Articolo a cura di: Redazione - Studio Legale Calvello

Il DPO esterno non risponde alle email, trascura le richieste della direzione oppure non interviene quando l’azienda deve affrontare una questione urgente in materia di privacy. Sono situazioni che possono compromettere l’effettivo funzionamento del sistema di protezione dei dati personali, soprattutto quando il Responsabile della protezione dei dati è stato nominato per adempiere a un obbligo previsto dal GDPR.

Quando il DPO non svolge concretamente il proprio incarico, l’azienda deve verificare le ragioni dell’inattività, documentare le richieste rimaste senza risposta e valutare gli interventi necessari. Nei casi più gravi può essere opportuno contestare l’inadempimento e procedere alla sostituzione del professionista, assicurando la continuità delle funzioni previste dalla normativa. La responsabilità del titolare del trattamento, infatti, non viene meno per il solo fatto di avere affidato l’incarico a un soggetto esterno.

DPO esterno che non risponde: quando la mancata assistenza diventa un problema per l’azienda

La nomina di un DPO non può essere considerata un semplice adempimento documentale. Il Regolamento (UE) 2016/679 attribuisce al Responsabile della protezione dei dati specifiche funzioni di informazione, consulenza, sorveglianza sull’osservanza della normativa e cooperazione con l’autorità di controllo. Per svolgerle, il professionista deve poter interagire effettivamente con l’organizzazione e disporre delle informazioni necessarie.

Il problema emerge quando l’azienda ha formalmente nominato un DPO, ma non riesce a ottenere risposte su questioni che richiedono una valutazione specialistica. Può accadere che il responsabile IT segnali un possibile accesso abusivo ai dati, che l’ufficio HR chieda indicazioni sul trattamento delle informazioni dei dipendenti oppure che la direzione debba valutare una nuova attività comportante rischi per gli interessati. Se il DPO rimane sistematicamente irreperibile, l’impresa rischia di prendere decisioni senza il supporto consultivo previsto dalla normativa.

Occorre distinguere un ritardo occasionale da una mancanza sistematica di assistenza e di svolgimento delle funzioni affidate. Il GDPR non stabilisce un termine generale entro il quale il DPO debba rispondere a ogni comunicazione aziendale, né impone una presenza fisica quotidiana. La valutazione dipende dalla natura della richiesta, dalla sua urgenza, dalla complessità dei trattamenti e dalle modalità organizzative concordate. Un parere richiesto su una questione ordinaria può richiedere un approfondimento; l’irreperibilità durante un incidente che coinvolge dati personali presenta invece implicazioni ben diverse.

Un altro segnale meritevole di attenzione è l’assenza di attività verificabili. Se il DPO non partecipa alle questioni riguardanti la protezione dei dati, non fornisce indicazioni sulle criticità sottoposte alla sua attenzione e non svolge le verifiche concordate, l’azienda deve accertare se si tratti di un problema di organizzazione interna, di insufficiente coinvolgimento del professionista oppure di un effettivo inadempimento dell’incarico.

Non ogni carenza può essere attribuita automaticamente al DPO. L’articolo 38 del GDPR impone al titolare e al responsabile del trattamento di coinvolgerlo tempestivamente e adeguatamente nelle questioni riguardanti la protezione dei dati personali, fornendogli risorse, accesso alle informazioni e sostegno necessario. Se l’azienda non trasmette i documenti richiesti, esclude il professionista dalle decisioni o non gli consente di conoscere i trattamenti effettuati, la difficoltà operativa potrebbe derivare anche da queste circostanze.

Per valutare correttamente la situazione occorre quindi esaminare sia l’attività del DPO sia il comportamento dell’organizzazione. Il confronto con quanto previsto dal contratto con il DPO esterno permette di verificare eventuali impegni specifici relativi a reperibilità, riunioni, relazioni, attività periodiche e modalità di gestione delle urgenze, distinguendoli dalle funzioni direttamente stabilite dal GDPR.

Quali obblighi ha il DPO e come verificare se sta svolgendo correttamente l’incarico

Gli articoli 38 e 39 del GDPR costituiscono il principale riferimento per valutare l’effettivo svolgimento dell’incarico. Il DPO deve informare e fornire consulenza al titolare, al responsabile del trattamento e ai dipendenti che eseguono trattamenti, sorvegliare l’osservanza della normativa e delle politiche aziendali, fornire quando richiesto un parere sulla valutazione d’impatto, cooperare con il Garante e fungere da punto di contatto per le questioni relative ai trattamenti.

La sorveglianza comprende anche l’attenzione alla ripartizione delle responsabilità, alla sensibilizzazione e formazione del personale e alle attività di controllo connesse alla protezione dei dati. Il DPO non è però il soggetto che deve eseguire personalmente tutti gli adempimenti privacy dell’impresa. La predisposizione materiale del registro dei trattamenti, l’aggiornamento delle informative, l’attuazione delle misure di sicurezza e la gestione operativa degli incidenti rimangono attività da organizzare sotto la responsabilità del titolare o del responsabile del trattamento, eventualmente mediante incarichi professionali ulteriori.

Questa distinzione assume particolare rilievo quando l’azienda lamenta che il DPO non aggiorna documenti, non redige procedure o non svolge determinate attività operative. Prima di contestare l’inadempimento occorre stabilire se tali prestazioni rientrino effettivamente nel contratto oppure se siano state affidate ad altri soggetti. Le funzioni istituzionali del DPO non devono essere confuse con un servizio generale di gestione della privacy aziendale, anche quando entrambi siano prestati dallo stesso professionista nel rispetto dei requisiti di indipendenza e dell’assenza di conflitti di interessi.

Per accertare se l’incarico venga svolto, noi riteniamo opportuno ricostruire le richieste inviate, le risposte ricevute, le attività concordate e gli eventuali interventi rimasti ineseguiti. Sono particolarmente utili la corrispondenza aziendale, i verbali delle riunioni, i pareri formulati, le comunicazioni sulle criticità e la documentazione relativa alle verifiche effettuate. L’assenza di una relazione periodica, considerata isolatamente, non prova necessariamente una violazione del GDPR: assume un peso diverso quando la relazione era contrattualmente prevista oppure quando mancano anche altri elementi che consentano di verificare l’attività professionale.

Merita una valutazione specifica l’eventuale mancato coinvolgimento del DPO nella valutazione d’impatto sulla protezione dei dati. L’articolo 35, paragrafo 2, del GDPR prevede che il titolare, quando effettua una DPIA, consulti il DPO qualora sia stato designato. Se il professionista non risponde a una richiesta documentata, l’azienda deve conservare traccia del tentativo di consultazione e organizzare gli approfondimenti necessari senza presumere che il silenzio equivalga a un parere favorevole.

La situazione può diventare particolarmente delicata in presenza di un data breach aziendale. Quando ricorrono i presupposti dell’articolo 33 del GDPR, il titolare deve notificare la violazione al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando ne è venuto a conoscenza. L’irreperibilità del DPO non sospende tale termine. L’impresa deve quindi attivare immediatamente le proprie procedure di gestione dell’incidente, coinvolgendo le competenze tecniche e legali necessarie per valutare la violazione e gli obblighi applicabili.

Analoga attenzione è necessaria quando l’azienda riceve una richiesta di informazioni del Garante Privacy. Il DPO svolge una funzione di cooperazione e punto di contatto con l’autorità, ma la sua mancata risposta non esonera il titolare dall’obbligo di gestire la richiesta nei termini indicati. È quindi necessario individuare tempestivamente chi possa raccogliere la documentazione, coordinare gli uffici interessati e predisporre un riscontro adeguato.

La verifica dell’operato del DPO deve rispettarne l’indipendenza professionale. Il titolare può chiedere conto delle attività effettivamente svolte e contestare eventuali inadempimenti, ma non può impartire istruzioni sul contenuto delle valutazioni che il DPO formula nell’esercizio delle proprie funzioni. L’articolo 38, paragrafo 3, vieta infatti di rimuovere o penalizzare il DPO per l’adempimento dei suoi compiti. Una contestazione fondata sull’inerzia professionale richiede quindi un esame diverso rispetto al semplice disaccordo dell’amministratore con un parere indipendente del responsabile.

DPO inadempiente: come contestare la mancata assistenza e valutare la sostituzione

Quando le richieste rimangono ripetutamente senza risposta e l’attività del DPO appare insufficiente rispetto alle funzioni previste dal GDPR, l’azienda deve intervenire in modo documentato. Il primo passaggio consiste nel verificare il contenuto dell’incarico, individuare le prestazioni eventualmente non eseguite e distinguere gli obblighi normativi dagli impegni contrattuali. Questa ricostruzione permette di evitare contestazioni generiche e di stabilire se la situazione possa essere risolta attraverso una riorganizzazione del rapporto professionale oppure richieda interventi più incisivi.

Riteniamo opportuno che l’impresa formalizzi le criticità riscontrate mediante una comunicazione scritta, indicando le richieste rimaste inevase, le attività concordate non svolte e le eventuali conseguenze operative. Quando le circostanze lo consentono, può essere assegnato un termine ragionevole per fornire chiarimenti e ripristinare il servizio. Nei casi di particolare urgenza, come una violazione di dati personali o una richiesta dell’autorità di controllo, l’azienda deve invece provvedere immediatamente alla gestione dell’evento, senza attendere necessariamente la risposta del professionista.

Se l’inadempimento persiste, occorre valutare i rimedi previsti dal contratto e dalla disciplina civilistica applicabile. La risoluzione per inadempimento, disciplinata in particolare dagli articoli 1453 e seguenti del Codice civile, richiede la verifica dei relativi presupposti, compresa la gravità dell’inadempimento ai sensi dell’articolo 1455. La presenza di clausole di recesso, termini di preavviso o specifiche previsioni contrattuali può incidere sulle modalità di cessazione del rapporto. Non ogni ritardo o mancata risposta giustifica automaticamente la risoluzione immediata del contratto con il DPO esterno.

La sostituzione deve essere valutata anche alla luce dell’articolo 38, paragrafo 3, del GDPR, che tutela l’indipendenza del Responsabile della protezione dei dati e vieta di rimuoverlo o penalizzarlo per l’adempimento dei propri compiti. Tale disposizione non impedisce in assoluto la cessazione dell’incarico per ragioni legittime, ma impone di distinguere un effettivo inadempimento professionale da una decisione motivata dal contenuto di pareri o raccomandazioni non graditi alla direzione aziendale.

Quando la prosecuzione del rapporto non appare più adeguata alle esigenze dell’organizzazione, è necessario predisporre un passaggio ordinato al nuovo professionista. L’azienda deve recuperare la documentazione pertinente, verificare le attività rimaste aperte, individuare eventuali questioni urgenti e assicurare che il nuovo DPO disponga delle informazioni necessarie per esercitare le proprie funzioni. La procedura di sostituzione del DPO e gestione del passaggio di incarico richiede particolare attenzione quando sono pendenti reclami, valutazioni d’impatto o interlocuzioni con il Garante Privacy.

La designazione del nuovo DPO comporta anche l’aggiornamento dei dati di contatto pubblicati e la comunicazione all’autorità di controllo secondo quanto previsto dall’articolo 37, paragrafo 7, del GDPR. Devono essere verificati i riferimenti contenuti nelle informative e nelle procedure aziendali, affinché gli interessati e gli uffici interni possano rivolgersi al soggetto effettivamente incaricato. Se la nomina del DPO è obbligatoria, la continuità della funzione deve essere considerata già nella pianificazione della sostituzione.

Un ulteriore profilo riguarda l’eventuale responsabilità professionale del DPO uscente. Qualora l’azienda ritenga di aver subito un danno a causa di prestazioni contrattualmente dovute e non eseguite, occorre accertare l’inadempimento, il pregiudizio effettivamente verificatosi e il rapporto causale tra la condotta contestata e il danno. La semplice insoddisfazione per il servizio ricevuto non è sufficiente a fondare automaticamente una richiesta risarcitoria. Anche l’eventuale contestazione dei compensi richiede l’esame delle prestazioni pattuite e della disciplina applicabile al rapporto.

La cessazione dell’incarico, peraltro, non risolve da sola le possibili carenze accumulate durante il periodo di inattività. Se il DPO non ha svolto verifiche concordate o non ha fornito pareri su questioni rilevanti, l’impresa deve valutare quali attività recuperare e se siano rimaste irregolarità che richiedono interventi correttivi. Può risultare opportuno effettuare un controllo mirato della documentazione e delle procedure, nell’ambito di un percorso di verifica e adeguamento GDPR aziendale, concentrandosi sulle criticità effettivamente emerse.

Esempio pratico: azienda con DPO esterno irreperibile durante una richiesta urgente

Si consideri il caso ipotetico di una società di servizi che abbia affidato a un professionista esterno l’incarico di DPO. Durante una verifica interna, il responsabile IT rileva accessi anomali a un sistema contenente dati personali di clienti e dipendenti. La direzione chiede al DPO una valutazione urgente, ma non riceve risposta nonostante ripetuti tentativi di contatto. Dalla documentazione emerge anche che alcune precedenti richieste di consulenza erano rimaste inevase.

In una situazione del genere, il primo intervento consiste nel coordinare gli accertamenti tecnici necessari per stabilire se si sia verificata una violazione di dati personali, quali informazioni siano coinvolte e quali rischi possano derivarne per gli interessati. L’azienda deve valutare gli eventuali obblighi di notifica e comunicazione senza attendere il DPO irreperibile. Parallelamente, occorre esaminare il contratto professionale, ricostruire le comunicazioni rimaste senza risposta e verificare se le omissioni integrino un inadempimento rilevante.

Qualora il rapporto non presenti più condizioni adeguate per proseguire, la società potrà valutare la sostituzione del DPO, organizzando il trasferimento delle informazioni e delle questioni pendenti. L’elemento che richiede maggiore attenzione è mantenere distinti i due interventi: gestire tempestivamente il problema privacy e affrontare, con gli strumenti giuridici appropriati, la mancata assistenza professionale. La soluzione concreta dipenderà dalla gravità dell’incidente, dalle attività effettivamente affidate al DPO e dalle circostanze che hanno determinato la sua indisponibilità.

Domande frequenti sul DPO che non risponde o non segue l’azienda

1. L’azienda può sostituire un DPO esterno che non risponde alle richieste?

Sì, purché la decisione sia fondata su ragioni legittime e siano rispettate le condizioni contrattuali applicabili. Prima di procedere occorre verificare la natura delle richieste rimaste inevase, la frequenza delle omissioni e l’eventuale inadempimento degli obblighi professionali. La sostituzione non può costituire una penalizzazione per il corretto esercizio indipendente delle funzioni del DPO, tutelato dall’articolo 38 del GDPR.

2. Se il DPO non risponde durante un data breach, l’azienda può attendere prima di notificare la violazione?

No. L’irreperibilità del DPO non sospende i termini previsti dal GDPR. Quando ricorrono i presupposti dell’articolo 33, il titolare deve notificare la violazione al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando ne è venuto a conoscenza. L’azienda deve quindi attivare le procedure interne e avvalersi tempestivamente delle competenze necessarie, anche quando il professionista incaricato non sia disponibile.

3. Il DPO deve rispondere entro un numero preciso di ore alle richieste dell’azienda?

Il GDPR non prevede un termine generale di risposta valido per tutte le comunicazioni indirizzate al DPO. La tempestività deve essere valutata considerando l’urgenza, i rischi del trattamento e le circostanze concrete. Il contratto può stabilire tempi di riscontro e modalità di reperibilità, purché compatibili con l’indipendenza del professionista. Il mancato rispetto di tali impegni può assumere rilievo contrattuale.

4. L’azienda può chiedere un risarcimento al DPO che non ha svolto correttamente l’incarico?

Una richiesta risarcitoria può essere valutata quando sussistono i presupposti della responsabilità professionale o contrattuale. Occorre dimostrare l’inadempimento, l’esistenza di un danno risarcibile e il collegamento causale tra la condotta del professionista e il pregiudizio subito. La mancata risposta a una comunicazione, considerata isolatamente, non determina automaticamente un diritto al risarcimento.

5. Come può l’azienda tutelarsi se il DPO non consegna la documentazione alla cessazione dell’incarico?

È necessario individuare i documenti e le informazioni che devono essere restituiti o messi a disposizione, verificando il contratto, la titolarità della documentazione e gli eventuali obblighi di riservatezza. L’azienda può formalizzare una richiesta di consegna e valutare i rimedi contrattuali applicabili. Nel frattempo deve assicurare al nuovo DPO l’accesso alle informazioni disponibili e ricostruire le attività pendenti, evitando interruzioni nella gestione degli adempimenti privacy.

Il DPO non segue più la vostra azienda? Richiedete una valutazione dello Studio Legale Calvello

Quando il DPO esterno non risponde, trascura le attività concordate o risulta irreperibile durante una questione urgente, è necessario verificare se sussista un effettivo inadempimento e quali conseguenze possano derivarne per l’impresa. La scelta tra contestazione, riorganizzazione del rapporto e sostituzione del professionista dipende dal contratto, dalle circostanze concrete e dalle esigenze di continuità della funzione.

Lo Studio Legale Calvello dell’Avvocato Claudio Calvello, con oltre 25 anni di esperienza professionale, assiste le aziende nella valutazione delle problematiche giuridiche connesse agli incarichi DPO, alla gestione della privacy e agli obblighi previsti dal GDPR. Possiamo esaminare la situazione esistente, le eventuali criticità contrattuali e le modalità per organizzare un nuovo incarico professionale, tenendo conto delle attività rimaste pendenti.

Se il vostro DPO non risponde o non garantisce l’assistenza necessaria, richiedete una valutazione per la sostituzione del DPO e l’organizzazione del servizio di DPO esterno. Attraverso il modulo dedicato potrete descrivere il problema e le esigenze della vostra azienda. Esamineremo la richiesta per valutare le possibili modalità di intervento.