supporto tecnico non determina automaticamente un’incompatibilità: occorre distinguere tra attività consultiva e potere di decidere per conto dell’azienda.

Per questo motivo, prima della nomina, consigliamo di verificare le funzioni realmente esercitate dal candidato e gli eventuali altri rapporti professionali con l’impresa. La scelta tra DPO interno ed esterno deve tenere conto anche della possibilità di assicurare un’effettiva separazione tra chi assume le decisioni sui trattamenti e chi ne sorveglia la conformità.

Indipendenza del DPO e articolo 38 GDPR: quali incarichi sono incompatibili

Per comprendere quando la nomina del DPO sia irregolare occorre considerare congiuntamente gli articoli 38 e 39 del GDPR. Il primo disciplina la posizione del Responsabile della Protezione dei Dati nell’organizzazione, mentre il secondo individua i suoi compiti, tra cui informare e fornire consulenza al titolare o al responsabile del trattamento, sorvegliare l’osservanza della normativa e delle politiche aziendali, fornire pareri sulle valutazioni d’impatto e cooperare con l’autorità di controllo.

L’articolo 38, paragrafo 3, stabilisce che il DPO non debba ricevere istruzioni per quanto riguarda l’esecuzione dei propri compiti e debba riferire direttamente al vertice gerarchico del titolare o del responsabile del trattamento. La disposizione tutela la sua autonomia funzionale: la direzione aziendale non può imporgli quali conclusioni raggiungere nelle valutazioni giuridiche, quali irregolarità ignorare o quale posizione assumere nell’esercizio delle funzioni previste dal GDPR.

Le linee guida europee sul Responsabile della Protezione dei Dati individuano tra le posizioni generalmente esposte a conflitto di interessi quelle di amministratore delegato, direttore operativo, direttore finanziario, responsabile marketing, responsabile delle risorse umane e responsabile IT, oltre ad altre funzioni che comportino la determinazione delle finalità e dei mezzi del trattamento. L’elenco non è esaustivo e la valutazione deve considerare la concreta distribuzione dei poteri all’interno dell’impresa.

Un aspetto particolarmente delicato riguarda il rapporto tra DPO esterno e consulente privacy. Il professionista può assistere l’azienda nella predisposizione di documenti, nella valutazione dei rischi e nell’interpretazione della normativa, purché non assuma responsabilità decisionali incompatibili con il proprio ruolo. Diverso è il caso in cui il contratto gli attribuisca il potere di determinare autonomamente le finalità dei trattamenti o le modalità essenziali della loro esecuzione, rendendolo contemporaneamente controllore delle proprie decisioni.

La distinzione è rilevante anche per la DPIA, il registro delle attività di trattamento e la gestione delle misure di sicurezza. Il DPO può fornire indicazioni, formulare raccomandazioni e sorvegliare la corretta applicazione delle procedure. La responsabilità delle decisioni e della conformità dei trattamenti rimane però in capo al titolare o, per gli obblighi di sua competenza, al responsabile del trattamento. Come approfondiamo nell’articolo dedicato alle differenze tra DPO e responsabile del trattamento, la corretta attribuzione dei ruoli evita sovrapposizioni che possono compromettere l’organizzazione della privacy aziendale.

Ulteriori verifiche possono rendersi necessarie quando il DPO ricopre incarichi nell’Organismo di Vigilanza, partecipa alla gestione del whistleblowing o svolge funzioni di compliance. Queste combinazioni non sono automaticamente vietate, ma richiedono di valutare se le attività aggiuntive attribuiscano al professionista poteri decisionali incompatibili, creino situazioni di autocontrollo o compromettano l’esercizio indipendente dei compiti previsti dal GDPR.

La verifica deve riguardare anche il contenuto del contratto con il DPO esterno, le deleghe aziendali e gli eventuali incarichi sopravvenuti. Una nomina inizialmente conforme può infatti diventare problematica quando il professionista assume nuove responsabilità operative. L’azienda deve essere in grado di riconoscere queste situazioni e documentare le valutazioni effettuate, senza considerare sufficiente una dichiarazione generica di assenza di conflitti di interessi.

Nomina irregolare del DPO: responsabilità dell’azienda, controlli del Garante e possibili sanzioni

Quando emerge un conflitto di interessi del DPO, il primo problema per l’azienda consiste nello stabilire se l’incompatibilità sia effettiva e quali conseguenze produca sulla conformità dell’organizzazione al GDPR. L’articolo 38, paragrafo 6, attribuisce espressamente al titolare o al responsabile del trattamento l’obbligo di assicurare che gli ulteriori compiti e funzioni del DPO non determinino conflitti di interessi. Non è quindi sufficiente che il professionista dichiari di essere indipendente: l’impresa deve verificare che tale indipendenza sia concretamente rispettata.

La responsabilità assume particolare rilievo quando il DPO è stato scelto tra i dirigenti aziendali oppure quando il professionista esterno intrattiene con la società altri rapporti contrattuali. In queste situazioni occorre esaminare le deleghe, i poteri decisionali, l’organigramma e le attività effettivamente svolte. Una dichiarazione di assenza di conflitto di interessi può contribuire alla documentazione della verifica, ma non rende conforme un incarico che presenta oggettive incompatibilità.

Il Garante per la protezione dei dati personali può verificare il rispetto degli obblighi relativi alla posizione e all’indipendenza del DPO nell’ambito dei propri poteri di controllo. L’accertamento può riguardare la documentazione di nomina, le responsabilità attribuite al professionista, i rapporti gerarchici e l’effettiva possibilità di svolgere le funzioni di sorveglianza senza interferenze. Particolare attenzione può essere riservata alle situazioni nelle quali il DPO esercita contemporaneamente poteri gestionali sui trattamenti che dovrebbe controllare.

La violazione delle disposizioni dell’articolo 38 del GDPR rientra nel regime sanzionatorio previsto dall’articolo 83, paragrafo 4, lettera a), che contempla sanzioni amministrative pecuniarie fino a 10 milioni di euro oppure, per le imprese, fino al 2% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore. Questi importi rappresentano i massimali normativi, non la sanzione automaticamente applicabile a una nomina irregolare. L’eventuale provvedimento dipende dalle circostanze della violazione e dai criteri di valutazione previsti dall’articolo 83 del Regolamento.

Il conflitto di interessi non determina automaticamente l’invalidità di tutti gli atti ai quali il DPO abbia partecipato, né comporta necessariamente che ogni trattamento aziendale sia illecito. Può però compromettere l’effettività della funzione di controllo e rendere necessario verificare se l’incompatibilità abbia inciso sulle valutazioni svolte, sulle raccomandazioni formulate o sulla gestione di specifiche criticità privacy.

Se l’azienda scopre di avere nominato un DPO incompatibile, consigliamo di procedere anzitutto a una valutazione documentata delle funzioni esercitate. Quando il conflitto deriva da mansioni accessorie, può essere possibile eliminarlo modificando le deleghe o separando le responsabilità operative. Se invece l’incompatibilità riguarda il nucleo essenziale dell’incarico aziendale, può rendersi necessaria la sostituzione del DPO con un professionista che presenti adeguate garanzie di indipendenza.

La gestione della sostituzione richiede attenzione anche agli adempimenti conseguenti, compresi l’aggiornamento dei dati di contatto e la comunicazione al Garante secondo le modalità previste. Le procedure sono approfondite nel nostro articolo sulla revoca e sostituzione del DPO. Quando l’irregolarità emerge durante un controllo o dopo una richiesta dell’Autorità, è opportuno coordinare gli interventi organizzativi con la gestione della contestazione, evitando modifiche improvvisate o ricostruzioni documentali non corrispondenti alla situazione effettiva.

Esempio pratico: responsabile informatico nominato DPO nella stessa azienda

Consideriamo il caso esemplificativo di una società di medie dimensioni che abbia nominato DPO il proprio responsabile informatico. Il dirigente gestisce l’infrastruttura IT, seleziona i fornitori tecnologici, definisce le modalità di accesso ai sistemi e partecipa alle decisioni sulle misure di sicurezza applicate ai dati personali. Contemporaneamente, come DPO, è incaricato di sorvegliare la conformità delle attività aziendali alla normativa privacy.

Durante una verifica dell’organizzazione emerge che il professionista deve controllare decisioni assunte nell’esercizio delle proprie responsabilità informatiche. Il problema non consiste nella sua competenza tecnica, che può essere particolarmente elevata, ma nella sovrapposizione tra potere gestionale e funzione di sorveglianza indipendente.

In una situazione del genere, il nostro intervento professionale sarebbe diretto a esaminare le deleghe, il contratto di incarico, l’organigramma e le responsabilità effettive. L’elemento da approfondire sarebbe la possibilità di separare le funzioni senza compromettere l’operatività aziendale. Qualora il responsabile informatico dovesse conservare i propri poteri decisionali, una soluzione da valutare sarebbe l’affidamento dell’incarico di DPO a un professionista esterno indipendente, mantenendo al dirigente IT le responsabilità tecniche e gestionali di competenza.

La riorganizzazione dovrebbe comprendere una chiara attribuzione delle responsabilità, l’aggiornamento della documentazione di nomina e la definizione dei rapporti tra DPO, direzione e funzioni operative. La scelta concreta dipenderebbe dalle dimensioni dell’impresa, dalla complessità dei trattamenti e dai poteri effettivamente esercitati dai soggetti coinvolti.

Domande frequenti sul conflitto di interessi del DPO

Un’azienda può mantenere il DPO già nominato se emerge un conflitto di interessi?

Dipende dalla natura dell’incompatibilità. Se il conflitto deriva da responsabilità accessorie che possono essere trasferite ad altri soggetti, l’azienda può valutare una modifica delle mansioni e delle deleghe. Quando invece il DPO esercita stabilmente poteri decisionali sulle finalità o sui mezzi dei trattamenti che deve sorvegliare, può essere necessario affidare l’incarico a un altro professionista. La valutazione deve riguardare le funzioni effettive, non soltanto quelle indicate nel contratto.

La dichiarazione di assenza di conflitto di interessi firmata dal DPO è sufficiente?

No. La dichiarazione può costituire un elemento della documentazione aziendale, ma non sostituisce la verifica concreta dell’indipendenza. Il titolare o il responsabile del trattamento deve accertare che gli altri incarichi del DPO non compromettano le funzioni previste dal GDPR. Una dichiarazione formalmente corretta non elimina un’incompatibilità derivante dai poteri effettivamente esercitati.

Il DPO esterno può essere anche il consulente che segue l’adeguamento GDPR dell’azienda?

Sì, purché le attività aggiuntive non determinino un conflitto di interessi. Il DPO può fornire consulenza, assistere nella predisposizione della documentazione e formulare raccomandazioni. Occorre invece prestare attenzione quando il contratto gli attribuisce responsabilità decisionali sui trattamenti o lo pone nella condizione di sorvegliare scelte assunte autonomamente nell’esercizio di un altro incarico.

Il conflitto di interessi del DPO comporta automaticamente una sanzione del Garante Privacy?

No. La violazione dell’obbligo di prevenire i conflitti di interessi può essere oggetto di accertamento e di provvedimenti dell’Autorità, ma la sanzione non è automatica. Il Garante valuta le circostanze del caso secondo i criteri previsti dal GDPR. L’azienda deve comunque intervenire quando accerta un’incompatibilità effettiva, documentando le verifiche svolte e le misure adottate.

Il DPO può essere contemporaneamente componente dell’Organismo di Vigilanza o gestore delle segnalazioni whistleblowing?

Non esiste un divieto generale di cumulare questi incarichi. Occorre però verificare le responsabilità concretamente attribuite, l’autonomia delle diverse funzioni e l’eventuale presenza di situazioni nelle quali il professionista dovrebbe controllare decisioni assunte personalmente. La compatibilità deve essere valutata considerando anche le regole applicabili all’Organismo di Vigilanza e alla gestione delle segnalazioni.

Conflitto di interessi del DPO: richiedi una valutazione legale della nomina aziendale

Se il DPO della vostra azienda ricopre contemporaneamente incarichi direttivi, informatici, amministrativi o di consulenza, oppure sono emersi dubbi sulla sua indipendenza, è opportuno verificare se la nomina rispetti effettivamente l’articolo 38 del GDPR. Una valutazione delle deleghe, dei rapporti contrattuali e delle responsabilità operative permette di individuare eventuali incompatibilità e stabilire se sia necessario modificare l’organizzazione o procedere alla sostituzione del professionista.

Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, assiste le imprese nella valutazione della conformità degli incarichi DPO, nell’analisi dei conflitti di interessi e nell’individuazione delle soluzioni giuridiche e organizzative applicabili al caso concreto.

Se desiderate verificare la regolarità della nomina o valutare l’affidamento dell’incarico a un professionista esterno indipendente, richiedete una valutazione attraverso il modulo dedicato al servizio DPO esterno per aziende. Esamineremo la richiesta per individuare le questioni che richiedono un approfondimento professionale.