Articolo a cura di: Redazione - Studio Legale Calvello
Quando il consulente privacy non segue più l’azienda, il problema non riguarda soltanto la ricerca di un nuovo professionista. Occorre verificare chi stia effettivamente gestendo gli adempimenti GDPR, se la documentazione sia aggiornata e se l’impresa sia ancora in grado di rispondere a richieste degli interessati, incidenti di sicurezza o controlli del Garante Privacy. La situazione può presentarsi dopo la scadenza di un contratto, l’interruzione improvvisa della collaborazione oppure quando il consulente, pur formalmente incaricato, non svolge più attività di verifica e aggiornamento.
In queste circostanze, la priorità è ripristinare una gestione effettiva della privacy aziendale, individuando le attività rimaste scoperte e le responsabilità interne. Non sempre occorre ricostruire l’intero sistema GDPR, ma è necessario accertare quali documenti, procedure e controlli siano ancora adeguati. Quando emergono carenze, trattamenti complessi o contestazioni già in corso, l’intervento di un professionista può consentire all’impresa di definire un programma di regolarizzazione proporzionato ai rischi.
Cosa succede quando il consulente privacy interrompe l’assistenza all’azienda
La cessazione dell’incarico di consulenza non determina automaticamente una violazione del GDPR. Il Regolamento (UE) 2016/679 non impone indistintamente a tutte le imprese di affidarsi a un consulente privacy esterno. Richiede, invece, che il titolare del trattamento rispetti gli obblighi applicabili e sia in grado di dimostrarlo, secondo il principio di responsabilizzazione previsto dall’articolo 5, paragrafo 2, e dall’articolo 24. L’assenza del consulente non sospende gli obblighi dell’azienda né trasferisce ad altri la responsabilità del titolare del trattamento.
Il rischio concreto dipende dal modo in cui l’impresa aveva organizzato la propria gestione privacy. Se il consulente si occupava dell’aggiornamento del registro dei trattamenti, della predisposizione delle informative, delle verifiche sui fornitori e del coordinamento delle procedure interne, la sua uscita può lasciare attività prive di un responsabile operativo. Una società dotata di personale formato e procedure effettivamente applicate potrebbe mantenere una gestione ordinata anche durante la transizione. Diversamente, un’impresa che aveva delegato di fatto ogni attività al professionista esterno potrebbe non sapere quali documenti possiede, dove siano conservati o quando siano stati aggiornati.
Una criticità frequente riguarda la distanza tra documentazione formale e trattamenti effettivamente svolti. L’azienda può conservare un registro dei trattamenti predisposto alcuni anni prima, mentre nel frattempo ha introdotto nuovi software gestionali, servizi cloud, sistemi di videosorveglianza o strumenti per la gestione del personale. Le informative potrebbero non descrivere correttamente le attività attuali e i contratti con i fornitori potrebbero non contenere gli accordi richiesti dall’articolo 28 GDPR, quando questi operano come responsabili del trattamento. La semplice presenza dei documenti non dimostra che l’organizzazione sia conforme.
Occorre distinguere anche il consulente privacy dal Responsabile della protezione dei dati (DPO o RPD). Il primo presta assistenza professionale sulla base dell’incarico ricevuto; il secondo esercita le funzioni previste dagli articoli 37-39 GDPR, con specifiche garanzie di indipendenza. Se il professionista uscente ricopriva anche l’incarico di DPO, bisogna verificare separatamente la continuità di tale funzione, l’eventuale obbligatorietà della designazione e gli adempimenti connessi alla sostituzione. La questione è approfondita nel nostro articolo sulle differenze tra DPO esterno e consulente privacy.
Un’ulteriore situazione si verifica quando il rapporto contrattuale non è formalmente terminato, ma il consulente non risponde più alle richieste oppure ha progressivamente interrotto le verifiche. In tal caso, prima di attribuire eventuali inadempimenti, occorre esaminare il contratto, le prestazioni concordate, le comunicazioni intercorse e le attività effettivamente svolte. Un incarico limitato alla predisposizione iniziale dei documenti non equivale a un servizio di monitoraggio continuativo. Questa distinzione incide sulla valutazione delle responsabilità del professionista e sulle iniziative che l’azienda può assumere per tutelarsi.
Come riprendere il controllo del GDPR: documenti, incarichi e verifiche da effettuare
Quando viene meno l’assistenza del consulente, il primo intervento consiste nell’individuare un referente aziendale incaricato di coordinare la ricognizione delle attività privacy. Può trattarsi di una figura amministrativa, legale o compliance, affiancata dai responsabili HR e IT per gli aspetti di rispettiva competenza. La scelta deve considerare le dimensioni dell’impresa, i trattamenti effettuati e le competenze disponibili. Il referente operativo non sostituisce automaticamente il DPO eventualmente obbligatorio e non modifica le responsabilità che il GDPR attribuisce al titolare del trattamento.
La ricognizione deve partire dalla documentazione esistente. Occorre reperire il registro delle attività di trattamento, le informative, le istruzioni impartite alle persone autorizzate, gli accordi con i responsabili del trattamento, le eventuali valutazioni d’impatto (DPIA), le procedure per l’esercizio dei diritti degli interessati e quelle relative alle violazioni dei dati personali. Devono essere esaminati anche i documenti che attestano le verifiche effettuate, la formazione del personale e le misure organizzative adottate. Per identificare gli atti pertinenti ai diversi trattamenti può essere utile consultare il nostro approfondimento sui documenti privacy richiesti alle aziende.
Il recupero dei documenti dal precedente consulente richiede particolare attenzione. È opportuno verificare quali materiali siano stati consegnati, quali rimangano nella disponibilità del professionista e quali obblighi di restituzione, conservazione o cancellazione derivino dal contratto e dal ruolo concretamente assunto nel trattamento dei dati. Se il consulente disponeva di credenziali per accedere a sistemi aziendali, archivi cloud o piattaforme contenenti dati personali, occorre riesaminare tempestivamente le autorizzazioni, revocando quelle non più giustificate. Le modalità di restituzione devono preservare la riservatezza e l’integrità delle informazioni.
Una volta recuperati i materiali, è necessario confrontarli con l’organizzazione attuale. Il registro dei trattamenti deve rappresentare le attività effettivamente svolte, non una fotografia superata dell’impresa. Vanno quindi coinvolti gli uffici che gestiscono dipendenti, clienti e fornitori, verificando quali dati siano raccolti, per quali finalità, con quali strumenti e per quanto tempo siano conservati. Particolare attenzione meritano i trattamenti introdotti dopo l’ultima verifica del consulente, perché potrebbero richiedere l’aggiornamento delle informative, degli accordi contrattuali o delle misure di sicurezza.
Non tutte le carenze hanno la stessa urgenza. Un’informativa che necessita di un aggiornamento redazionale presenta una situazione diversa rispetto all’assenza di procedure per gestire una violazione di dati personali, a un trattamento potenzialmente illecito dei dati dei dipendenti o alla mancata valutazione dei rischi connessi a un nuovo sistema informatico. La ricognizione deve quindi tradursi in una valutazione delle priorità, considerando natura dei dati, categorie di interessati, probabilità e gravità dei possibili effetti, obblighi applicabili e criticità già conosciute.
Per le imprese che hanno accumulato ritardi, può risultare opportuno un audit GDPR mirato alla ricostruzione dello stato di conformità e alla definizione degli interventi necessari. L’attività non dovrebbe limitarsi a controllare l’esistenza dei documenti, ma comprendere, secondo le esigenze del caso, l’esame dei trattamenti, dei contratti con i fornitori, delle procedure effettivamente applicate e delle responsabilità interne. Quando emergono documenti obsoleti o mancanti, il lavoro deve essere coordinato con l’aggiornamento della documentazione privacy aziendale, evitando di sostituire indiscriminatamente materiali che risultano ancora corretti.
La presa in carico da parte di un nuovo professionista dovrebbe avvenire sulla base di un perimetro di attività definito. Occorre stabilire se l’impresa necessiti di un intervento circoscritto per correggere le irregolarità riscontrate oppure di un’assistenza continuativa che comprenda aggiornamenti, verifiche periodiche e supporto agli uffici aziendali. Questa valutazione deve considerare anche le risorse interne disponibili, perché un sistema GDPR sostenibile richiede che l’azienda sappia gestire gli adempimenti ordinari anche tra una verifica professionale e quella successiva.
Responsabilità e rischi per l’azienda quando la gestione GDPR rimane scoperta
Una volta individuate le carenze documentali e organizzative, occorre stabilire quali conseguenze possano derivare dall’interruzione dell’assistenza privacy. Il principio da cui partire è che il titolare del trattamento rimane responsabile della conformità al GDPR anche quando affida attività operative a un consulente esterno. Gli articoli 5 e 24 del Regolamento (UE) 2016/679 richiedono all’impresa di adottare misure appropriate e di poter dimostrare il rispetto degli obblighi applicabili. L’eventuale inadempimento del professionista incaricato non costituisce, di per sé, una causa di esonero dalle responsabilità del titolare nei confronti degli interessati e dell’autorità di controllo.
Questo non significa che l’azienda debba rispondere automaticamente di ogni errore commesso dal precedente consulente. Occorre distinguere la responsabilità del titolare ai sensi del GDPR dalle eventuali responsabilità contrattuali o professionali del consulente. Se quest’ultimo aveva assunto specifici obblighi di aggiornamento, verifica o assistenza e non li ha rispettati, l’impresa può valutare le iniziative previste dal rapporto contrattuale e dalla disciplina applicabile. La verifica richiede l’esame dell’incarico, delle prestazioni concordate, della documentazione prodotta e delle comunicazioni intercorse. Un’eventuale richiesta risarcitoria presuppone, tra l’altro, l’accertamento dell’inadempimento, del danno e del necessario collegamento causale.
Per l’impresa, il problema più immediato riguarda le attività che non possono essere sospese durante la ricerca di un nuovo professionista. Le richieste di accesso, rettifica o cancellazione dei dati personali devono essere gestite nei termini previsti dall’articolo 12 GDPR, generalmente entro un mese dal ricevimento, salve le condizioni che consentono una proroga. Anche le procedure relative agli incidenti di sicurezza devono rimanere operative. Quando una violazione dei dati personali presenta un rischio per i diritti e le libertà delle persone fisiche, l’articolo 33 prevede la notifica al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui il titolare ne viene a conoscenza. Nei casi di rischio elevato può essere necessaria anche la comunicazione agli interessati, secondo l’articolo 34.
La mancanza di un consulente privacy non giustifica il mancato rispetto delle scadenze previste dalla normativa. Se durante il periodo di transizione si verifica un incidente informatico, l’azienda deve comunque attivare le proprie procedure, raccogliere le informazioni disponibili e valutare gli obblighi conseguenti. Per questo motivo, quando l’impresa non dispone di personale con competenze adeguate, può essere necessario richiedere un intervento professionale immediato, senza attendere il completamento dell’intera riorganizzazione GDPR. Le attività da svolgere in presenza di una violazione sono approfondite nel nostro articolo dedicato al data breach in azienda e agli interventi nelle prime 72 ore.
Un’altra criticità riguarda i controlli del Garante per la protezione dei dati personali. L’autorità può richiedere informazioni e documentazione oppure svolgere accertamenti nell’esercizio dei poteri previsti dall’articolo 58 GDPR. Se l’impresa non riesce a reperire il registro dei trattamenti, le informative, gli accordi con i responsabili esterni o le evidenze delle misure adottate, potrebbe incontrare difficoltà nel dimostrare la propria conformità. La documentazione incompleta non comporta necessariamente una sanzione, ma può assumere rilievo quando corrisponde alla violazione di specifici obblighi o impedisce di dimostrarne il rispetto.
Le conseguenze delle violazioni GDPR dipendono dalla disposizione interessata, dalla natura dei fatti e dai criteri previsti dall’articolo 83 del Regolamento. Non è quindi corretto affermare che un’azienda rimasta senza consulente privacy sia automaticamente esposta a una determinata sanzione. Occorre verificare se siano stati effettivamente violati obblighi normativi, quali trattamenti siano coinvolti, da quanto tempo perduri la situazione e quali misure siano state adottate per affrontarla. In presenza di una contestazione già avviata, l’attività di regolarizzazione deve essere coordinata con la gestione del procedimento, senza presumere che gli interventi successivi eliminino automaticamente le conseguenze di eventuali violazioni pregresse.
Particolare attenzione merita il caso in cui il consulente uscente fosse anche il DPO formalmente designato. Quando la nomina è obbligatoria ai sensi dell’articolo 37 GDPR, la cessazione dell’incarico richiede che l’impresa provveda alla sostituzione, assicurando la continuità della funzione e aggiornando le informazioni comunicate al Garante e rese disponibili agli interessati. Se invece il professionista svolgeva esclusivamente attività di consulenza, la sua uscita non determina automaticamente l’obbligo di nominare un DPO. Per comprendere le differenze tra le due situazioni abbiamo dedicato un approfondimento specifico all’azienda rimasta senza DPO quando la designazione è obbligatoria.
La riorganizzazione deve quindi seguire un ordine coerente con l’esposizione effettiva dell’impresa. Le richieste degli interessati in scadenza, gli incidenti di sicurezza, le contestazioni già ricevute e gli eventuali trattamenti che presentano criticità rilevanti richiedono una valutazione prioritaria. Le carenze documentali e le verifiche periodiche possono essere inserite in un programma di intervento con responsabilità e tempi definiti, purché non si trascurino obblighi immediatamente applicabili. È su questa distinzione che dovrebbe essere costruito il nuovo incarico professionale, evitando sia interventi meramente formali sia la ripetizione indiscriminata di attività già correttamente eseguite.
Esempio pratico: un’azienda scopre che il consulente privacy non effettua più aggiornamenti
Si consideri, a titolo di esempio ipotetico, una società di servizi che aveva affidato a un consulente esterno la predisposizione e l’aggiornamento della documentazione GDPR. Dopo alcuni anni, l’amministratore si accorge che il professionista non effettua più verifiche e che le richieste di aggiornamento rimangono senza risposta. Nel frattempo, l’impresa ha introdotto un nuovo gestionale cloud, modificato le procedure di amministrazione del personale e affidato alcune attività a fornitori esterni. La documentazione disponibile risale al periodo iniziale della collaborazione e non è chiaro se descriva ancora correttamente i trattamenti.
La società decide di incaricare un nuovo professionista per verificare la situazione. L’intervento parte dal recupero dei documenti disponibili e dall’esame delle attività effettivamente svolte dagli uffici. Il confronto permette di individuare le informazioni da aggiornare nel registro dei trattamenti, gli accordi con i fornitori da verificare e le procedure interne che necessitano di una revisione. La maggiore attenzione viene riservata ai trattamenti introdotti dopo l’ultima verifica, perché non risultano adeguatamente rappresentati nella documentazione esistente.
Il nuovo incarico viene quindi organizzato distinguendo gli interventi di adeguamento iniziale dalle successive attività di assistenza e controllo. L’azienda individua un referente interno per coordinare le richieste dei diversi uffici e definisce con il professionista le modalità di aggiornamento dei documenti e di segnalazione delle modifiche organizzative. L’esempio mostra come il subentro possa essere utilizzato per ricostruire una gestione verificabile del GDPR, senza presumere che tutta la documentazione precedente sia inutilizzabile o che il semplice affidamento a un nuovo consulente risolva ogni criticità.
Domande frequenti sulla gestione del GDPR dopo l’interruzione della consulenza privacy
1. L’azienda può continuare a operare anche se il consulente privacy non segue più gli adempimenti GDPR?
Sì. Il GDPR non impone a tutte le imprese di avere un consulente privacy esterno. L’azienda deve però continuare a rispettare gli obblighi applicabili e mantenere misure organizzative adeguate. Se non dispone di competenze interne sufficienti, è opportuno valutare tempestivamente un nuovo incarico professionale, soprattutto quando vi sono trattamenti complessi, documentazione non aggiornata o richieste degli interessati da gestire.
2. Il precedente consulente è obbligato a consegnare tutta la documentazione privacy?
Occorre verificare il contratto e la natura dei documenti. L’azienda deve poter disporre della documentazione necessaria a dimostrare la conformità dei propri trattamenti. Gli obblighi di consegna del professionista dipendono dalle prestazioni concordate, dalla titolarità dei materiali e dalle disposizioni applicabili. Se il consulente trattava dati personali per conto dell’impresa in qualità di responsabile del trattamento, assumono rilievo anche le previsioni dell’articolo 28 GDPR sulla restituzione o cancellazione dei dati al termine del servizio.
3. Se il vecchio consulente ha commesso errori, il nuovo professionista ne diventa responsabile?
Il semplice subentro non comporta l’assunzione automatica delle responsabilità derivanti dall’attività del precedente consulente. Il nuovo professionista risponde secondo il proprio incarico e le norme applicabili. È comunque opportuno definire contrattualmente le attività di verifica iniziale, le criticità già conosciute e gli interventi affidati, affinché l’azienda possa distinguere le irregolarità pregresse dalle eventuali omissioni successive.
4. Quanto tempo occorre per riorganizzare il GDPR dopo l’uscita del consulente?
Non esiste un termine unico. La durata dipende dalle dimensioni dell’impresa, dal numero e dalla complessità dei trattamenti, dalla documentazione disponibile e dalle carenze riscontrate. Le attività urgenti, come la gestione di una violazione dei dati personali o la risposta a una richiesta del Garante, devono essere affrontate secondo le rispettive scadenze normative, senza attendere il completamento dell’audit. Gli altri interventi possono essere programmati in base alle priorità individuate.
5. È meglio affidare al nuovo consulente un intervento una tantum oppure un’assistenza GDPR continuativa?
La scelta dipende dalla capacità dell’azienda di gestire autonomamente gli adempimenti successivi. Un intervento circoscritto può essere adeguato quando occorre correggere carenze specifiche e sono già presenti competenze interne. L’assistenza continuativa può risultare più appropriata quando i trattamenti cambiano frequentemente, l’impresa utilizza numerosi fornitori o non dispone di un referente sufficientemente preparato. In entrambi i casi, è opportuno definire attività, responsabilità, modalità di aggiornamento e tempi di intervento.
Il consulente privacy non segue più la vostra azienda? Richiedete una valutazione della situazione GDPR
Quando l’assistenza privacy si interrompe, affidare l’incarico a un nuovo professionista senza verificare la situazione esistente può lasciare irrisolte carenze documentali, procedure non aggiornate e responsabilità operative poco chiare. Prima di riorganizzare il GDPR occorre comprendere quali adempimenti siano effettivamente scoperti, quali rischi richiedano un intervento prioritario e quale forma di assistenza sia adeguata all’organizzazione aziendale.
Lo Studio Legale Calvello dell’Avvocato Claudio Calvello, con oltre 25 anni di esperienza professionale, assiste le imprese nella valutazione delle problematiche giuridiche e organizzative relative alla protezione dei dati personali, nella verifica della documentazione GDPR e nella definizione degli interventi necessari per riprendere una gestione ordinata degli adempimenti.
Se il vostro consulente privacy ha cessato l’incarico, non risponde più oppure non ha provveduto agli aggiornamenti necessari, potete richiedere una valutazione della situazione GDPR della vostra azienda attraverso il modulo dedicato. Esamineremo la richiesta per individuare le principali questioni da approfondire e valutare le possibili modalità di assistenza professionale.
