Articolo a cura di: Redazione - Studio Legale Calvello
Il DPO (Data Protection Officer), denominato dal GDPR Responsabile della Protezione dei Dati (RPD), e il responsabile del trattamento sono due figure giuridicamente distinte. Il primo svolge funzioni di consulenza, sorveglianza e raccordo con il Garante Privacy; il secondo tratta dati personali per conto del titolare, sulla base di un contratto o altro atto giuridico conforme all’articolo 28 del GDPR. Confondere questi incarichi può determinare errori nella documentazione aziendale, nell’attribuzione delle responsabilità e nell’organizzazione dei controlli.
Il problema emerge frequentemente quando un’impresa affida allo stesso professionista o alla stessa società servizi di consulenza privacy, attività operative sui dati e l’incarico di DPO esterno. La coincidenza dei rapporti contrattuali non comporta automaticamente un’incompatibilità, ma richiede di verificare le attività effettivamente svolte, l’autonomia del DPO e l’eventuale conflitto di interessi. Per un’azienda, individuare correttamente i ruoli significa anche sapere chi deve impartire istruzioni, chi esegue i trattamenti, chi verifica la conformità e quali obblighi rimangono in capo al titolare.
Perché DPO e responsabile del trattamento non sono la stessa figura
La distinzione deriva direttamente dal Regolamento (UE) 2016/679. L’articolo 4, paragrafo 1, punto 8, definisce il responsabile del trattamento come il soggetto che tratta dati personali per conto del titolare. Gli articoli 37, 38 e 39 disciplinano invece la designazione, la posizione e i compiti del Responsabile della Protezione dei Dati. La somiglianza delle denominazioni italiane può indurre a ritenere che si tratti di due qualifiche equivalenti, mentre le rispettive funzioni rispondono a esigenze diverse.
Il responsabile del trattamento interviene nell’esecuzione di operazioni sui dati personali affidategli dal titolare. Può trattarsi, ad esempio, di una società che gestisce le paghe dei dipendenti, di un fornitore di servizi cloud oppure di un’impresa informatica che amministra una piattaforma contenente dati dei clienti. La qualificazione non dipende dalla denominazione attribuita nel contratto, ma dalla natura del rapporto e dalle operazioni effettivamente svolte. Il responsabile opera per conto del titolare, nel rispetto delle istruzioni documentate ricevute e degli obblighi che il GDPR gli impone direttamente.
Il DPO, invece, assiste il titolare o il responsabile del trattamento nell’interpretazione e nell’applicazione della normativa. Informa e consiglia l’organizzazione, sorveglia l’osservanza del GDPR, fornisce il parere richiesto sulla valutazione d’impatto e coopera con l’autorità di controllo. Il DPO non diventa, per effetto della propria designazione, il soggetto incaricato di eseguire tutti i trattamenti aziendali né assume la responsabilità generale della conformità privacy dell’impresa. Tale responsabilità resta attribuita ai soggetti individuati dal Regolamento, secondo le rispettive competenze.
Un’ulteriore distinzione riguarda il titolare del trattamento, ossia il soggetto che determina le finalità e i mezzi del trattamento. È il titolare a dover organizzare correttamente i rapporti con i fornitori e, quando ricorrono i presupposti normativi, a designare il DPO. L’impresa deve quindi distinguere la funzione decisionale del titolare, quella esecutiva del responsabile e quella consultiva e di sorveglianza del DPO. Per approfondire le altre qualifiche previste dalla normativa, abbiamo esaminato anche le differenze tra titolare, responsabile e autorizzato al trattamento.
La distinzione ha conseguenze concrete quando un fornitore esterno gestisce dati personali dell’azienda. Il contratto previsto dall’articolo 28 GDPR deve disciplinare, tra l’altro, l’oggetto e la durata del trattamento, la natura e le finalità delle operazioni, le categorie di dati e interessati, gli obblighi delle parti e le misure di sicurezza. La designazione del DPO, invece, deve assicurare l’effettivo esercizio dei compiti previsti dagli articoli 38 e 39, senza istruzioni sull’esecuzione delle sue funzioni e senza conflitti di interessi.
La nomina di un DPO non sostituisce il contratto con un responsabile esterno del trattamento e, allo stesso modo, la sottoscrizione di un contratto ai sensi dell’articolo 28 non equivale alla designazione di un DPO. Un’azienda può avere numerosi responsabili esterni e non essere obbligata a nominare un DPO; viceversa, un’organizzazione soggetta all’obbligo di designazione deve individuare il DPO indipendentemente dal numero dei fornitori ai quali affida trattamenti di dati personali.
Il DPO può essere anche responsabile del trattamento? Compatibilità degli incarichi e conflitto di interessi
La possibilità che lo stesso soggetto ricopra entrambi i ruoli richiede una valutazione più articolata rispetto alla semplice verifica delle qualifiche contrattuali. L’articolo 38, paragrafo 6, del GDPR consente al DPO di svolgere altri compiti e funzioni, purché il titolare o il responsabile del trattamento assicurino che tali attività non diano luogo a un conflitto di interessi. La disposizione non stabilisce un divieto generalizzato di cumulare incarichi, ma impone di verificare se le ulteriori funzioni compromettano l’indipendenza richiesta al DPO.
Il criterio principale riguarda il potere di determinare le finalità e i mezzi dei trattamenti che il DPO dovrebbe sorvegliare. Quando il professionista assume decisioni operative sulle attività sottoposte alla propria verifica, può trovarsi nella posizione di controllare scelte delle quali è direttamente responsabile. Il problema può riguardare, ad esempio, un responsabile IT che stabilisce autonomamente aspetti essenziali delle modalità di trattamento e viene contemporaneamente designato DPO della stessa organizzazione. Occorre distinguere le decisioni sui mezzi essenziali del trattamento dalle scelte tecniche e organizzative non essenziali che un responsabile esterno può assumere nell’esecuzione del servizio.
Una situazione particolarmente delicata si presenta quando una società di consulenza fornisce il servizio di DPO esterno e, contemporaneamente, gestisce infrastrutture informatiche, applicativi o altre attività operative che comportano il trattamento di dati personali per conto dell’impresa cliente. Non è sufficiente affermare che la società svolge entrambe le attività per concludere che l’incarico sia necessariamente illegittimo. Bisogna esaminare chi esercita concretamente la funzione di DPO, quali decisioni vengono assunte nell’ambito degli altri servizi, quali attività sono sottoposte a controllo e se esistano interessi capaci di compromettere l’imparzialità della sorveglianza.
Occorre anche distinguere la posizione del DPO esterno che, nello svolgimento delle proprie funzioni, accede a documenti contenenti dati personali. Il semplice accesso ai dati non determina automaticamente la qualificazione come responsabile del trattamento ai sensi dell’articolo 28. La qualificazione richiede di esaminare le finalità dell’accesso, le attività concretamente affidate e il ruolo effettivo del professionista. Quando il servizio comprende operazioni di trattamento svolte per conto dell’azienda, può rendersi necessaria una distinta disciplina contrattuale, senza presumere che ogni attività del DPO abbia la medesima qualificazione giuridica.
Per le società che intendono esternalizzare entrambe le funzioni, è opportuno verificare preventivamente il contenuto degli incarichi e la separazione delle responsabilità. In presenza di servizi affidati a un’organizzazione composta da più professionisti, la ripartizione interna delle attività può essere rilevante, ma non basta una separazione formale se permane un conflitto sostanziale. La valutazione deve considerare anche i rapporti gerarchici, gli interessi economici, l’autonomia decisionale e l’effettiva possibilità per il DPO di formulare rilievi sulle attività del fornitore.
Il tema si collega alla disciplina generale dell’incompatibilità e del conflitto di interessi del DPO, che richiede un esame delle mansioni effettive e non della sola denominazione dell’incarico. Nella nostra attività di consulenza alle imprese consideriamo anche il rapporto tra i documenti contrattuali e l’organizzazione reale: una designazione formalmente corretta può risultare inadeguata se il professionista non dispone dell’indipendenza necessaria oppure se gli vengono attribuite funzioni incompatibili con quelle di controllo.
La corretta organizzazione richiede quindi di verificare separatamente i presupposti della designazione del DPO, la qualificazione dei fornitori ai sensi dell’articolo 28 e la compatibilità delle attività eventualmente cumulate. Questi accertamenti diventano particolarmente rilevanti quando l’azienda modifica il proprio assetto informatico, esternalizza nuovi servizi o amplia le attività affidate al consulente già incaricato della protezione dei dati.
Obblighi, responsabilità e controlli: come verificare che gli incarichi GDPR siano corretti
Una volta individuata la differenza tra DPO e responsabile del trattamento, l’azienda deve verificare che tale distinzione sia rispettata nei contratti, nelle procedure interne e nell’effettiva gestione dei dati personali. Il principio di responsabilizzazione previsto dall’articolo 5, paragrafo 2, e dall’articolo 24 del GDPR impone al titolare di adottare misure adeguate e di essere in grado di dimostrare la conformità dei trattamenti. La presenza di un DPO esterno o di fornitori formalmente designati non esonera l’impresa dai propri obblighi.
Il primo controllo riguarda la qualificazione dei soggetti coinvolti. Per ogni servizio esternalizzato occorre stabilire se il fornitore tratti dati personali per conto dell’azienda, se agisca come titolare autonomo oppure se ricorra una diversa configurazione giuridica. Quando il rapporto integra gli estremi della responsabilità del trattamento, l’articolo 28 richiede un contratto o altro atto giuridico vincolante che disciplini le operazioni affidate, le istruzioni documentate, la riservatezza, le misure di sicurezza, il ricorso a ulteriori responsabili e gli obblighi di assistenza e cooperazione. La sola presenza di una clausola generica sulla privacy non è necessariamente sufficiente.
La verifica del DPO segue criteri differenti. Occorre accertare che la designazione sia stata effettuata quando obbligatoria ai sensi dell’articolo 37, che il professionista possieda le qualità richieste e che gli siano garantiti accesso alle informazioni, risorse adeguate e possibilità di riferire direttamente al vertice gerarchico. Il DPO deve essere coinvolto tempestivamente nelle questioni relative alla protezione dei dati personali e non può ricevere istruzioni sull’esecuzione dei propri compiti. L’organizzazione deve inoltre assicurare l’assenza di conflitti di interessi, anche quando l’incarico è affidato a un soggetto esterno.
Il controllo più delicato riguarda la corrispondenza tra incarichi formalizzati e attività realmente svolte. Un consulente nominato DPO potrebbe, nel corso del rapporto, ricevere ulteriori incarichi di gestione informatica, amministrazione di piattaforme o organizzazione operativa dei trattamenti. In questi casi è necessario riesaminare la compatibilità delle funzioni, senza presumere che la valutazione effettuata al momento della nomina rimanga valida indipendentemente dalle successive modifiche organizzative.
La distinzione assume particolare rilievo nella gestione dei fornitori. Il DPO può assistere l’impresa nella valutazione della conformità dei contratti ai sensi dell’articolo 28, nell’esame delle garanzie offerte dai responsabili esterni e nell’individuazione delle criticità. Non è però il DPO a sostituirsi automaticamente al titolare nelle decisioni sulla scelta dei fornitori o nell’assunzione delle responsabilità contrattuali. Il titolare deve utilizzare responsabili che presentino garanzie sufficienti e organizzare verifiche proporzionate alla natura dei trattamenti e ai rischi per gli interessati.
Analogamente, nella predisposizione del registro delle attività di trattamento e nelle valutazioni d’impatto sulla protezione dei dati, le responsabilità devono essere correttamente distribuite. Gli articoli 30 e 35 del GDPR attribuiscono specifici obblighi ai soggetti interessati: il titolare deve effettuare la DPIA quando ricorrono i presupposti normativi, mentre il DPO fornisce il proprio parere quando richiesto e ne sorveglia lo svolgimento. Il responsabile del trattamento deve prestare l’assistenza prevista dall’articolo 28, tenendo conto della natura delle attività affidate e delle informazioni a sua disposizione. La partecipazione del DPO alla predisposizione della documentazione non trasferisce automaticamente su di lui gli obblighi del titolare.
Un’errata attribuzione dei ruoli può diventare particolarmente problematica durante un incidente di sicurezza. Se un fornitore subisce una violazione di dati personali, il responsabile del trattamento deve informare il titolare senza ingiustificato ritardo dopo esserne venuto a conoscenza, secondo l’articolo 33, paragrafo 2. Il titolare deve valutare gli eventuali obblighi di notifica al Garante e di comunicazione agli interessati, con il supporto del DPO nell’ambito delle sue funzioni. Confondere questi ruoli può compromettere la tempestività delle comunicazioni e la corretta ricostruzione delle responsabilità. Abbiamo approfondito le conseguenze operative nell’articolo dedicato a cosa deve fare l’azienda quando un fornitore subisce un data breach.
Le irregolarità nella designazione del DPO, nella disciplina dei rapporti con i responsabili esterni o nell’organizzazione dei controlli possono assumere rilievo nell’ambito delle verifiche dell’autorità di controllo. Le violazioni degli obblighi previsti dagli articoli 28 e da 37 a 39 rientrano, ricorrendone i presupposti, nel regime sanzionatorio dell’articolo 83, paragrafo 4, del GDPR, che prevede sanzioni amministrative pecuniarie fino a 10 milioni di euro o, per le imprese, fino al 2% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore. L’applicazione e la quantificazione della sanzione dipendono dalle circostanze concrete e dai criteri stabiliti dal Regolamento: non ogni irregolarità comporta automaticamente l’irrogazione di una sanzione pecuniaria.
Quando emergono anomalie, l’intervento deve riguardare tanto la documentazione quanto l’organizzazione effettiva. Può essere necessario modificare gli incarichi, integrare i contratti con i responsabili esterni, separare funzioni incompatibili oppure sostituire il DPO. La scelta dipende dalla natura dell’irregolarità e dalla possibilità di ripristinare condizioni di indipendenza e corretta attribuzione delle responsabilità. Per le imprese che devono verificare più rapporti contrattuali, questa attività può essere inserita in un intervento di adeguamento GDPR aziendale, mantenendo distinta la verifica dei ruoli dalle altre attività di conformità.
Esempio pratico: una società affida allo stesso fornitore il servizio DPO e la gestione dei dati
Consideriamo il caso ipotetico di una società con numerosi dipendenti che affida a un fornitore esterno la gestione di alcune piattaforme informatiche contenenti dati del personale e dei clienti. La stessa società di servizi viene incaricata anche di svolgere la funzione di DPO. I contratti sono stati sottoscritti in momenti differenti e non chiariscono adeguatamente la separazione tra attività operative e funzioni di sorveglianza.
Durante una verifica della documentazione privacy emerge che il fornitore assume decisioni sull’organizzazione tecnica di alcuni trattamenti e che il professionista designato DPO partecipa direttamente a tali decisioni. Il problema non consiste nella semplice presenza di due contratti con la stessa società, ma nella necessità di stabilire se il DPO possa esercitare un controllo indipendente su attività alle quali contribuisce personalmente.
Un intervento professionale in una situazione simile richiederebbe l’esame degli incarichi, dei flussi decisionali, delle istruzioni impartite al responsabile esterno e delle attività effettivamente svolte dal DPO. L’aspetto più delicato sarebbe individuare quali funzioni possano essere mantenute e quali debbano essere separate. In base agli accertamenti, l’azienda potrebbe riorganizzare le competenze, modificare i rapporti contrattuali oppure affidare la funzione di DPO a un soggetto diverso, documentando le ragioni delle scelte adottate.
Domande frequenti su DPO e responsabile del trattamento
Una società che tratta dati personali per conto di altre aziende deve nominare un proprio DPO?
Non necessariamente. Anche il responsabile del trattamento è soggetto all’obbligo di designare un DPO quando ricorrono le condizioni previste dall’articolo 37 del GDPR. Occorre quindi esaminare le attività principali della società, la natura dei dati trattati e l’eventuale svolgimento di monitoraggi regolari e sistematici su larga scala. La semplice qualifica di responsabile esterno non determina automaticamente l’obbligo di nomina.
Il DPO di un’azienda può essere anche il DPO di un suo fornitore?
Il GDPR non vieta in termini generali che uno stesso professionista svolga l’incarico per organizzazioni differenti. È però necessario verificare che possa esercitare le proprie funzioni in modo indipendente, disponendo delle risorse necessarie e senza conflitti di interessi. La valutazione assume particolare rilievo quando il DPO dovrebbe esaminare rapporti contrattuali, incidenti di sicurezza o trattamenti che coinvolgono entrambe le organizzazioni.
Se il DPO esterno consulta dati personali durante un audit, deve essere nominato responsabile del trattamento?
Non automaticamente. L’accesso ai dati nell’esercizio delle funzioni previste dall’articolo 39 del GDPR non è sufficiente, da solo, a qualificare il DPO come responsabile del trattamento. Occorre verificare se il professionista svolga anche operazioni sui dati per conto del titolare nell’ambito di un distinto servizio. In tale ipotesi, la qualificazione giuridica e gli eventuali obblighi contrattuali devono essere valutati in relazione alle attività concretamente affidate.
Chi deve intervenire se il responsabile esterno non rispetta le istruzioni ricevute?
Il titolare deve valutare la violazione e adottare le misure contrattuali e organizzative appropriate. Il DPO può fornire consulenza, esaminare le criticità e sorvegliare gli aspetti di conformità, ma non sostituisce automaticamente il titolare nella gestione del rapporto con il fornitore. Se il responsabile determina autonomamente finalità e mezzi di un trattamento in violazione del GDPR, l’articolo 28, paragrafo 10, prevede che sia considerato titolare rispetto a quel trattamento, ferme le ulteriori responsabilità applicabili.
Come deve comportarsi un’azienda che scopre di avere confuso gli incarichi di DPO e responsabile del trattamento?
È opportuno verificare tempestivamente gli atti di designazione, i contratti, le attività effettivamente svolte e l’eventuale presenza di conflitti di interessi. A seconda delle irregolarità riscontrate, può essere necessario integrare la documentazione, ridefinire le competenze o modificare gli incarichi. Se la situazione coinvolge una nomina DPO incompatibile, occorre valutare anche gli adempimenti conseguenti all’eventuale sostituzione del professionista.
DPO e responsabile del trattamento: richiedere una valutazione degli incarichi aziendali
Quando un’azienda affida allo stesso professionista o fornitore più attività relative alla protezione dei dati personali, è necessario verificare che gli incarichi siano giuridicamente corretti e che il DPO possa svolgere le proprie funzioni con l’indipendenza richiesta dal GDPR. La presenza di contratti formalmente distinti non è sufficiente se le responsabilità operative e quelle di sorveglianza risultano sovrapposte.
Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, assiste le imprese nella valutazione dei ruoli privacy, nella verifica degli incarichi e nell’organizzazione dei rapporti tra titolare, DPO e responsabili esterni del trattamento. Esaminiamo la situazione concreta dell’azienda per individuare eventuali criticità contrattuali e organizzative e valutare gli interventi appropriati.
Se la vostra società deve nominare un DPO esterno, verificare la compatibilità di incarichi già conferiti oppure riorganizzare le funzioni di protezione dei dati, potete richiedere una valutazione attraverso il modulo dedicato al servizio DPO esterno per aziende. Esamineremo la richiesta per valutare le esigenze dell’impresa e le possibili modalità di assistenza professionale.
