Articolo a cura di: Redazione - Studio Legale Calvello

La nomina del Responsabile della Protezione dei Dati (DPO o RPD) non esaurisce gli adempimenti dell’impresa. Perché questa figura possa svolgere efficacemente le proprie funzioni, occorre organizzare nel tempo le verifiche sulla conformità al GDPR, la formazione del personale e la comunicazione delle criticità alla direzione. Un piano annuale del DPO consente di programmare tali attività, stabilire le priorità e documentare il monitoraggio effettuato.

Il problema si presenta soprattutto nelle aziende che hanno nominato un DPO esterno ma non dispongono di un programma di controlli, oppure nelle quali la documentazione privacy viene aggiornata soltanto quando si verifica un incidente o arriva una richiesta del Garante. Il GDPR non impone un documento denominato formalmente “piano annuale del DPO”, ma richiede che il responsabile possa esercitare concretamente i compiti previsti dall’art. 39 del Regolamento (UE) 2016/679. Per l’impresa, organizzare e verificare queste attività significa poter individuare le carenze e assumere decisioni documentate prima che producano conseguenze più difficili da gestire.

Perché il DPO deve programmare le verifiche e quali rischi corre un’azienda senza controlli periodici

In molte imprese la gestione della privacy viene considerata conclusa dopo la predisposizione delle informative, del registro dei trattamenti e delle designazioni dei soggetti coinvolti. Con il passare del tempo, però, cambiano i programmi informatici, vengono introdotti nuovi servizi, si modificano le mansioni dei dipendenti e vengono affidate attività a fornitori esterni. Una documentazione inizialmente corretta può quindi non rappresentare più i trattamenti effettivamente svolti.

Il programma annuale delle attività del DPO serve a organizzare il monitoraggio di questi cambiamenti. L’art. 39, paragrafo 1, lettera b), del GDPR attribuisce al Responsabile della Protezione dei Dati il compito di sorvegliare l’osservanza del Regolamento, delle altre disposizioni applicabili e delle politiche adottate dal titolare o dal responsabile del trattamento. Tale funzione comprende anche la sensibilizzazione, la formazione del personale e le attività di controllo connesse.

La norma non stabilisce un numero minimo di audit, una frequenza annuale obbligatoria per ogni verifica o un calendario identico per tutte le aziende. La programmazione deve essere commisurata alla natura dei trattamenti, alla complessità organizzativa e ai rischi per i diritti e le libertà delle persone interessate. Una società che tratta prevalentemente dati ordinari di clienti e fornitori presenta esigenze differenti rispetto a una struttura sanitaria che gestisce informazioni sulla salute oppure a un’impresa che effettua monitoraggi sistematici su larga scala.

Il primo problema da affrontare è quindi la mancanza di un collegamento tra i rischi effettivi dell’azienda e le attività di controllo del DPO. Un programma che preveda verifiche generiche, senza considerare i processi aziendali più esposti, può lasciare irrisolte criticità rilevanti. Lo stesso accade quando il DPO formula raccomandazioni che non vengono trasmesse ai responsabili competenti oppure non viene successivamente verificato se gli interventi siano stati eseguiti.

La responsabilità di assicurare e dimostrare la conformità dei trattamenti rimane in capo al titolare, secondo gli artt. 5, paragrafo 2, e 24 del GDPR. Il DPO esercita una funzione di consulenza e sorveglianza, senza sostituirsi agli organi aziendali nelle decisioni sulle finalità e sui mezzi del trattamento. Questo significa che la presenza di un DPO non trasferisce automaticamente su di lui le responsabilità dell’impresa, né rende superflua l’attuazione delle misure organizzative necessarie.

In caso di ispezione o richiesta di informazioni del Garante Privacy, l’azienda potrebbe dover dimostrare quali misure abbia adottato e come ne abbia verificato l’efficacia. La disponibilità di programmi di controllo, verbali, relazioni e documentazione degli interventi correttivi può contribuire a ricostruire le attività effettivamente svolte. L’assenza di un piano annuale, considerata isolatamente, non costituisce una violazione autonoma del GDPR, ma può accompagnarsi a carenze sostanziali nel sistema di gestione dei dati personali.

Per le imprese che hanno affidato l’incarico a un professionista esterno, la pianificazione permette anche di distinguere un servizio continuativo da un incarico limitato alla disponibilità del consulente in caso di necessità. Abbiamo approfondito questa distinzione nell’articolo dedicato a cosa comprende concretamente il servizio DPO esterno per un’azienda.

Come organizzare il piano annuale del DPO tra audit GDPR, formazione e relazioni alla direzione

La predisposizione del piano annuale dovrebbe partire dall’esame della situazione aziendale esistente. Il DPO deve poter conoscere l’organizzazione, i trattamenti effettuati, le precedenti verifiche, gli incidenti eventualmente registrati e le modifiche previste nei processi operativi. L’art. 38, paragrafo 2, del GDPR richiede che il titolare e il responsabile del trattamento sostengano il DPO nell’esecuzione dei suoi compiti, fornendogli le risorse necessarie e l’accesso ai dati personali e ai trattamenti.

Una programmazione attendibile richiede quindi la collaborazione della direzione e dei responsabili delle funzioni aziendali. Il DPO può individuare le aree da sottoporre a verifica e formulare raccomandazioni, mentre l’impresa deve assicurare che le informazioni necessarie siano disponibili e che gli interventi organizzativi decisi vengano concretamente attuati.

Le verifiche periodiche costituiscono una parte centrale del programma. A seconda dei rischi individuati, possono riguardare l’aggiornamento del registro delle attività di trattamento, la coerenza delle informative, le istruzioni impartite al personale autorizzato, i rapporti contrattuali con i responsabili esterni ai sensi dell’art. 28 GDPR e l’effettiva applicazione delle procedure interne.

Particolare attenzione deve essere riservata ai cambiamenti intervenuti durante l’anno. L’introduzione di un nuovo gestionale, l’affidamento di servizi informatici a un fornitore cloud, l’installazione di sistemi di videosorveglianza o la modifica delle modalità di gestione dei dati dei dipendenti possono richiedere verifiche ulteriori rispetto a quelle inizialmente programmate. Quando il trattamento presenta un rischio elevato, occorre valutare anche gli adempimenti relativi alla valutazione d’impatto sulla protezione dei dati, secondo l’art. 35 GDPR.

Per questo motivo il calendario non dovrebbe essere considerato immutabile. Gli audit possono essere programmati con periodicità differenziata e integrati da controlli straordinari quando emergono nuove criticità. La scelta della frequenza dipende dal rischio e dalle caratteristiche del trattamento, non dall’esistenza di una scadenza annuale generalizzata. Per gli aspetti relativi alle singole verifiche abbiamo predisposto un approfondimento su quali controlli deve effettuare il DPO durante un audit privacy aziendale.

Un secondo ambito riguarda la formazione periodica del personale che tratta dati personali. Il programma dovrebbe considerare le mansioni concretamente svolte, evitando corsi indistinti che non affrontano le situazioni operative dei diversi reparti. Il personale amministrativo può avere bisogno di istruzioni sulla gestione dei documenti e delle comunicazioni contenenti dati personali; i responsabili HR devono conoscere le regole applicabili ai dati dei dipendenti; il personale IT deve essere sensibilizzato sulle procedure di sicurezza e sulla gestione degli incidenti.

Il GDPR non impone indistintamente a tutte le aziende un corso annuale con una durata prestabilita. L’impresa deve invece assicurare che le persone autorizzate operino secondo istruzioni adeguate e che le misure organizzative siano proporzionate ai rischi. La formazione, richiamata espressamente tra le attività di sorveglianza del DPO dall’art. 39, deve essere programmata e aggiornata quando cambiano le procedure, gli strumenti utilizzati o le esigenze dell’organizzazione.

È opportuno conservare evidenza delle iniziative svolte, dei destinatari e degli argomenti trattati. Tali informazioni permettono di individuare eventuali carenze formative e di programmare gli aggiornamenti successivi, senza confondere la semplice partecipazione a un corso con l’effettiva capacità del personale di applicare le istruzioni ricevute.

La terza componente riguarda il report periodico del DPO alla direzione aziendale. L’art. 38, paragrafo 3, GDPR prevede che il Responsabile della Protezione dei Dati riferisca direttamente al vertice gerarchico del titolare o del responsabile del trattamento. Questa previsione deve tradursi nella possibilità concreta di portare all’attenzione degli organi decisionali le criticità rilevate, senza filtri organizzativi che compromettano l’indipendenza della funzione.

Il report può contenere le verifiche eseguite, le non conformità riscontrate, le raccomandazioni formulate, lo stato degli interventi correttivi e le questioni che richiedono una decisione della direzione. La relazione annuale rappresenta una modalità organizzativa utile per documentare complessivamente il lavoro svolto, ma il GDPR non prescrive un modello uniforme né impone in termini generali una relazione con cadenza annuale. Le criticità urgenti devono essere comunicate tempestivamente, senza attendere il successivo appuntamento programmato.

Per rendere effettivo il monitoraggio, ogni raccomandazione che richiede un intervento dovrebbe essere collegata alla funzione aziendale competente e a una verifica successiva dello stato di attuazione. Il DPO può sorvegliare e segnalare le carenze, ma non deve assumere decisioni operative incompatibili con la propria indipendenza o tali da determinare un conflitto di interessi.

La programmazione deve infine prevedere momenti di riesame. Un incidente di sicurezza, una riorganizzazione societaria o l’introduzione di trattamenti particolarmente delicati possono modificare le priorità e rendere necessario anticipare alcune verifiche. Il valore del piano annuale dipende proprio dalla capacità di collegare il controllo documentale alle attività effettive dell’impresa e alle decisioni che la direzione è chiamata ad assumere.

Responsabilità dell’azienda, controlli correttivi e documentazione delle attività del DPO

Un piano annuale del DPO produce risultati utili soltanto quando le verifiche programmate sono accompagnate da un sistema che consenta di gestire le criticità riscontrate. Individuare un’informativa non aggiornata, un contratto con un responsabile esterno incompleto o una procedura di sicurezza non applicata rappresenta il punto di partenza dell’intervento. Occorre poi stabilire quali misure adottare, chi debba attuarle e come verificarne l’effettiva esecuzione.

Il principio di responsabilizzazione previsto dall’art. 5, paragrafo 2, del GDPR impone al titolare del trattamento di essere in grado di comprovare il rispetto dei principi applicabili. L’art. 24 richiede inoltre l’adozione di misure tecniche e organizzative adeguate, da riesaminare e aggiornare quando necessario. La documentazione delle attività di controllo assume quindi rilevanza nella capacità dell’impresa di dimostrare come abbia organizzato e mantenuto il proprio sistema di protezione dei dati personali.

Quando il DPO individua una non conformità, dovrebbe descrivere la situazione riscontrata, le possibili conseguenze per gli interessati e le raccomandazioni formulate. La direzione, con il supporto delle funzioni competenti, deve valutare gli interventi da eseguire, assegnare le relative responsabilità operative e mettere a disposizione le risorse necessarie. Una successiva verifica permette di accertare se la criticità sia stata effettivamente affrontata oppure se permangano rischi che richiedono ulteriori decisioni.

Questo procedimento assume particolare importanza nelle aziende nelle quali le attività privacy coinvolgono reparti differenti. Una carenza relativa alla gestione delle credenziali informatiche può richiedere l’intervento dell’IT; un problema nella conservazione dei dati dei dipendenti può coinvolgere le risorse umane; l’utilizzo di fornitori che trattano dati personali può richiedere verifiche contrattuali e organizzative. Il DPO deve poter interloquire con tali funzioni senza assumere direttamente decisioni sulle finalità e sui mezzi dei trattamenti che potrebbero compromettere la sua indipendenza.

Il report alla direzione deve distinguere le verifiche effettuate dalle misure correttive ancora da attuare. Una relazione che si limiti a riportare l’elenco delle attività svolte, senza indicare le criticità aperte, offre agli amministratori informazioni incomplete. È invece opportuno che il documento permetta di comprendere quali problemi siano stati individuati, quali interventi siano stati approvati e quali questioni richiedano ancora una decisione.

La direzione deve prestare particolare attenzione alle raccomandazioni riguardanti trattamenti che presentano rischi elevati per gli interessati. Quando emergono carenze nelle misure di sicurezza, nella gestione degli accessi, nelle procedure relative alle violazioni dei dati personali o nella valutazione d’impatto, può essere necessario anticipare le verifiche previste dal calendario. Il programma annuale non può infatti giustificare il rinvio di interventi che richiedono una valutazione immediata.

Un ulteriore aspetto riguarda il rapporto tra attività del DPO e responsabilità degli amministratori. La funzione consultiva e di sorveglianza del Responsabile della Protezione dei Dati non elimina gli obblighi del titolare del trattamento. Se l’impresa riceve una segnalazione documentata su una carenza e decide di non intervenire, tale scelta deve essere valutata alla luce degli obblighi applicabili e dei rischi concretamente presenti. Non ogni raccomandazione del DPO costituisce un ordine vincolante, ma la direzione non può considerare la sua nomina sufficiente a dimostrare l’osservanza del GDPR.

La documentazione dovrebbe consentire di ricostruire il percorso seguito: rilievo formulato dal DPO, valutazione aziendale, decisione assunta, intervento programmato ed eventuale verifica successiva. Non esiste un unico modello documentale obbligatorio per tutte le imprese. La forma può essere adattata alle dimensioni dell’organizzazione, purché risulti adeguata a rappresentare le attività effettivamente svolte.

Quando il programma comprende la revisione delle procedure e dei documenti privacy, occorre evitare che il controllo si riduca alla sola presenza formale degli atti. Un registro dei trattamenti può esistere senza essere aggiornato; un’informativa può essere disponibile ma non descrivere correttamente le attività svolte; una designazione può essere stata predisposta senza che il personale abbia ricevuto istruzioni adeguate. Abbiamo esaminato le modalità di revisione documentale nell’approfondimento dedicato a come aggiornare correttamente la documentazione privacy aziendale.

La verifica dell’efficacia del piano annuale richiede infine di considerare anche le attività non completate. Se un audit è stato rinviato, una formazione non è stata effettuata oppure un intervento correttivo è rimasto sospeso, tali circostanze dovrebbero emergere nella rendicontazione. In questo modo la direzione può valutare se il programma sia ancora adeguato, se occorrano ulteriori risorse o se sia necessario modificare le priorità dei controlli.

Esempio pratico: un’azienda con DPO esterno ma senza un programma coordinato di verifiche e formazione

Consideriamo il caso esemplificativo di una società di servizi con diverse sedi operative, un DPO esterno già nominato e una documentazione GDPR predisposta negli anni precedenti. L’azienda aveva introdotto nuovi software gestionali e affidato alcune attività a fornitori esterni, senza organizzare un riesame complessivo dei trattamenti. La formazione privacy era stata svolta in occasione dell’assunzione di parte del personale, mentre i controlli successivi non seguivano un calendario definito.

La criticità principale non consisteva necessariamente nell’assenza dei singoli documenti, ma nella difficoltà di verificare se le procedure fossero ancora coerenti con l’organizzazione aziendale. In una situazione di questo tipo, l’intervento professionale può partire dalla ricognizione delle attività esistenti, dall’esame dei precedenti controlli e dall’individuazione dei trattamenti che richiedono maggiore attenzione.

La predisposizione del piano annuale permette quindi di distribuire le verifiche tra le diverse funzioni aziendali, programmare gli aggiornamenti formativi e definire le modalità di comunicazione delle criticità alla direzione. Particolare attenzione deve essere dedicata alla distinzione tra i compiti di sorveglianza del DPO e le decisioni operative spettanti alla società, affinché ciascun intervento abbia un responsabile individuato e possa essere successivamente verificato.

Il programma può prevedere una relazione periodica sulle attività svolte e un riesame delle questioni ancora aperte, lasciando la possibilità di effettuare controlli straordinari quando intervengono modifiche organizzative o incidenti. L’esempio mostra come la pianificazione debba essere costruita sulla situazione concreta dell’impresa, anziché riprodurre un calendario standard identico per qualsiasi organizzazione.

Domande frequenti sul piano annuale del DPO

Il piano annuale del DPO deve essere approvato dal consiglio di amministrazione?

Il GDPR non prevede un obbligo generalizzato di approvazione formale del piano annuale da parte del consiglio di amministrazione. È comunque opportuno che la direzione conosca il programma delle verifiche, le risorse necessarie e le principali criticità individuate. L’eventuale approvazione deve rispettare l’autonomia del DPO, al quale non possono essere impartite istruzioni sull’esecuzione dei compiti attribuiti dal Regolamento.

Un’azienda può affidare a un consulente esterno l’esecuzione delle verifiche programmate dal DPO?

Sì. L’impresa può avvalersi di professionisti esterni per attività di audit, verifiche tecniche e interventi di adeguamento. Occorre però distinguere l’esecuzione operativa dei controlli dalla funzione indipendente di sorveglianza del DPO. Se il medesimo professionista svolge più incarichi, devono essere valutati eventuali conflitti di interessi, soprattutto quando si troverebbe a controllare decisioni da lui stesso assunte.

Il DPO deve conservare tutti i verbali delle verifiche e delle riunioni?

Non esiste un obbligo generalizzato di redigere e conservare un verbale per ogni attività del DPO. È comunque opportuno documentare le verifiche rilevanti, le raccomandazioni trasmesse e le decisioni aziendali conseguenti. Le modalità e i tempi di conservazione devono essere stabiliti considerando le finalità della documentazione, gli obblighi applicabili e il principio di limitazione della conservazione previsto dal GDPR.

Cosa succede se l’azienda non dispone delle risorse necessarie per completare il piano annuale?

Il programma deve essere riesaminato alla luce delle risorse disponibili e dei rischi effettivi. L’art. 38, paragrafo 2, GDPR impone al titolare e al responsabile del trattamento di sostenere il DPO nell’esecuzione dei suoi compiti. Eventuali carenze di risorse dovrebbero essere rappresentate alla direzione, documentando le attività rinviate e le possibili conseguenze. La mancanza di risorse non esonera l’impresa dagli obblighi di conformità applicabili.

Quando è necessario modificare il piano annuale prima della sua scadenza?

Il programma dovrebbe essere riesaminato quando cambiano i trattamenti, l’organizzazione aziendale o il livello di rischio. L’introduzione di nuovi sistemi informatici, l’esternalizzazione di attività, l’emersione di una violazione dei dati personali o la scoperta di carenze rilevanti possono richiedere verifiche aggiuntive. Non occorre attendere la fine dell’anno per aggiornare le priorità o comunicare alla direzione problemi che richiedono un intervento tempestivo.

Piano annuale del DPO e controlli GDPR: richiedere una valutazione per la propria azienda

Un’azienda che ha nominato un DPO ma non dispone di un programma documentato di verifiche, formazione e report alla direzione dovrebbe valutare se le attività effettivamente svolte siano adeguate ai trattamenti e ai rischi presenti. La stessa esigenza può emergere quando i controlli vengono effettuati senza continuità, le raccomandazioni rimangono prive di seguito oppure l’incarico del DPO esterno non definisce chiaramente le modalità di monitoraggio.

Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, assiste le imprese nella valutazione degli obblighi privacy e nell’organizzazione delle attività connesse alla funzione di Responsabile della Protezione dei Dati. Possiamo esaminare la situazione aziendale, verificare l’adeguatezza del programma di controlli e valutare le esigenze di assistenza continuativa, tenendo conto delle caratteristiche dell’organizzazione e delle responsabilità previste dal GDPR.

Se la vostra impresa deve predisporre, aggiornare o riorganizzare il piano annuale del DPO, richiedete una valutazione attraverso il modulo dedicato al servizio DPO esterno per aziende. Esamineremo la richiesta per individuare le problematiche da approfondire e le possibili modalità di intervento professionale.