Articolo a cura di: Redazione - Studio Legale Calvello

Un gruppo societario può affidare l’incarico di Responsabile della protezione dei dati (DPO o RPD) a un unico professionista, evitando di nominare necessariamente una figura diversa per ciascuna società. Il Regolamento (UE) 2016/679 ammette espressamente questa possibilità, ma richiede che il DPO sia facilmente raggiungibile da ogni stabilimento e possa svolgere concretamente le proprie funzioni. Per una holding con diverse controllate, la questione riguarda quindi la corretta organizzazione dell’incarico, l’autonomia delle singole società e la disponibilità effettiva del professionista.

Una designazione centralizzata, se non accompagnata da una chiara distribuzione delle responsabilità e da adeguati flussi informativi, può lasciare scoperte alcune società del gruppo. Prima di nominare un DPO unico per più società, oppure di sostituire i professionisti già incaricati, occorre verificare gli obblighi applicabili a ciascuna impresa, la complessità dei trattamenti e le condizioni necessarie per assicurare un servizio conforme al GDPR.

Quando è possibile nominare un unico DPO per più società del gruppo

L’articolo 37, paragrafo 2, del GDPR stabilisce che un gruppo imprenditoriale può nominare un unico Responsabile della protezione dei dati, purché quest’ultimo sia facilmente raggiungibile da ciascuno stabilimento. La disposizione consente quindi a una holding, alle sue controllate e alle altre società appartenenti al medesimo gruppo di ricorrere a una figura comune, anche quando le imprese mantengono personalità giuridiche distinte, differenti partite IVA e proprie strutture organizzative.

La possibilità di condividere il DPO non comporta però che tutte le società siano automaticamente soggette agli stessi obblighi. La necessità della designazione deve essere verificata rispetto alle attività e ai trattamenti di ciascun titolare o responsabile del trattamento, secondo i presupposti previsti dall’articolo 37, paragrafo 1, del GDPR. Una controllata potrebbe essere obbligata alla nomina perché svolge attività principali che comportano il trattamento su larga scala di categorie particolari di dati personali, mentre un’altra società del gruppo potrebbe non rientrare nelle ipotesi di designazione obbligatoria.

Quando alcune imprese sono obbligate e altre non lo sono, il gruppo può valutare di estendere volontariamente il servizio anche a queste ultime. Occorre però distinguere la designazione formale del DPO dalla semplice prestazione di consulenza privacy: qualora una società nomini volontariamente un DPO, trovano applicazione le disposizioni del GDPR relative alla sua posizione, ai suoi compiti e alle garanzie di indipendenza. Per verificare i presupposti della designazione, abbiamo approfondito anche quando un’azienda è obbligata a nominare il DPO.

Un secondo elemento riguarda l’effettiva appartenenza delle società a un gruppo imprenditoriale. La presenza di un medesimo socio, di rapporti commerciali continuativi o di servizi amministrativi condivisi non deve essere confusa automaticamente con l’esistenza di un gruppo rilevante ai fini dell’articolo 37, paragrafo 2. Quando più imprese sono semplicemente collegate sul piano economico o contrattuale, la possibilità di utilizzare lo stesso professionista deve essere esaminata tenendo conto della posizione autonoma di ciascuna organizzazione e dei requisiti applicabili agli incarichi.

La questione diventa più articolata quando il gruppo comprende società operanti in settori differenti. Una holding industriale potrebbe controllare un’impresa manifatturiera, una società commerciale e un’azienda che gestisce servizi informatici. Sebbene il DPO sia unico, le attività di trattamento, i rischi e le esigenze operative possono essere molto diversi. La scelta del professionista deve quindi considerare le competenze necessarie per assistere tutte le società, senza presumere che l’esperienza maturata in una sola attività sia sufficiente per l’intero gruppo.

Nei gruppi con sedi in diversi Stati dell’Unione europea assumono rilievo anche la conoscenza delle normative nazionali applicabili, le esigenze linguistiche e la possibilità per gli interessati e le autorità di controllo di comunicare efficacemente con il DPO. La centralizzazione dell’incarico non elimina gli obblighi derivanti dalle discipline nazionali che integrano il GDPR.

Occorre infine distinguere il DPO unico per più società dall’organizzazione complessiva della privacy aziendale. Le controllate possono condividere personale, infrastrutture informatiche e procedure, ma ciò non comporta automaticamente una titolarità unica dei trattamenti. Ciascuna società continua a rispondere degli obblighi che le competono in qualità di titolare o responsabile del trattamento. La distribuzione dei ruoli nei gruppi societari richiede quindi un’analisi specifica, come approfondito nel nostro articolo sulla gestione della privacy e del GDPR nei gruppi societari.

Come formalizzare l’incarico del DPO di gruppo e organizzare i rapporti con le controllate

Una volta verificata la possibilità di utilizzare un DPO comune, occorre stabilire come formalizzare la designazione e organizzare il servizio. L’errore da evitare è considerare sufficiente una lettera di incarico sottoscritta dalla capogruppo, senza verificare se essa produca effetti anche nei confronti delle altre società e se queste abbiano effettivamente assunto le decisioni di propria competenza.

Il GDPR non impone un unico modello contrattuale per il DPO di gruppo. L’incarico può essere organizzato attraverso un contratto quadro, accompagnato dagli atti di designazione delle società interessate, oppure mediante rapporti contrattuali distinti con lo stesso professionista. La scelta dipende dall’assetto societario, dai poteri di rappresentanza, dall’organizzazione amministrativa e dalla distribuzione dei costi. Qualunque soluzione venga adottata, deve risultare chiaramente quali società abbiano designato il DPO, quale sia il perimetro delle prestazioni e come siano assicurate le condizioni necessarie per lo svolgimento delle sue funzioni.

Quando la holding sottoscrive un contratto per conto delle controllate, è necessario verificare l’esistenza di adeguati poteri rappresentativi o di altri strumenti giuridici che legittimino tale operazione. La semplice appartenenza al gruppo non attribuisce automaticamente alla capogruppo il potere di assumere obbligazioni contrattuali in nome delle altre società. Questo aspetto assume particolare rilievo quando le controllate dispongono di organi amministrativi autonomi o partecipazioni di soci terzi.

La documentazione deve individuare il professionista incaricato, le società interessate, la durata del rapporto e le modalità di svolgimento delle attività. Nel caso di un DPO esterno, è opportuno disciplinare anche i tempi di risposta, la disponibilità in caso di incidenti, l’accesso alla documentazione, il supporto organizzativo e le condizioni di eventuale sostituzione. Le clausole contrattuali devono rispettare l’indipendenza prevista dall’articolo 38 del GDPR: il professionista non può ricevere istruzioni sull’esecuzione dei propri compiti, né essere penalizzato per il loro svolgimento.

Particolare attenzione richiede la verifica dei conflitti di interessi del DPO di gruppo. L’articolo 38, paragrafo 6, consente al Responsabile della protezione dei dati di svolgere altri compiti e funzioni, purché questi non determinino situazioni incompatibili. Un dirigente della holding che stabilisca finalità e mezzi di trattamenti rilevanti potrebbe trovarsi in una posizione difficilmente conciliabile con il controllo indipendente richiesto al DPO. Il problema deve essere valutato considerando tutte le società comprese nell’incarico, non soltanto quella presso cui il professionista opera abitualmente.

La designazione deve essere accompagnata dalla pubblicazione dei dati di contatto del DPO e dalla loro comunicazione all’autorità di controllo competente, secondo l’articolo 37, paragrafo 7, del GDPR. Per le società soggette alla competenza del Garante italiano, occorre curare gli adempimenti di comunicazione riferiti ai soggetti che hanno effettuato la designazione, anche quando il professionista è il medesimo. L’accentramento amministrativo delle operazioni non deve far perdere la corretta identificazione delle singole società.

La parte organizzativa richiede un’attenzione almeno equivalente a quella contrattuale. L’articolo 38 impone che il DPO sia coinvolto tempestivamente e adeguatamente nelle questioni riguardanti la protezione dei dati personali, riceva le risorse necessarie e possa accedere ai dati e ai trattamenti. In un gruppo articolato, queste condizioni difficilmente possono essere soddisfatte senza individuare referenti operativi nelle controllate e procedure per trasmettere al professionista le informazioni rilevanti.

Possiamo pensare a una holding che accentri le funzioni amministrative e informatiche, mentre le controllate gestiscono autonomamente personale, clienti e fornitori. Il DPO deve poter interagire con le strutture centrali, ma anche conoscere le attività delle singole società, ricevere informazioni sui nuovi progetti e intervenire nelle valutazioni che richiedono il suo parere. Le richieste relative all’esercizio dei diritti degli interessati, gli incidenti di sicurezza e le valutazioni d’impatto devono poter raggiungere tempestivamente il professionista, senza dipendere esclusivamente dall’iniziativa della capogruppo.

È quindi opportuno definire un sistema di referenti, flussi informativi e verifiche periodiche proporzionato alle dimensioni e alla complessità del gruppo. Le modalità possono variare: alcune organizzazioni richiedono riunioni programmate con ciascuna controllata, altre possono utilizzare strumenti condivisi di gestione delle richieste e della documentazione. In ogni caso, il DPO deve mantenere un collegamento effettivo con i vertici delle società interessate, coerentemente con il diritto di riferire direttamente al più alto livello gerarchico del titolare o del responsabile del trattamento.

Questa organizzazione deve essere coerente anche con la ripartizione delle responsabilità GDPR. L’esistenza di un DPO comune non autorizza, da sola, la condivisione indiscriminata dei dati personali tra società, né sostituisce la necessità di verificare eventuali rapporti di contitolarità o di responsabile del trattamento. La funzione del DPO resta quella di informare, consigliare, sorvegliare l’osservanza della disciplina e cooperare con l’autorità di controllo, secondo l’articolo 39 del GDPR; le decisioni sui trattamenti e la relativa responsabilità rimangono in capo ai soggetti individuati dalla normativa.

Responsabilità, controlli e rischi nella gestione di un DPO unico per più società

La nomina di un DPO di gruppo non trasferisce al professionista la responsabilità della conformità al GDPR delle società che lo hanno designato. Ogni impresa conserva gli obblighi derivanti dalla propria posizione di titolare o responsabile del trattamento, anche quando le attività privacy sono coordinate dalla holding. L’articolo 5, paragrafo 2, e l’articolo 24 del Regolamento (UE) 2016/679 attribuiscono al titolare la responsabilità di rispettare i principi applicabili al trattamento e di poter dimostrare l’adozione di misure adeguate. Il DPO svolge invece le funzioni di consulenza, sorveglianza e cooperazione previste dall’articolo 39.

Questa distinzione assume particolare rilievo quando il gruppo utilizza procedure comuni e infrastrutture informatiche centralizzate. La capogruppo può predisporre modelli documentali, coordinare la formazione e mettere a disposizione strumenti condivisi, ma le singole controllate devono verificare che tali misure siano effettivamente adeguate ai rispettivi trattamenti. Un DPO unico non significa un’unica responsabilità privacy per tutte le società, né consente di considerare automaticamente conforme un’organizzazione soltanto perché dispone di una funzione centralizzata.

Il primo rischio riguarda l’insufficiente coinvolgimento del professionista. Una società controllata potrebbe introdurre un nuovo sistema di videosorveglianza, adottare un software per la gestione del personale o affidare servizi informatici a un fornitore esterno senza informare il DPO. In queste circostanze, il problema non deriva necessariamente dall’aver scelto un professionista comune, ma dall’assenza di procedure che assicurino la sua partecipazione tempestiva alle decisioni rilevanti. L’articolo 38, paragrafo 1, del GDPR richiede espressamente tale coinvolgimento.

Un ulteriore elemento da verificare è la capacità effettiva del DPO di seguire tutte le società comprese nell’incarico. Il GDPR non stabilisce un numero massimo di imprese affidabili allo stesso professionista, ma impone che siano rispettati i requisiti di accessibilità, disponibilità di risorse e adeguato svolgimento delle funzioni. Il numero delle controllate, la distribuzione geografica, la complessità dei trattamenti e l’esistenza di referenti locali incidono sulla sostenibilità dell’organizzazione. Un incarico formalmente esteso a numerose società potrebbe risultare inadeguato qualora il professionista non disponga del tempo e degli strumenti necessari per intervenire concretamente.

Per questo motivo, nell’organizzazione del servizio riteniamo opportuno prevedere un programma di attività e verifiche periodiche riferito alle singole società. Il DPO deve poter esaminare le criticità emerse, formulare raccomandazioni e documentare le attività svolte. I report possono essere coordinati a livello di gruppo, purché consentano di distinguere le situazioni delle diverse controllate e di individuare gli interventi richiesti ai rispettivi organi amministrativi. La documentazione delle attività non sostituisce l’effettiva esecuzione dei compiti, ma permette di ricostruire il funzionamento del servizio e le decisioni assunte.

La gestione degli incidenti di sicurezza costituisce una verifica concreta dell’efficacia del sistema. Se un attacco informatico interessa una piattaforma utilizzata da più società, occorre individuare rapidamente quali titolari siano coinvolti, quali dati personali risultino compromessi e quali obblighi derivino dall’incidente. Il DPO comune può contribuire al coordinamento delle valutazioni, ma gli eventuali obblighi di notifica previsti dall’articolo 33 del GDPR devono essere esaminati rispetto ai soggetti interessati e alle rispettive responsabilità. La presenza di una holding non comporta automaticamente che una sola comunicazione possa assolvere gli obblighi di tutte le controllate.

Anche i rapporti tra società meritano attenzione. Quando una controllata presta servizi amministrativi, informatici o commerciali a un’altra impresa del gruppo, è necessario qualificare correttamente i ruoli privacy e verificare gli eventuali accordi richiesti dagli articoli 26 e 28 del GDPR. Il DPO può fornire consulenza sulla corretta impostazione dei rapporti, ma la sua designazione comune non sostituisce tali adempimenti. Lo stesso vale per i registri delle attività di trattamento e per le valutazioni d’impatto, che devono essere organizzati in funzione delle responsabilità e dei trattamenti effettivamente svolti.

In caso di accertamento da parte del Garante per la protezione dei dati personali, possono assumere rilievo gli atti di designazione, le comunicazioni effettuate, le modalità di accesso al professionista e la documentazione relativa al suo coinvolgimento. L’autorità può verificare il rispetto degli articoli 37, 38 e 39 del GDPR e valutare eventuali violazioni secondo le disposizioni applicabili. Le inosservanze degli obblighi relativi alla designazione, alla posizione e ai compiti del DPO rientrano nel regime sanzionatorio previsto dall’articolo 83, paragrafo 4, lettera a), ferma restando la necessità di valutare le circostanze concrete e i criteri di determinazione della sanzione.

La situazione richiede particolare attenzione quando il gruppo cresce attraverso acquisizioni, fusioni o nuove partecipazioni societarie. L’ingresso di una controllata può modificare il perimetro dell’incarico, aumentare il carico di lavoro e introdurre trattamenti che richiedono competenze differenti. Occorre quindi verificare se il contratto esistente comprenda la nuova società, se siano necessari ulteriori atti di designazione e se l’organizzazione mantenga requisiti adeguati. Analoghe verifiche sono opportune quando una società esce dal gruppo oppure viene sostituito il professionista incaricato.

Il coordinamento con altre funzioni di controllo, compresi gli Organismi di Vigilanza e i soggetti incaricati della gestione delle segnalazioni whistleblowing, può essere utile quando le rispettive attività coinvolgono trattamenti di dati personali. Devono però rimanere distinti i compiti e le responsabilità delle diverse funzioni, evitando sovrapposizioni che possano compromettere l’indipendenza del DPO o la riservatezza delle informazioni. L’organizzazione deve essere valutata sulla struttura effettiva del gruppo, senza presumere che la centralizzazione di una funzione giustifichi automaticamente quella delle altre.

Esempio pratico: una holding con più controllate e un DPO esterno condiviso

Consideriamo, a titolo di esempio ipotetico, un gruppo composto da una holding e quattro società controllate, attive rispettivamente nella produzione industriale, nella commercializzazione dei prodotti, nella logistica e nei servizi informatici. Le imprese condividono alcune funzioni amministrative e utilizzano una piattaforma informatica comune, ma mantengono rapporti autonomi con dipendenti, clienti e fornitori. La direzione della holding intende sostituire i diversi consulenti privacy con un unico DPO esterno, per rendere più omogenea la gestione e ridurre le duplicazioni organizzative.

La prima verifica riguarda gli obblighi di designazione delle singole società e la possibilità di affidare l’incarico a un professionista comune. Emergono poi alcune questioni operative: la società informatica gestisce dati per conto delle altre imprese, la funzione HR è parzialmente centralizzata e le controllate utilizzano procedure differenti per comunicare gli incidenti di sicurezza. Una semplice nomina del DPO da parte della holding non sarebbe sufficiente a disciplinare questi rapporti.

Una possibile riorganizzazione prevede la formalizzazione delle designazioni, la definizione del perimetro contrattuale e l’individuazione di referenti privacy presso ciascuna società. Il professionista riceve accesso alle informazioni necessarie, vengono stabiliti flussi di comunicazione per le questioni che richiedono il suo intervento e viene programmata una verifica periodica delle attività. L’attenzione maggiore riguarda la distinzione tra le responsabilità delle singole controllate e i servizi effettivamente gestiti dalla capogruppo, affinché la centralizzazione del DPO non determini incertezze sulla titolarità dei trattamenti e sulle decisioni aziendali.

Domande frequenti sulla nomina e sull’organizzazione del DPO di gruppo

Una holding può nominare un solo DPO per tutte le società controllate?

Sì. L’articolo 37, paragrafo 2, del GDPR consente a un gruppo imprenditoriale di designare un unico DPO, purché sia facilmente raggiungibile da ciascuno stabilimento. La holding deve però verificare che l’incarico comprenda effettivamente le società interessate, che siano rispettati i requisiti di indipendenza e che il professionista disponga delle risorse necessarie per svolgere i propri compiti.

È necessario stipulare un contratto DPO separato per ogni società?

Non necessariamente. È possibile valutare un contratto quadro per il gruppo, accompagnato da atti di designazione delle singole società, oppure contratti distinti con il medesimo professionista. La soluzione deve rispettare i poteri di rappresentanza e rendere identificabili i soggetti che conferiscono l’incarico. Occorre inoltre assicurare la pubblicazione dei dati di contatto e le comunicazioni all’autorità di controllo previste dall’articolo 37, paragrafo 7, del GDPR.

Il DPO di gruppo può lavorare da remoto senza recarsi presso ogni controllata?

Sì, purché l’organizzazione garantisca l’effettiva accessibilità del professionista, il tempestivo coinvolgimento nelle questioni privacy e la possibilità di svolgere tutte le funzioni previste dal GDPR. La presenza fisica continuativa non è imposta in via generale, ma incontri presso le sedi aziendali possono risultare opportuni in relazione alla complessità dei trattamenti, alle verifiche da effettuare e alle esigenze delle singole società.

Come si gestisce l’incarico quando una nuova società entra nel gruppo?

Occorre verificare gli obblighi privacy della società acquisita, l’eventuale presenza di un DPO già nominato e la possibilità di estendere l’incarico esistente. L’ingresso della nuova controllata può richiedere un’integrazione contrattuale, una nuova designazione, l’aggiornamento delle comunicazioni e una revisione delle risorse assegnate al professionista. Non è sufficiente presumere che l’acquisizione determini automaticamente l’estensione dell’incarico.

Quanto costa un DPO esterno unico per più società?

Il compenso dipende dal numero delle società, dalla tipologia dei trattamenti, dalla distribuzione delle sedi, dai rischi e dall’impegno professionale richiesto. Un servizio centralizzato può consentire economie organizzative, ma il preventivo deve considerare le attività necessarie per ciascuna controllata. La ripartizione interna del costo tra le società è una scelta contrattuale e amministrativa che non modifica gli obblighi previsti dal GDPR.

Richiedere una valutazione per nominare o riorganizzare il DPO di gruppo

La scelta di un DPO unico per più società richiede una verifica dell’assetto del gruppo, degli obblighi di designazione, dei rapporti contrattuali e delle condizioni necessarie per assicurare un servizio effettivo. Una nomina formalmente corretta può risultare insufficiente quando il professionista non viene coinvolto nelle attività delle controllate o non dispone di risorse adeguate.

Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, offre assistenza giuridica alle imprese nella valutazione degli incarichi DPO, nella predisposizione della documentazione contrattuale e nell’organizzazione dei rapporti tra holding, controllate e Responsabile della protezione dei dati.

Se la vostra azienda intende nominare un DPO di gruppo, centralizzare incarichi già esistenti oppure verificare la correttezza dell’attuale organizzazione, potete richiedere una valutazione per il servizio DPO esterno attraverso il modulo dedicato. Esamineremo la richiesta per individuare le esigenze professionali connesse alla struttura e alle attività delle società interessate.