Articolo a cura di: Redazione - Studio Legale Calvello

Affidare a un professionista esterno l’incarico di Responsabile della protezione dei dati (DPO o RPD) richiede un contratto che disciplini con precisione le attività, le responsabilità e le condizioni di svolgimento del servizio. Un accordo generico, limitato alla nomina e al compenso annuale, può lasciare irrisolte questioni che emergono proprio quando l’azienda deve affrontare una violazione dei dati, una verifica del Garante Privacy o una contestazione relativa alla propria organizzazione.

Il contratto con il DPO esterno deve rispettare gli articoli 37, 38 e 39 del Regolamento (UE) 2016/679 e tradurre gli obblighi normativi in condizioni operative verificabili. Occorre stabilire quali prestazioni siano comprese, come venga assicurata l’indipendenza del professionista, quali risorse debba mettere a disposizione l’impresa e come siano gestite le eventuali controversie. Prima di sottoscrivere o rinnovare l’accordo, è opportuno verificare che le clausole corrispondano alle effettive esigenze aziendali e non attribuiscano al DPO responsabilità incompatibili con il suo ruolo.

Contratto DPO esterno: perché una nomina formalmente corretta può non tutelare adeguatamente l’azienda

L’articolo 37, paragrafo 6, del GDPR consente di affidare le funzioni di Responsabile della protezione dei dati a un soggetto esterno mediante un contratto di servizi. Questa possibilità permette alle imprese di avvalersi di competenze specialistiche senza necessariamente inserire il professionista nel proprio organico. L’esternalizzazione, però, non trasferisce al DPO la responsabilità generale della conformità dei trattamenti: il titolare continua a rispondere degli obblighi che il Regolamento pone a suo carico.

La distinzione ha conseguenze immediate nella redazione dell’accordo. Un contratto che attribuisca al DPO il compito generico di «garantire la conformità GDPR dell’azienda» rischia di creare aspettative giuridicamente inesatte. Il DPO informa e consiglia il titolare, sorveglia l’osservanza della normativa, fornisce i pareri previsti dal Regolamento e coopera con l’autorità di controllo. Le decisioni sulle finalità e sui mezzi del trattamento, sull’adozione delle misure organizzative e sull’impiego delle risorse rimangono invece nella sfera di responsabilità aziendale.

Per questa ragione, l’oggetto del contratto deve distinguere le funzioni proprie del DPO dalle ulteriori prestazioni di consulenza privacy eventualmente affidate allo stesso professionista. La predisposizione materiale delle informative, l’aggiornamento operativo del registro dei trattamenti, la redazione di contratti con i fornitori o l’attuazione delle misure correttive non devono essere considerate automaticamente comprese nell’incarico di DPO. Possono essere disciplinate come prestazioni aggiuntive, purché siano compatibili con l’indipendenza richiesta dal GDPR e non determinino conflitti di interessi.

Una società che sottoscriva un contratto senza questa distinzione potrebbe scoprire, dopo mesi, che attività ritenute comprese nel canone sono considerate straordinarie dal fornitore. Il problema diventa più delicato quando occorre intervenire rapidamente su una valutazione d’impatto, su una nuova piattaforma informatica o su una richiesta del Garante. Per conoscere le prestazioni normalmente riconducibili all’incarico è utile distinguere il servizio DPO esterno e le attività che comprende concretamente dagli interventi operativi di adeguamento GDPR.

Un altro rischio riguarda l’identificazione del soggetto incaricato. Quando il servizio viene affidato a una società di consulenza, il contratto dovrebbe individuare chiaramente il referente che esercita le funzioni di DPO, le competenze disponibili, le modalità di contatto e l’organizzazione dell’eventuale gruppo di lavoro. Occorre assicurare che i soggetti coinvolti rispettino i requisiti applicabili, compresi riservatezza, professionalità e assenza di conflitti di interessi.

La presenza di un contratto scritto non esaurisce gli adempimenti. Il titolare deve pubblicare i dati di contatto del DPO e comunicarli al Garante secondo l’articolo 37, paragrafo 7, del GDPR. Deve soprattutto mettere il professionista nelle condizioni di svolgere effettivamente le proprie funzioni. Una designazione accompagnata da un accordo privo di strumenti operativi, risorse e accesso alle informazioni può rivelarsi inadeguata rispetto agli obblighi organizzativi previsti dall’articolo 38.

Le clausole essenziali del contratto: prestazioni, indipendenza, controlli e assistenza nelle emergenze

La prima parte dell’accordo deve definire l’oggetto dell’incarico e il perimetro delle prestazioni. È opportuno individuare le società e le sedi interessate, le principali categorie di trattamenti, gli interlocutori aziendali e le modalità con cui il DPO viene coinvolto nelle decisioni che incidono sulla protezione dei dati. Il contratto deve richiamare le funzioni dell’articolo 39 GDPR senza limitarsi a riprodurne il testo: per l’impresa è necessario sapere come tali funzioni saranno concretamente esercitate.

La sorveglianza della conformità può essere organizzata attraverso verifiche periodiche, esame delle procedure, incontri con i responsabili interni e relazioni alla direzione. Il GDPR non stabilisce un numero uniforme di audit, sopralluoghi o ore di presenza per tutte le imprese. Questi elementi devono essere definiti considerando dimensioni dell’organizzazione, complessità dei trattamenti, rischi e risorse disponibili. Un’impresa sanitaria che tratta sistematicamente dati relativi alla salute può richiedere un’organizzazione del servizio diversa da quella di una società commerciale con trattamenti meno complessi.

È quindi opportuno che il contratto preveda un programma di attività, criteri di aggiornamento e modalità di rendicontazione. Le relazioni periodiche, i pareri scritti e la documentazione delle verifiche consentono alla direzione di conoscere le criticità segnalate e le raccomandazioni formulate. La documentazione delle attività non deve trasformarsi in un mero adempimento formale: deve permettere di ricostruire quali questioni siano state esaminate, quali decisioni spettassero all’azienda e quali interventi siano rimasti da realizzare.

Particolare attenzione richiedono le clausole sull’indipendenza e sui conflitti di interessi. L’articolo 38 GDPR stabilisce che il DPO non riceva istruzioni riguardo all’esecuzione dei propri compiti e riferisca direttamente al vertice gerarchico del titolare o del responsabile del trattamento. Il professionista non può essere rimosso o penalizzato per l’adempimento delle sue funzioni. Il contratto deve rispettare queste garanzie, evitando disposizioni che subordinino le valutazioni del DPO all’approvazione della direzione o che consentano conseguenze sfavorevoli per pareri non condivisi dall’impresa.

Occorre anche verificare gli eventuali incarichi ulteriori affidati al medesimo professionista. La contemporanea prestazione di servizi di consulenza non è vietata in assoluto, ma diventa problematica quando il soggetto chiamato a sorvegliare la conformità determina autonomamente finalità e mezzi dei trattamenti che dovrebbe controllare. È consigliabile disciplinare la dichiarazione iniziale di assenza di conflitti, l’obbligo di comunicare situazioni sopravvenute e le modalità di valutazione delle incompatibilità.

Un’altra clausola riguarda gli obblighi di collaborazione del titolare. L’azienda deve assicurare al DPO accesso tempestivo alle informazioni necessarie, coinvolgimento nelle questioni relative ai dati personali, interlocuzione con gli uffici competenti e risorse adeguate. Un contratto che preveda obblighi dettagliati soltanto per il professionista, senza disciplinare quelli dell’organizzazione, non rappresenta correttamente il rapporto previsto dal GDPR. La collaborazione con HR, IT, direzione e responsabili dei processi deve essere organizzata senza attribuire al DPO poteri gestionali incompatibili con la sua funzione.

Meritano una disciplina specifica i tempi di risposta e l’assistenza nelle situazioni urgenti. È possibile prevedere livelli di servizio contrattuali, reperibilità concordata, canali prioritari e procedure di escalation, distinguendo le richieste ordinarie dagli incidenti che possono coinvolgere dati personali. Gli SLA devono essere realistici e proporzionati alla complessità dell’incarico. Non esiste un termine legale uniforme entro il quale il DPO debba rispondere a ogni richiesta aziendale, ma la mancanza di condizioni concordate può generare controversie proprio nei momenti di maggiore necessità.

In caso di data breach aziendale, il contratto dovrebbe precisare come viene coinvolto il DPO, quali attività di consulenza e cooperazione sono comprese e quali prestazioni ulteriori richiedono un incarico separato. La valutazione del rischio, la decisione sull’eventuale notifica e gli adempimenti previsti dagli articoli 33 e 34 GDPR restano soggetti alle rispettive responsabilità normative. Il termine di 72 ore previsto dall’articolo 33, quando applicabile, riguarda la notifica all’autorità da parte del titolare dal momento in cui viene a conoscenza della violazione, non un termine generale concesso al DPO per intervenire.

Lo stesso criterio deve guidare la disciplina dell’assistenza durante una ispezione del Garante Privacy. La cooperazione con l’autorità e la funzione di punto di contatto appartengono ai compiti del DPO; la rappresentanza legale dell’impresa, la predisposizione di difese e l’assistenza nel contenzioso costituiscono invece attività distinte, da affidare a professionisti abilitati quando necessarie. L’accordo dovrebbe chiarire quali prestazioni sono incluse e come vengono gestite quelle straordinarie.

Devono infine essere regolate riservatezza, sicurezza delle informazioni, accesso alla documentazione e utilizzo di eventuali collaboratori. La designazione come DPO non comporta automaticamente che il professionista sia anche responsabile del trattamento ai sensi dell’articolo 28 GDPR: occorre esaminare le concrete operazioni sui dati e i ruoli effettivamente assunti dalle parti. Quando un distinto servizio comporta trattamenti effettuati per conto del titolare, devono essere valutati i relativi obblighi contrattuali, senza confondere l’incarico di sorveglianza del DPO con quello del responsabile del trattamento.

Responsabilità, clausole di manleva, recesso e rischi contrattuali per l’impresa

Una delle questioni più delicate nella redazione del contratto con il DPO esterno riguarda la ripartizione delle responsabilità. L’azienda può legittimamente pretendere che il professionista risponda dell’inesatto adempimento delle obbligazioni assunte, ma non può considerare il contratto uno strumento per trasferire integralmente al DPO le responsabilità che il GDPR attribuisce al titolare del trattamento. Gli articoli 5, paragrafo 2, e 24 del Regolamento mantengono in capo al titolare il dovere di assicurare e dimostrare la conformità dei trattamenti, anche quando si avvale di consulenti esterni.

Questo principio assume particolare rilievo quando il contratto contiene clausole di esonero dalla responsabilità, manleve o limitazioni del risarcimento. Una disposizione che escluda qualsiasi responsabilità del DPO per errori professionali o omissioni deve essere esaminata alla luce della disciplina civilistica applicabile, compreso l’articolo 1229 del Codice civile, che sancisce la nullità preventiva delle clausole di esclusione o limitazione della responsabilità per dolo o colpa grave. Diversamente, una clausola che disciplini entro determinati limiti la responsabilità per inadempimenti imputabili a colpa lieve richiede una valutazione della sua validità, proporzionalità e concreta formulazione.

Occorre distinguere la responsabilità contrattuale del professionista dalle conseguenze amministrative di una violazione del GDPR. Se il Garante accerta un trattamento illecito, la presenza di un DPO esterno non impedisce l’adozione di provvedimenti nei confronti del titolare. Un’eventuale azione risarcitoria dell’azienda verso il professionista richiede invece di verificare gli obblighi contrattuali violati, l’imputabilità dell’inadempimento, il danno effettivamente subito e il nesso causale. Non è corretto presumere che ogni sanzione privacy possa essere automaticamente addebitata al DPO.

Per limitare le controversie, consigliamo di disciplinare le modalità di contestazione delle prestazioni, la documentazione degli interventi, gli obblighi di cooperazione e le eventuali coperture assicurative professionali. La richiesta di una polizza di responsabilità civile, con massimali coerenti con il servizio, può costituire una tutela contrattuale aggiuntiva, ma non rappresenta un requisito generale imposto dal GDPR per ogni incarico di DPO. È altrettanto importante verificare eventuali franchigie, esclusioni e condizioni della copertura, evitando di attribuirle una portata maggiore di quella effettiva.

Un secondo profilo riguarda durata, rinnovo, recesso e risoluzione del contratto. L’accordo dovrebbe stabilire la durata dell’incarico, le condizioni dell’eventuale rinnovo automatico, il preavviso per la disdetta, le conseguenze del recesso anticipato e i rimedi applicabili in caso di inadempimento. Clausole che prevedano penali particolarmente onerose o condizioni di uscita poco chiare possono rendere difficoltosa la sostituzione del professionista, anche quando l’azienda ritenga necessario riorganizzare il servizio.

La disciplina contrattuale deve comunque rispettare le garanzie di indipendenza del DPO. L’articolo 38, paragrafo 3, GDPR vieta che il professionista sia rimosso o penalizzato per l’adempimento dei propri compiti. Questo divieto non determina un’assoluta irrevocabilità dell’incarico e non impedisce di affrontare inadempimenti effettivi, incompatibilità o altre ragioni legittime di cessazione del rapporto. La valutazione deve però distinguere una contestazione professionale documentata da una decisione motivata dal semplice dissenso rispetto alle raccomandazioni formulate dal DPO.

Particolare attenzione merita il passaggio delle consegne alla cessazione dell’incarico. Il contratto dovrebbe prevedere la restituzione o la messa a disposizione della documentazione aziendale, delle relazioni, dei pareri e delle informazioni necessarie per assicurare la continuità del servizio, nel rispetto degli obblighi di riservatezza e delle regole sulla conservazione dei dati. Devono essere disciplinate anche le modalità di revoca degli accessi informatici, l’eventuale cancellazione delle copie non più necessarie e la collaborazione con il professionista subentrante.

La cessazione del rapporto richiede inoltre di verificare gli adempimenti relativi alla comunicazione dei dati di contatto del DPO al Garante e alla loro pubblicazione. Se l’impresa deve procedere alla sostituzione, le condizioni contrattuali devono essere coordinate con le attività descritte nel nostro approfondimento su come cambiare DPO e gestire correttamente il passaggio al nuovo professionista.

Un contratto ben predisposto dovrebbe infine disciplinare la modifica del perimetro dell’incarico quando cambiano dimensioni, attività o organizzazione dell’impresa. L’apertura di nuove sedi, l’acquisizione di società, l’introduzione di trattamenti particolarmente complessi o l’utilizzo di nuove tecnologie possono richiedere una revisione delle risorse e delle prestazioni concordate. L’adeguamento del compenso, quando necessario, dovrebbe seguire criteri trasparenti e condizioni previamente definite, evitando che ogni nuova esigenza aziendale generi una controversia sull’interpretazione dell’accordo.

Esempio pratico: un contratto DPO esterno che non disciplina le attività straordinarie

Consideriamo il caso ipotetico di una società di servizi che affida a un consulente esterno l’incarico di DPO mediante un contratto annuale contenente un generico riferimento all’assistenza GDPR. L’accordo non precisa il numero delle verifiche periodiche, i tempi di risposta alle richieste urgenti e le attività comprese in caso di incidente informatico. Quando l’azienda introduce una nuova piattaforma per la gestione dei dati dei clienti, emergono divergenze sulla necessità di effettuare una valutazione d’impatto e sul compenso richiesto per le prestazioni aggiuntive.

Una verifica giuridica dell’accordo consente di distinguere i compiti di consulenza e sorveglianza propri del DPO dalle attività operative eventualmente affidate al professionista. La riorganizzazione contrattuale può prevedere modalità documentate di richiesta dei pareri, tempi di risposta concordati, criteri per l’approvazione delle prestazioni straordinarie e procedure di coinvolgimento del DPO nei nuovi progetti. L’aspetto che richiede maggiore attenzione è mantenere la responsabilità decisionale in capo alla società, senza compromettere l’autonomia del professionista chiamato a valutare i rischi dei trattamenti.

Domande frequenti sul contratto con il DPO esterno

Il contratto con il DPO esterno deve obbligatoriamente prevedere un numero minimo di audit annuali?

No. Il GDPR non stabilisce un numero minimo di audit o sopralluoghi che il DPO debba effettuare ogni anno. Le attività di sorveglianza devono essere proporzionate alla natura, alla complessità e ai rischi dei trattamenti. È comunque opportuno concordare un programma di verifiche e modalità di rendicontazione che permettano all’azienda di controllare l’effettivo svolgimento delle prestazioni contrattuali.

Una clausola può obbligare il DPO esterno a pagare le sanzioni GDPR ricevute dall’azienda?

Una clausola di manleva non trasferisce automaticamente al professionista la responsabilità amministrativa del titolare nei confronti del Garante Privacy. La possibilità di ottenere un risarcimento o un indennizzo deve essere valutata considerando la validità della clausola, gli obblighi contrattuali violati, il comportamento delle parti, il danno e il nesso causale. Le disposizioni che limitano o escludono preventivamente la responsabilità devono rispettare anche l’articolo 1229 del Codice civile.

Il DPO esterno può chiedere compensi aggiuntivi per un data breach o un’ispezione del Garante?

Dipende dalle prestazioni comprese nel contratto. I compiti di consulenza, sorveglianza e cooperazione con l’autorità previsti dall’articolo 39 GDPR appartengono alle funzioni del DPO. Attività ulteriori, come la gestione operativa dell’incidente, particolari interventi tecnici o la difesa legale dell’impresa, possono richiedere accordi e compensi separati. Per evitare controversie è opportuno disciplinare preventivamente il perimetro dell’assistenza straordinaria.

Un’azienda può interrompere anticipatamente il contratto se il DPO non svolge le attività concordate?

La possibilità di recedere o risolvere il contratto dipende dalle condizioni pattuite, dalla natura dell’inadempimento e dalle disposizioni civilistiche applicabili. È necessario documentare le prestazioni contestate e distinguere gli effettivi inadempimenti dall’esercizio indipendente delle funzioni del DPO, che gode delle garanzie previste dall’articolo 38 GDPR. Prima di interrompere il rapporto occorre valutare anche gli adempimenti necessari per assicurare la continuità dell’incarico.

È necessario stipulare un contratto ai sensi dell’articolo 28 GDPR con il DPO esterno?

Non automaticamente. Il contratto di servizi con cui viene affidato l’incarico di DPO, previsto dall’articolo 37, paragrafo 6, GDPR, ha una funzione diversa dall’accordo con il responsabile del trattamento disciplinato dall’articolo 28. Occorre verificare le attività concretamente svolte dal professionista e l’eventuale presenza di ulteriori servizi che comportino trattamenti di dati personali per conto del titolare. La qualificazione contrattuale deve corrispondere ai ruoli effettivi delle parti.

Contratto DPO esterno: richiedere una valutazione legale prima della firma o del rinnovo

Un contratto DPO esterno con prestazioni poco definite, clausole di responsabilità squilibrate, condizioni di recesso onerose o obblighi di assistenza insufficienti può esporre l’impresa a controversie e difficoltà operative. Anche un accordo già sottoscritto può richiedere una revisione quando cambiano le attività aziendali, emergono criticità nel servizio o diventa necessario sostituire il professionista.

Lo Studio Legale Calvello, con oltre 25 anni di esperienza nell’assistenza legale, può esaminare le condizioni dell’incarico, verificare la compatibilità delle clausole con gli articoli 37, 38 e 39 GDPR e valutare gli interventi contrattuali più appropriati rispetto all’organizzazione e ai rischi dell’impresa.

Se la vostra azienda deve stipulare, verificare, rinegoziare o rinnovare un contratto con un DPO esterno, oppure necessita di un nuovo professionista, richiedete una valutazione attraverso il modulo dedicato al servizio DPO esterno per aziende. Esamineremo la richiesta per individuare le esigenze giuridiche e organizzative che richiedono approfondimento e le possibili modalità di assistenza.