Articolo a cura di: Redazione - Studio Legale Calvello

Affidare l’incarico di Responsabile della protezione dei dati (DPO o RPD) a un professionista esterno non significa limitarsi a formalizzare una nomina e indicare un referente per il Garante Privacy. Il servizio deve tradursi in attività effettive di consulenza, sorveglianza e verifica, organizzate in funzione dei trattamenti effettuati dall’impresa e dei rischi che ne derivano. Per un amministratore o un responsabile aziendale, la questione è capire che cosa deve fare concretamente il DPO esterno durante l’anno, quali controlli deve svolgere e come verificare che l’incarico venga eseguito correttamente.

Il Regolamento (UE) 2016/679 individua i compiti del DPO, ma non stabilisce un numero identico di audit, sopralluoghi o riunioni per tutte le organizzazioni. La frequenza e l’intensità delle attività dipendono dalla struttura aziendale, dalla natura dei dati trattati, dai processi organizzativi e dalle criticità riscontrate. Occorre quindi distinguere gli obblighi previsti dal GDPR dalle modalità operative concordate con il professionista, evitando sia incarichi puramente formali sia aspettative che attribuiscano al DPO responsabilità proprie del titolare del trattamento.

Quali attività deve svolgere concretamente un DPO esterno nel corso dell’anno

Il punto di riferimento è l’articolo 39 del GDPR, che attribuisce al Responsabile della protezione dei dati compiti di informazione, consulenza e sorveglianza sull’osservanza della normativa, compresa la verifica delle politiche adottate dal titolare o dal responsabile del trattamento. Rientrano nelle sue funzioni anche la sensibilizzazione e la formazione del personale, la sorveglianza sulle attività di controllo, la consulenza relativa alle valutazioni d’impatto e la cooperazione con l’autorità di controllo. Questi compiti devono essere esercitati tenendo conto dei rischi associati ai trattamenti, secondo quanto previsto dal secondo paragrafo dello stesso articolo.

Per comprendere come tali funzioni si traducano nella gestione quotidiana dell’impresa, dobbiamo considerare che il DPO esterno svolge un’attività continuativa di consulenza e monitoraggio, la cui concreta organizzazione deve essere proporzionata alle caratteristiche aziendali. Non è sufficiente verificare la documentazione al momento della nomina e considerare concluso l’intervento. Nel corso dell’anno possono essere introdotti nuovi software, modificati i rapporti con i fornitori, assunti dipendenti, attivati sistemi di videosorveglianza o avviati trattamenti che richiedono valutazioni ulteriori rispetto a quelle iniziali.

Un servizio correttamente organizzato prevede normalmente una ricognizione iniziale dei trattamenti e delle procedure esistenti, seguita dalla definizione delle priorità di sorveglianza. Il DPO esamina le informazioni ricevute dall’azienda, individua le aree che richiedono approfondimenti e formula raccomandazioni sulle misure da adottare. Quando rileva criticità, deve poterle rappresentare ai soggetti competenti e verificarne successivamente la gestione, senza sostituirsi agli organi aziendali nelle decisioni operative.

Tra le verifiche periodiche possono rientrare l’adeguatezza del registro delle attività di trattamento, la coerenza delle informative privacy con le operazioni effettivamente svolte, la corretta individuazione dei ruoli privacy e la disciplina dei rapporti con i responsabili esterni ai sensi dell’articolo 28 GDPR. Il DPO può inoltre esaminare le procedure relative alla conservazione dei dati, alla gestione delle richieste degli interessati e all’attribuzione delle autorizzazioni al personale. Il suo compito consiste nel valutare se l’organizzazione adottata sia coerente con gli obblighi applicabili e nel segnalare gli interventi necessari.

Particolare attenzione richiedono i trattamenti che interessano dipendenti e collaboratori, soprattutto quando vengono utilizzati strumenti informatici, sistemi di controllo degli accessi, posta elettronica aziendale o impianti di videosorveglianza. In queste situazioni il DPO deve essere coinvolto nelle questioni riguardanti la protezione dei dati personali, mentre l’azienda rimane responsabile delle scelte organizzative e del rispetto delle ulteriori disposizioni applicabili, comprese quelle lavoristiche. Analogamente, quando vengono introdotte piattaforme cloud, applicazioni gestionali o strumenti di intelligenza artificiale, la consulenza del DPO può riguardare i rischi per i dati personali, i rapporti contrattuali con i fornitori e l’eventuale necessità di una valutazione d’impatto.

La sorveglianza comprende anche la verifica dell’effettiva conoscenza delle procedure da parte del personale. Un’azienda può disporre di informative, istruzioni e regolamenti formalmente corretti, ma continuare a presentare criticità se i dipendenti non sanno riconoscere una violazione dei dati, gestire una richiesta di accesso o utilizzare correttamente gli strumenti aziendali. Per questo il DPO può proporre interventi formativi mirati e verificarne l’adeguatezza rispetto ai rischi dei diversi reparti.

Un ulteriore ambito riguarda la gestione degli incidenti. In presenza di un possibile data breach, il DPO deve essere coinvolto tempestivamente per fornire consulenza sulla valutazione dell’evento, sulle conseguenze per gli interessati e sugli eventuali obblighi di notifica o comunicazione. La responsabilità di assumere le decisioni e adempiere agli obblighi previsti dagli articoli 33 e 34 GDPR rimane in capo al titolare del trattamento, secondo le rispettive competenze. Per le misure immediate e i termini applicabili rinviamo al nostro approfondimento su cosa fare in caso di data breach in azienda.

La concreta estensione di queste attività deve essere valutata anche rispetto al contenuto dell’incarico professionale. Occorre distinguere i compiti istituzionali del DPO dalle eventuali prestazioni aggiuntive di consulenza operativa, predisposizione documentale o assistenza specialistica. Per le imprese che stanno definendo un nuovo rapporto professionale, abbiamo approfondito questo aspetto nell’articolo dedicato al servizio DPO esterno e alle prestazioni che può comprendere.

Come organizzare il piano annuale del DPO esterno tra audit, verifiche periodiche e relazioni alla direzione

Per rendere effettiva la sorveglianza prevista dal GDPR, riteniamo opportuno che l’attività del DPO esterno venga organizzata attraverso un programma di lavoro proporzionato ai rischi aziendali. Non esiste un obbligo generale di predisporre un calendario annuale con un numero predeterminato di verifiche, ma una pianificazione documentata consente di individuare le attività da svolgere, assegnare le priorità e controllare l’attuazione delle raccomandazioni. Per l’impresa costituisce anche uno strumento concreto per valutare il servizio ricevuto.

La programmazione dovrebbe partire dalla conoscenza dell’organizzazione. Il DPO deve poter acquisire informazioni aggiornate sui trattamenti, sui reparti coinvolti, sulle categorie di interessati, sui fornitori e sulle misure adottate per proteggere i dati. Se l’azienda dispone già di una struttura privacy organizzata, l’attività potrà concentrarsi sulla verifica dell’efficacia delle procedure e sulle modifiche intervenute. Quando invece emergono documenti incompleti, trattamenti non censiti o responsabilità interne poco chiare, sarà necessario attribuire priorità alle criticità che presentano i rischi maggiori.

Gli audit possono essere organizzati per processi, funzioni aziendali o categorie di trattamento. Una verifica relativa alle risorse umane, ad esempio, può riguardare l’accesso ai fascicoli del personale, la gestione delle informazioni sanitarie, le autorizzazioni degli addetti e le procedure applicate alla cessazione del rapporto di lavoro. Un controllo sui fornitori informatici può invece concentrarsi sulle garanzie contrattuali, sulle modalità di accesso ai dati, sulle misure di sicurezza dichiarate e sull’eventuale ricorso a sub-responsabili del trattamento. Il DPO valuta la conformità e formula le proprie osservazioni, mentre le verifiche tecniche specialistiche possono richiedere il coinvolgimento di altre professionalità.

La frequenza dei controlli non dovrebbe essere stabilita soltanto in base a scadenze amministrative. Un’impresa che tratta dati sanitari su larga scala o svolge attività di monitoraggio sistematico può richiedere una sorveglianza più articolata rispetto a un’organizzazione con trattamenti meno complessi. Anche l’introduzione di nuove tecnologie, una riorganizzazione societaria o precedenti incidenti possono giustificare verifiche straordinarie. Il criterio corretto non è il numero di audit effettuati, ma l’adeguatezza della sorveglianza rispetto ai rischi concretamente presenti.

Per le attività di verifica è opportuno conservare evidenze proporzionate, come verbali delle riunioni, rapporti di audit, osservazioni formulate e comunicazioni alla direzione. La documentazione dovrebbe consentire di ricostruire le criticità individuate, le raccomandazioni del DPO, le decisioni assunte dall’azienda e lo stato delle eventuali azioni correttive. Questo aspetto assume rilievo anche in relazione al principio di responsabilizzazione previsto dall’articolo 5, paragrafo 2, del GDPR, secondo cui il titolare deve essere in grado di comprovare il rispetto dei principi applicabili al trattamento.

Una relazione periodica alla direzione può rappresentare una modalità utile per rendere comprensibile il lavoro svolto. Il documento può riportare le verifiche effettuate, le principali non conformità rilevate, le questioni ancora aperte e gli interventi che richiedono una decisione degli amministratori. Il GDPR non impone indistintamente a tutti i DPO una relazione annuale con un formato prestabilito; la sua predisposizione può essere prevista nell’organizzazione del servizio o concordata contrattualmente. Rimane comunque necessario assicurare al DPO la possibilità di riferire direttamente al vertice gerarchico del titolare o del responsabile del trattamento, come stabilito dall’articolo 38, paragrafo 3.

Il rapporto con la direzione deve rispettare l’indipendenza del professionista. Il DPO non può ricevere istruzioni riguardanti l’esecuzione dei propri compiti e non può essere penalizzato per averli svolti. Allo stesso tempo, non è il soggetto al quale spetta determinare finalità e mezzi dei trattamenti o approvare autonomamente gli investimenti necessari per la conformità. Se, ad esempio, segnala che un sistema aziendale presenta rischi non adeguatamente gestiti, la direzione deve esaminare la questione e assumere le decisioni di propria competenza. È opportuno documentare anche le ragioni di un eventuale mancato recepimento delle raccomandazioni.

La continuità del servizio richiede infine che il DPO venga coinvolto tempestivamente nelle questioni riguardanti la protezione dei dati, senza attendere il successivo audit programmato. L’articolo 38, paragrafo 1, del GDPR richiede infatti che il titolare e il responsabile del trattamento assicurino tale coinvolgimento in tutte le questioni pertinenti. Per questo devono esistere canali di comunicazione effettivi tra il professionista e le funzioni aziendali, con modalità di interlocuzione adeguate anche alle situazioni urgenti. La reperibilità, i tempi di risposta e l’eventuale presenza fisica presso le sedi possono essere disciplinati nell’incarico, tenendo conto delle esigenze organizzative e delle risorse necessarie per svolgere correttamente le funzioni.

Il programma annuale non può quindi essere considerato un documento immutabile. Le verifiche devono poter essere rimodulate quando cambiano i trattamenti, emergono nuove criticità o vengono introdotti processi aziendali che incidono sulla protezione dei dati. Proprio questa capacità di adattamento permette di distinguere una sorveglianza effettiva da un’attività limitata alla produzione periodica di documenti, e richiede di chiarire come debbano essere gestite le responsabilità quando dalle verifiche emergono problemi che l’azienda non ha ancora risolto.

Obblighi, responsabilità e rischi: cosa succede quando il DPO esterno rileva problemi di conformità

Le verifiche periodiche acquistano particolare rilevanza quando il DPO esterno individua trattamenti non conformi, procedure insufficienti o misure di sicurezza che richiedono interventi. In queste situazioni occorre distinguere le responsabilità del professionista da quelle dell’azienda. Ai sensi degli articoli 5, paragrafo 2, e 24 del GDPR, il titolare del trattamento rimane responsabile della conformità dei trattamenti e deve essere in grado di dimostrare l’adozione di misure adeguate. La nomina di un DPO, anche quando il servizio comprende audit, consulenza continuativa e relazioni periodiche, non trasferisce automaticamente tali responsabilità al professionista incaricato.

Il DPO deve esercitare le funzioni di informazione, consulenza e sorveglianza previste dall’articolo 39 del GDPR. Quando riscontra una criticità, il suo intervento consiste nell’analizzare il problema, rappresentarne le conseguenze per la protezione dei dati e formulare raccomandazioni appropriate. Se, ad esempio, emerge che un fornitore informatico accede ai dati dei clienti senza un accordo conforme all’articolo 28 GDPR, il DPO può segnalare la necessità di verificare il rapporto contrattuale e le garanzie applicabili. Spetta poi all’azienda adottare le decisioni necessarie, coinvolgendo le funzioni competenti e assicurando che le misure individuate vengano effettivamente attuate.

Il medesimo criterio si applica quando una verifica riguarda sistemi di videosorveglianza, strumenti di controllo dei dipendenti, tempi di conservazione eccessivi o accessi ai dati non adeguatamente regolamentati. Il DPO deve poter esaminare le informazioni pertinenti, valutare i rischi e riferire le proprie osservazioni senza interferenze. L’articolo 38 del GDPR richiede che il professionista disponga delle risorse necessarie, possa accedere ai dati personali e ai trattamenti e sia coinvolto tempestivamente nelle questioni riguardanti la protezione dei dati. Un’organizzazione che esclude sistematicamente il DPO dalle decisioni rilevanti può compromettere l’effettività della funzione di sorveglianza.

Quando la direzione non condivide una raccomandazione, non è automaticamente obbligata ad adottare la soluzione indicata dal DPO. Deve però valutare correttamente gli obblighi applicabili e assumersi la responsabilità delle decisioni. Riteniamo opportuno che le osservazioni del professionista e le determinazioni aziendali siano documentate, soprattutto quando riguardano trattamenti ad alto rischio o carenze già segnalate. La documentazione non rende legittima una scelta eventualmente contraria al GDPR, ma permette di ricostruire il processo decisionale e individuare gli interventi ancora necessari.

Un altro aspetto riguarda il controllo successivo delle azioni correttive. Se durante un audit vengono riscontrate criticità, il programma di sorveglianza dovrebbe prevedere una verifica del loro stato di attuazione, secondo priorità coerenti con i rischi. Il DPO può richiedere aggiornamenti ai responsabili aziendali, esaminare la documentazione prodotta e segnalare le situazioni rimaste irrisolte. Non deve invece assumere automaticamente la gestione operativa degli interventi, soprattutto quando ciò comporterebbe un conflitto di interessi con la sua funzione indipendente di controllo.

La distinzione assume rilievo anche in caso di data breach. Un attacco informatico, l’invio di documenti al destinatario sbagliato o la perdita di dispositivi contenenti dati personali possono richiedere valutazioni immediate. Il DPO fornisce consulenza sui rischi per gli interessati e sugli obblighi applicabili, mentre il titolare deve assicurare la gestione dell’incidente e, quando ne ricorrono i presupposti, la notifica al Garante nei termini dell’articolo 33 GDPR. Per approfondire gli obblighi e le conseguenze di un’omessa comunicazione, rinviamo all’articolo dedicato al data breach non notificato e alle responsabilità aziendali.

Il DPO può essere coinvolto anche nei controlli relativi alla protezione dei dati trattati attraverso i sistemi di whistleblowing e nelle attività dell’Organismo di Vigilanza previste dal Modello 231. Quando l’azienda gestisce segnalazioni interne, il professionista può verificare gli aspetti GDPR relativi alla riservatezza, agli accessi autorizzati, alla conservazione delle informazioni e ai rapporti con eventuali fornitori della piattaforma. Questo coinvolgimento non comporta automaticamente l’attribuzione al DPO della gestione delle segnalazioni o delle funzioni proprie dell’OdV, che richiedono una distinta valutazione organizzativa e delle possibili incompatibilità.

Quanto alle conseguenze delle irregolarità, occorre evitare di considerare ogni carenza documentale o organizzativa come causa automatica di una sanzione. Il Garante valuta le circostanze concrete, la natura delle violazioni, i rischi, le misure adottate e gli ulteriori elementi previsti dal GDPR. Un’attività di sorveglianza adeguatamente organizzata può contribuire a individuare tempestivamente problemi che altrimenti rimarrebbero irrisolti, ma non costituisce una garanzia contro contestazioni o provvedimenti. Se l’azienda riceve una richiesta dell’autorità, il DPO svolge le proprie funzioni di cooperazione e punto di contatto, mentre l’eventuale difesa giuridica richiede una valutazione distinta. Abbiamo esaminato questo profilo nell’approfondimento sull’ispezione del Garante Privacy in azienda.

La valutazione dell’efficacia del servizio deve quindi riguardare le attività effettivamente svolte, la qualità delle verifiche, la tempestività delle segnalazioni e la capacità di seguire l’evoluzione dei trattamenti. Se emergono carenze nell’esecuzione dell’incarico, l’azienda deve esaminare il contenuto del contratto, gli obblighi normativi e le circostanze concrete, distinguendo l’eventuale inadempimento professionale dalle responsabilità che continuano a gravare sul titolare del trattamento. Tale verifica permette anche di comprendere se sia necessario modificare l’organizzazione del servizio, rafforzare le risorse disponibili o valutare la sostituzione del professionista.

Esempio pratico: come organizzare le attività annuali del DPO in un’azienda con più reparti e fornitori

Consideriamo, a titolo esemplificativo, una società di servizi con diversi reparti amministrativi, personale dipendente, un gestionale cloud e fornitori esterni che accedono ai dati dei clienti. L’azienda ha nominato un DPO esterno e dispone della documentazione privacy predisposta negli anni precedenti, ma nel frattempo ha introdotto nuove applicazioni e modificato alcuni processi senza effettuare una verifica complessiva delle conseguenze sui trattamenti.

Una possibile organizzazione dell’incarico prevede che il DPO avvii la propria attività esaminando il registro dei trattamenti, le procedure interne e i principali rapporti contrattuali. Dalla ricognizione possono emergere informazioni non aggiornate sui fornitori, istruzioni al personale da rivedere e la necessità di approfondire le modalità di accesso ai dati attraverso il nuovo gestionale. Il professionista rappresenta tali questioni alla direzione e propone un programma di verifiche, distinguendo gli interventi prioritari dalle attività che possono essere pianificate nel corso dell’anno.

L’aspetto che richiede maggiore attenzione è il coordinamento tra ufficio amministrativo, risorse umane e responsabile informatico. Il DPO non può infatti valutare adeguatamente i trattamenti senza ricevere informazioni dai soggetti che li gestiscono concretamente. L’azienda individua quindi i referenti interni, organizza le comunicazioni con il professionista e definisce le modalità per documentare le decisioni e gli interventi correttivi. Le verifiche successive permettono di controllare l’avanzamento delle attività e aggiornare il programma quando vengono introdotti ulteriori trattamenti.

Si tratta di un esempio organizzativo ipotetico, che mostra come la sorveglianza del DPO possa essere strutturata senza confondere le sue funzioni con quelle operative del titolare. La frequenza degli audit, il livello di approfondimento e le prestazioni professionali necessarie devono essere stabiliti considerando le caratteristiche effettive dell’impresa e i rischi dei trattamenti.

Domande frequenti sulle attività annuali del DPO esterno

Il DPO esterno deve effettuare un numero minimo di audit ogni anno?

No. Il GDPR non stabilisce un numero minimo di audit annuali valido per tutte le aziende. L’articolo 39 prevede la sorveglianza sull’osservanza della normativa, comprese le attività di controllo, ma la frequenza delle verifiche deve essere proporzionata ai rischi dei trattamenti. È opportuno definire nel programma di lavoro e nell’incarico professionale le modalità dei controlli, prevedendo anche interventi straordinari quando necessario.

Il DPO esterno è obbligato a consegnare una relazione annuale?

Non esiste un obbligo generale di redigere una relazione annuale secondo un modello prestabilito. Una rendicontazione periodica è comunque consigliabile per documentare verifiche, criticità e raccomandazioni. L’articolo 38, paragrafo 3, del GDPR richiede che il DPO riferisca direttamente al vertice gerarchico del titolare o del responsabile del trattamento. Il contratto può disciplinare frequenza, contenuti e modalità delle relazioni.

Chi deve aggiornare il registro dei trattamenti e la documentazione privacy?

La responsabilità di predisporre e mantenere aggiornato il registro dei trattamenti, quando richiesto, compete al titolare o al responsabile del trattamento secondo l’articolo 30 GDPR. Il DPO svolge funzioni di consulenza e sorveglianza e può verificare l’adeguatezza della documentazione, segnalando eventuali aggiornamenti necessari. La redazione materiale dei documenti può costituire una prestazione professionale aggiuntiva, purché compatibile con l’indipendenza e l’assenza di conflitti di interesse.

Il DPO esterno deve intervenire immediatamente in caso di data breach?

Il DPO deve essere coinvolto tempestivamente nelle questioni relative alla protezione dei dati, comprese le violazioni di sicurezza che interessano dati personali. L’azienda deve disporre di procedure che consentano di informarlo rapidamente e ricevere la consulenza necessaria. La disponibilità fuori dagli orari ordinari e i tempi di risposta possono essere regolati contrattualmente, senza pregiudicare gli obblighi del titolare, compresi quelli relativi alla notifica al Garante quando dovuta.

Come può un’azienda verificare se il DPO esterno sta svolgendo correttamente il proprio incarico?

L’azienda può esaminare il programma delle attività, le verifiche documentate, le raccomandazioni ricevute, le comunicazioni con i referenti interni e il monitoraggio delle criticità segnalate. Occorre valutare anche se il professionista venga coinvolto nelle decisioni pertinenti e disponga delle informazioni necessarie. La valutazione deve rispettarne l’autonomia: controllare l’esecuzione dell’incarico non significa impartire istruzioni sul contenuto dei suoi pareri o sulle conclusioni delle verifiche.

Affidare a un DPO esterno la sorveglianza continuativa della privacy aziendale

Un’azienda che ha nominato un DPO esterno deve poter contare su un’attività professionale coerente con la complessità dei propri trattamenti, con verifiche proporzionate ai rischi e modalità di interlocuzione effettive con la direzione. Quando manca un programma di sorveglianza, le verifiche sono insufficienti oppure le raccomandazioni non vengono seguite, è opportuno esaminare l’organizzazione dell’incarico e individuare gli interventi necessari.

Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, offre assistenza alle imprese nella valutazione e nell’organizzazione del servizio di DPO esterno, considerando gli obblighi previsti dal GDPR, le caratteristiche aziendali e le esigenze di controllo continuativo. Per sottoporci la situazione della vostra impresa, richiedete una valutazione del servizio DPO esterno attraverso il modulo dedicato. Esamineremo la richiesta per individuare le esigenze professionali e le possibili modalità di intervento.