Articolo a cura di: Redazione - Studio Legale Calvello

La nomina di un DPO esterno, o Responsabile della Protezione dei Dati (RPD), richiede più della semplice individuazione di un professionista e della sottoscrizione di una lettera d’incarico. L’azienda deve verificare che il soggetto designato possieda competenze adeguate, possa operare con indipendenza e sia effettivamente coinvolto nelle attività che comportano rischi per i dati personali. Una designazione formalmente corretta, ma priva di condizioni organizzative idonee a consentire l’esercizio delle funzioni, può esporre l’impresa a contestazioni in materia di GDPR.

Il problema interessa sia le società obbligate alla designazione ai sensi dell’art. 37 del Regolamento (UE) 2016/679, sia quelle che decidono volontariamente di avvalersi di un DPO esterno. Occorre distinguere i compiti di vigilanza e consulenza del professionista dalle responsabilità che rimangono in capo al titolare del trattamento. Per gli amministratori, comprendere questa distinzione è necessario per definire correttamente l’incarico, organizzare i rapporti interni e valutare eventuali carenze del servizio.

Nomina del DPO esterno: quando è necessaria e quali verifiche deve effettuare l’azienda

Il GDPR consente espressamente di affidare le funzioni di Responsabile della Protezione dei Dati a un soggetto esterno mediante un contratto di servizi. L’art. 37, paragrafo 6, riconosce questa possibilità senza attribuire al DPO esterno un ruolo giuridicamente diverso da quello del professionista interno. In entrambi i casi devono essere rispettati i requisiti di professionalità, indipendenza e accessibilità previsti dal Regolamento.

Prima di procedere alla nomina, l’impresa deve verificare se ricorra uno dei presupposti che rendono obbligatoria la designazione. Per i soggetti privati, assumono particolare rilievo le attività principali che comportano il monitoraggio regolare e sistematico degli interessati su larga scala oppure il trattamento su larga scala di categorie particolari di dati personali o di dati relativi a condanne penali e reati. La valutazione deve riguardare la natura effettiva dei trattamenti e non può basarsi esclusivamente sul numero dei dipendenti, sul fatturato o sulla forma societaria.

Quando sussiste l’obbligo, l’azienda deve procedere alla designazione di un soggetto idoneo. Quando invece la nomina è volontaria, il professionista formalmente designato come DPO rimane soggetto alle disposizioni degli artt. 37-39 del GDPR. Non è quindi corretto considerare la nomina facoltativa come un incarico informale, liberamente sottratto ai requisiti previsti dalla normativa. Diversa è la posizione del semplice consulente privacy, che può svolgere attività di assistenza senza assumere la qualifica di DPO.

Una volta accertata la necessità o l’opportunità della designazione, occorre verificare le caratteristiche del professionista. L’art. 37, paragrafo 5, richiede che il DPO sia individuato in funzione delle qualità professionali, della conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati e della capacità di assolvere i compiti indicati dall’art. 39. Non è previsto un titolo di studio o una certificazione professionale specifica come condizione generale di validità della nomina. Le competenze necessarie devono però essere proporzionate alla complessità dei trattamenti e ai rischi dell’organizzazione.

Per una società che tratta dati sanitari, utilizza sistemi di profilazione o gestisce infrastrutture informatiche complesse, la verifica delle competenze deve considerare anche la capacità del DPO di comprendere le implicazioni organizzative e tecnologiche delle attività aziendali. La conoscenza giuridica del GDPR deve accompagnarsi alla possibilità di valutare concretamente le procedure adottate e di interloquire con i responsabili delle diverse funzioni. La scelta può richiedere competenze multidisciplinari, soprattutto quando l’incarico viene affidato a una società esterna.

Particolare attenzione merita il conflitto di interessi del DPO esterno. L’art. 38, paragrafo 6, consente al professionista di svolgere altri compiti, purché questi non compromettano la sua indipendenza. Il problema si presenta quando il soggetto incaricato determina, nell’esercizio di altre funzioni, finalità o mezzi dei trattamenti che dovrebbe successivamente controllare come DPO. Non ogni attività di consulenza è incompatibile, ma l’azienda deve esaminare concretamente le mansioni affidate e l’effettiva autonomia del professionista.

La verifica deve precedere la sottoscrizione dell’incarico e non esaurirsi in una dichiarazione generica di assenza di incompatibilità. È opportuno documentare le valutazioni effettuate, individuare eventuali incarichi paralleli e verificare se la struttura organizzativa consenta al DPO di esercitare le proprie funzioni senza ricevere istruzioni sul loro svolgimento. Il titolare deve inoltre assicurare che il professionista possa riferire direttamente al vertice aziendale.

Per le imprese che stanno valutando l’esternalizzazione, abbiamo approfondito separatamente le differenze tra DPO interno ed esterno. Una volta scelta la soluzione esterna, la questione centrale diventa la corretta configurazione dell’incarico e la verifica della capacità del professionista di operare nelle condizioni richieste dal GDPR.

Compiti del DPO esterno e organizzazione dell’incarico: cosa deve prevedere la nomina

L’art. 39 del GDPR individua le funzioni minime del Responsabile della Protezione dei Dati. Il DPO deve informare e fornire consulenza al titolare o al responsabile del trattamento e ai dipendenti che eseguono i trattamenti, sorvegliare l’osservanza della normativa e delle politiche aziendali, fornire pareri sulla valutazione d’impatto quando richiesto, cooperare con l’autorità di controllo e fungere da punto di contatto con quest’ultima.

La funzione di sorveglianza comprende la valutazione dell’attribuzione delle responsabilità interne, delle attività di sensibilizzazione e formazione del personale e delle verifiche sulla conformità. L’attività deve essere organizzata considerando natura, ambito di applicazione, contesto e finalità dei trattamenti, con particolare attenzione ai rischi per i diritti e le libertà delle persone fisiche. Non esiste un numero uniforme di controlli o di ore di presenza valido per tutte le imprese: la frequenza e le modalità operative devono essere coerenti con le caratteristiche dell’organizzazione.

Il DPO può esaminare il registro delle attività di trattamento, verificare la coerenza delle informative, formulare osservazioni sui rapporti con i responsabili esterni ai sensi dell’art. 28 del GDPR e valutare le procedure relative alla conservazione dei dati. Può intervenire nella fase di progettazione di nuovi trattamenti, quando l’azienda introduce software gestionali, piattaforme cloud, sistemi di videosorveglianza o strumenti che comportano il monitoraggio delle attività lavorative. Questi interventi rientrano nella sua funzione consultiva e di sorveglianza, mentre le decisioni sui trattamenti e la responsabilità della conformità rimangono in capo ai soggetti individuati dal GDPR.

La distinzione assume particolare rilievo per la valutazione d’impatto sulla protezione dei dati, o DPIA. Ai sensi dell’art. 35, paragrafo 2, il titolare consulta il DPO, qualora designato, quando effettua una valutazione d’impatto. Il professionista può esprimere osservazioni sulla necessità della valutazione, sulla metodologia adottata e sulle misure previste per affrontare i rischi. La responsabilità di effettuare la DPIA e di adottare le decisioni conseguenti resta però del titolare. Attribuire contrattualmente al DPO ogni responsabilità per la conformità dei trattamenti significherebbe confondere funzioni che il Regolamento mantiene distinte.

Un’impostazione analoga vale per gli incidenti di sicurezza. In presenza di un data breach, il DPO deve essere coinvolto tempestivamente affinché possa fornire il proprio parere sugli obblighi applicabili e sulle misure da adottare. La valutazione del rischio, l’eventuale notifica al Garante e la comunicazione agli interessati devono essere gestite dal titolare secondo gli artt. 33 e 34 del GDPR, con il supporto delle funzioni aziendali competenti. Il DPO non diventa automaticamente il soggetto obbligato alla notifica per il solo fatto di essere stato nominato.

Per rendere effettivo l’incarico, l’azienda deve predisporre modalità di coinvolgimento del professionista nelle decisioni rilevanti. L’art. 38 richiede che il DPO sia coinvolto tempestivamente e adeguatamente in tutte le questioni riguardanti la protezione dei dati personali, disponga delle risorse necessarie e possa accedere ai dati e ai trattamenti. Deve inoltre essere sostenuto nel mantenimento delle proprie conoscenze specialistiche. Un contratto che preveda genericamente una disponibilità telefonica, senza disciplinare i flussi informativi e le condizioni di accesso alle funzioni aziendali, potrebbe risultare inadeguato rispetto alle esigenze concrete dell’impresa.

La lettera di nomina e il contratto di servizi devono identificare il soggetto incaricato, definire le modalità di esecuzione delle funzioni, disciplinare la riservatezza e regolare gli aspetti organizzativi ed economici del rapporto. È opportuno chiarire le procedure di coinvolgimento del DPO, i referenti aziendali, le modalità di comunicazione delle criticità e le condizioni di intervento in caso di urgenza. Le clausole contrattuali non possono comunque limitare l’indipendenza del professionista né esonerare il titolare dalle responsabilità che la normativa gli attribuisce.

Una volta formalizzata la designazione, il titolare o il responsabile del trattamento deve pubblicare i dati di contatto del DPO e comunicarli al Garante per la protezione dei dati personali, secondo l’art. 37, paragrafo 7. Occorre rendere effettivamente utilizzabili tali recapiti e assicurare che gli interessati e l’autorità di controllo possano contattare il professionista. La comunicazione della nomina non sostituisce la verifica sostanziale dei requisiti e dell’effettivo svolgimento delle funzioni.

Le modalità con cui queste attività vengono tradotte in obblighi contrattuali richiedono attenzione, soprattutto nei rapporti di durata. Abbiamo esaminato specificamente le clausole essenziali del contratto con il DPO esterno, mentre per comprendere la concreta articolazione delle prestazioni nel corso dell’incarico è possibile consultare l’approfondimento dedicato a cosa fa il DPO esterno durante l’anno. La definizione delle attività deve comunque rispettare il ruolo attribuito al DPO dal Regolamento e consentire all’azienda di verificare che il servizio sia realmente adeguato alla propria organizzazione.

Responsabilità del DPO esterno: quali rischi rimangono a carico dell’azienda

La nomina di un DPO esterno non trasferisce al professionista la responsabilità generale dell’azienda per il rispetto del GDPR. Il principio di responsabilizzazione, previsto dall’art. 5, paragrafo 2, e dall’art. 24 del Regolamento, impone al titolare del trattamento di adottare misure tecniche e organizzative adeguate e di poter dimostrare la conformità dei trattamenti. Il DPO svolge funzioni di consulenza, sorveglianza e raccordo con l’autorità di controllo, ma non sostituisce gli organi aziendali nelle decisioni relative alla gestione dei dati personali.

Questa distinzione assume particolare importanza quando si verifica una violazione della normativa. Se il Garante per la protezione dei dati personali accerta un trattamento illecito, l’esistenza di un DPO regolarmente nominato non esclude automaticamente la responsabilità del titolare. L’autorità può verificare quali misure siano state adottate, se il professionista sia stato coinvolto nelle questioni pertinenti e se l’organizzazione abbia tenuto conto delle osservazioni ricevute. La designazione costituisce quindi un elemento dell’assetto organizzativo previsto dal GDPR, non una forma di esonero dalle responsabilità aziendali.

Occorre distinguere questa posizione dalla possibile responsabilità professionale del DPO esterno. Il professionista assume obblighi derivanti dal contratto e dalla disciplina applicabile al proprio incarico. Se omette ingiustificatamente attività dovute, fornisce indicazioni professionalmente negligenti oppure viola gli obblighi di riservatezza, possono emergere profili di responsabilità contrattuale nei confronti dell’azienda. L’eventuale richiesta risarcitoria richiede comunque l’accertamento dell’inadempimento, del danno e del nesso causale, secondo le regole applicabili al rapporto.

Non ogni violazione del GDPR costituisce, di per sé, un errore imputabile al DPO. Se il professionista ha segnalato una criticità e l’azienda ha deciso di non adottare le misure suggerite, occorre considerare la ripartizione effettiva delle competenze e le decisioni assunte dal titolare. Analogamente, un parere inesatto non determina automaticamente una responsabilità risarcitoria: è necessario verificare il contenuto dell’incarico, la diligenza professionale esigibile, le informazioni disponibili e le conseguenze concretamente riconducibili alla condotta contestata.

Un ulteriore profilo riguarda l’indipendenza del Responsabile della Protezione dei Dati. L’art. 38, paragrafo 3, stabilisce che il DPO non deve ricevere istruzioni per quanto riguarda l’esecuzione dei propri compiti e non può essere rimosso o penalizzato dal titolare o dal responsabile del trattamento per averli assolti. Deve inoltre poter riferire direttamente al vertice gerarchico. La previsione non impedisce qualsiasi cessazione del rapporto contrattuale, ma richiede che le decisioni aziendali non compromettano le garanzie riconosciute al professionista nello svolgimento delle funzioni.

In presenza di un DPO esterno che svolga contemporaneamente altri incarichi, il rischio di conflitto di interessi deve essere valutato anche durante l’esecuzione del contratto. Una situazione inizialmente compatibile potrebbe modificarsi quando al professionista vengano attribuite nuove responsabilità operative. Se, ad esempio, il DPO assumesse il potere di determinare finalità e mezzi di trattamenti che dovrebbe successivamente sorvegliare, l’azienda dovrebbe riesaminare l’assetto degli incarichi e individuare una soluzione conforme all’art. 38, paragrafo 6.

Le verifiche del Garante possono riguardare anche l’effettività della designazione. Una lettera di nomina correttamente sottoscritta non dimostra, da sola, che il DPO abbia ricevuto le risorse necessarie, sia stato coinvolto nelle decisioni pertinenti o abbia potuto esercitare le proprie funzioni con indipendenza. Per questa ragione è opportuno conservare la documentazione relativa all’incarico, alle comunicazioni effettuate, ai pareri ricevuti e alle modalità di coinvolgimento del professionista, nel rispetto delle esigenze di riservatezza.

Le violazioni delle disposizioni degli artt. 37-39 del GDPR rientrano nel regime sanzionatorio dell’art. 83, paragrafo 4, che prevede, nei casi applicabili, sanzioni amministrative pecuniarie fino a 10 milioni di euro oppure, per le imprese, fino al 2% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore. Si tratta di limiti massimi normativi, non di importi automaticamente applicabili a ogni irregolarità. L’autorità deve valutare le circostanze del caso secondo i criteri previsti dal Regolamento.

Quando emergono carenze nell’esecuzione dell’incarico, l’azienda dovrebbe verificare tempestivamente la documentazione contrattuale, le attività effettivamente svolte e le criticità segnalate. Se il problema riguarda l’assenza di un servizio sostanziale, può essere utile consultare l’approfondimento dedicato al DPO assente o soltanto formale e ai rischi per l’azienda. Qualora si renda necessaria una sostituzione, occorre gestire la continuità delle funzioni e gli adempimenti conseguenti, secondo quanto esaminato nell’articolo su come cambiare DPO e organizzare il passaggio di incarico.

Esempio pratico: nomina di un DPO esterno e verifica dell’indipendenza professionale

Si consideri il caso di una società che gestisce una piattaforma digitale attraverso la quale vengono trattati dati personali di clienti e dipendenti. L’impresa intende affidare a un consulente esterno l’incarico di DPO, ma lo stesso professionista presta già assistenza nella gestione dei sistemi informatici e partecipa ad alcune decisioni sulle modalità di trattamento dei dati.

Prima della nomina, è necessario esaminare le attività concretamente attribuite al consulente e verificare se esse comportino la determinazione delle finalità o dei mezzi dei trattamenti. La semplice presenza di un rapporto professionale preesistente non determina automaticamente un’incompatibilità. Il problema sorge quando le funzioni operative affidate al soggetto possono compromettere l’indipendenza richiesta per la sorveglianza della conformità al GDPR.

In una situazione di questo tipo, la valutazione professionale deve riguardare l’organizzazione aziendale, il contenuto degli incarichi e la possibilità di separare effettivamente le funzioni. Se il conflitto non può essere eliminato mediante una diversa attribuzione delle responsabilità, l’impresa deve considerare la designazione di un altro professionista. Occorre poi formalizzare l’incarico, definire i rapporti con le funzioni interne e assicurare il coinvolgimento del DPO nelle questioni pertinenti alla protezione dei dati personali.

L’esempio mostra perché la verifica preventiva dei requisiti non possa limitarsi al curriculum professionale o alla sottoscrizione di una dichiarazione di indipendenza. La compatibilità dell’incarico dipende anche dai poteri effettivamente esercitati dal soggetto designato e dalle condizioni organizzative nelle quali dovrà operare.

Domande frequenti sulla nomina del DPO esterno

Un’azienda può nominare come DPO esterno il proprio avvocato o consulente privacy?

Sì, purché il professionista possieda le competenze richieste dall’art. 37 del GDPR e non si trovi in una situazione di conflitto di interessi. L’esistenza di un precedente rapporto di consulenza non costituisce automaticamente un’incompatibilità. Occorre però verificare che gli altri incarichi non comportino la determinazione delle finalità e dei mezzi dei trattamenti sui quali il professionista dovrà esercitare la propria funzione di sorveglianza.

Il DPO esterno deve possedere una certificazione professionale obbligatoria?

No. Il GDPR non prevede una certificazione specifica come requisito generale per la designazione. Il titolare deve comunque verificare e poter documentare l’adeguatezza delle competenze professionali rispetto alla natura, alla complessità e ai rischi dei trattamenti effettuati. Eventuali certificazioni possono costituire elementi utili di valutazione, ma non sostituiscono l’esame delle effettive capacità del candidato.

È possibile nominare una società di consulenza come DPO esterno?

Sì. L’incarico può essere affidato mediante un contratto di servizi a una persona giuridica, purché siano assicurati l’effettivo svolgimento delle funzioni, l’individuazione delle persone incaricate di eseguirle e il rispetto dei requisiti di competenza, indipendenza e assenza di conflitti di interessi. Devono essere chiari anche i referenti e le modalità attraverso le quali l’azienda, gli interessati e il Garante possono contattare il DPO.

Il DPO esterno può essere ritenuto responsabile se l’azienda riceve una sanzione GDPR?

La sanzione nei confronti del titolare non determina automaticamente una responsabilità del DPO. Il professionista può rispondere di eventuali inadempimenti contrattuali o condotte negligenti secondo le regole applicabili, ma occorre accertare gli obblighi concretamente assunti, la violazione contestata, l’esistenza di un danno e il relativo nesso causale. La responsabilità del titolare per la conformità dei trattamenti rimane distinta da quella eventualmente imputabile al professionista.

La nomina del DPO esterno deve essere comunicata al Garante Privacy?

Sì. L’art. 37, paragrafo 7, del GDPR impone al titolare o al responsabile del trattamento di pubblicare i dati di contatto del DPO e comunicarli all’autorità di controllo. In Italia la comunicazione avviene attraverso la procedura predisposta dal Garante per la protezione dei dati personali. Anche le variazioni rilevanti dei dati comunicati e la cessazione o sostituzione dell’incarico devono essere gestite mediante gli appositi adempimenti.

Nomina del DPO esterno: richiedi una valutazione per la tua azienda

La corretta nomina di un DPO esterno richiede una verifica dei requisiti professionali, dell’indipendenza, delle eventuali incompatibilità e delle condizioni organizzative necessarie per svolgere l’incarico. Una designazione inadeguata può creare criticità nei rapporti con il Garante e rendere più difficile dimostrare l’effettivo rispetto degli obblighi previsti dal GDPR.

Lo Studio Legale Calvello, con oltre 25 anni di esperienza nell’assistenza legale, può esaminare le esigenze dell’impresa, valutare i profili giuridici della nomina e fornire assistenza nella definizione o nella verifica dell’incarico di DPO esterno, tenendo conto delle caratteristiche dei trattamenti e dell’organizzazione aziendale.

Se la tua società deve nominare un Responsabile della Protezione dei Dati esterno, verificare un incarico esistente oppure affrontare dubbi sui requisiti e sulle responsabilità del professionista, richiedi una valutazione per la nomina del DPO esterno della tua azienda attraverso il modulo dedicato. Esamineremo la richiesta per individuare le esigenze giuridiche e organizzative che richiedono un approfondimento professionale.