Articolo a cura di: Redazione - Studio Legale Calvello

La nomina del Data Protection Officer (DPO), o Responsabile della Protezione dei Dati (RPD), non è obbligatoria per tutte le imprese. L’obbligo dipende dalla natura dell’organizzazione e dalle caratteristiche dei trattamenti effettuati, non semplicemente dal fatturato, dal numero dei dipendenti o dalla quantità di dati personali conservati. Un’azienda può quindi essere tenuta a designare un DPO anche se di dimensioni contenute, mentre una società strutturata può non rientrare nelle ipotesi previste dalla normativa.

Per imprenditori e amministratori, il problema è stabilire se le attività concretamente svolte integrino uno dei presupposti dell’articolo 37 del Regolamento (UE) 2016/679. Una valutazione errata può comportare contestazioni del Garante per la protezione dei dati personali e sanzioni amministrative. Quando l’impresa tratta informazioni sanitarie, effettua profilazioni sistematiche o monitora regolarmente persone su larga scala, è opportuno verificare l’obbligo prima di decidere se procedere alla nomina di un DPO esterno per l’azienda.

Quali aziende devono obbligatoriamente nominare un DPO secondo il GDPR

L’articolo 37, paragrafo 1, del GDPR individua tre situazioni nelle quali la designazione del Responsabile della Protezione dei Dati è obbligatoria. La prima riguarda i trattamenti effettuati da autorità pubbliche o organismi pubblici, con l’eccezione delle autorità giurisdizionali quando esercitano le proprie funzioni giurisdizionali. Le altre due riguardano direttamente anche le imprese private e richiedono un esame delle attività effettivamente esercitate.

In particolare, il DPO è obbligatorio quando le attività principali del titolare o del responsabile del trattamento consistono in operazioni che, per natura, ambito di applicazione o finalità, richiedono il monitoraggio regolare e sistematico degli interessati su larga scala. Rientrano potenzialmente in questa situazione le imprese che svolgono profilazione continuativa degli utenti, analisi sistematica dei comportamenti individuali o attività di osservazione organizzata delle persone. Non è sufficiente, però, che un’azienda utilizzi strumenti informatici capaci di raccogliere informazioni: occorre verificare il ruolo effettivo del monitoraggio nell’attività aziendale e la sua dimensione.

La terza ipotesi riguarda le organizzazioni le cui attività principali consistono nel trattamento su larga scala di categorie particolari di dati personali, ai sensi dell’articolo 9 del GDPR, oppure di dati relativi a condanne penali e reati, ai sensi dell’articolo 10. Il problema si presenta, ad esempio, nelle strutture sanitarie che gestiscono sistematicamente informazioni cliniche di numerosi pazienti, nelle organizzazioni che effettuano determinati trattamenti biometrici e nelle imprese che elaborano su larga scala dati particolarmente delicati per conto di altri soggetti.

La normativa richiede quindi di distinguere tra trattamento ordinario dei dati personali e trattamento che rende obbligatoria la designazione del DPO. La semplice gestione delle anagrafiche dei clienti, delle buste paga o dei dati dei fornitori non determina automaticamente l’obbligo. Anche il possesso di informazioni sanitarie relative ai lavoratori non comporta, da solo, la necessità di nominare un Responsabile della Protezione dei Dati. Diversa può essere la valutazione quando il trattamento di tali informazioni costituisce parte essenziale dell’attività esercitata ed è effettuato su larga scala.

Particolare attenzione meritano le società che operano come responsabili del trattamento per conto di altre aziende. L’articolo 37 si applica infatti sia ai titolari sia ai responsabili: una società informatica, un fornitore di servizi digitali o un’organizzazione specializzata nell’elaborazione di dati può essere soggetta all’obbligo anche quando i propri clienti non lo sono. La verifica deve riguardare autonomamente le attività svolte da ciascun soggetto e non può essere sostituita dalla valutazione effettuata dal committente.

Come verificare se i trattamenti aziendali rendono obbligatoria la nomina del DPO

La verifica dell’obbligatorietà del DPO richiede anzitutto di individuare le attività principali dell’impresa. Secondo le indicazioni interpretative europee, non si tratta esclusivamente delle attività indicate nell’oggetto sociale, ma anche delle operazioni di trattamento indispensabili per realizzare concretamente gli obiettivi dell’organizzazione. In una struttura sanitaria, ad esempio, la gestione dei dati dei pazienti è strettamente connessa all’erogazione delle prestazioni. In un’impresa manifatturiera, invece, il trattamento ordinario delle informazioni amministrative e del personale può rappresentare un’attività accessoria rispetto alla produzione.

Il secondo elemento è la larga scala del trattamento. Il GDPR non stabilisce una soglia numerica universale di interessati, dipendenti o registrazioni oltre la quale il DPO diventa automaticamente obbligatorio. Le indicazioni del Comitato europeo per la protezione dei dati richiedono di considerare, tra gli altri elementi, il numero delle persone interessate, il volume e la varietà delle informazioni trattate, la durata delle operazioni e la loro estensione geografica. Questi criteri devono essere esaminati complessivamente, tenendo conto dell’attività effettivamente svolta.

Occorre poi valutare se l’impresa effettui un monitoraggio regolare e sistematico. Il concetto può comprendere attività continuative di profilazione, osservazione dei comportamenti online, tracciamento organizzato degli spostamenti o controllo sistematico di determinate categorie di interessati. L’installazione di telecamere, l’utilizzo di dispositivi aziendali o l’impiego di software gestionali non fanno necessariamente scattare l’obbligo. Per le imprese che adottano sistemi di controllo è necessario distinguere tra l’esistenza dello strumento, le finalità perseguite e le concrete modalità di trattamento. Le problematiche settoriali possono essere approfondite anche nella nostra analisi dedicata al DPO per aziende che utilizzano videosorveglianza e controllo accessi.

Un ulteriore passaggio riguarda le categorie di dati trattati. Informazioni relative alla salute, dati biometrici utilizzati per identificare univocamente una persona, dati genetici e altre categorie particolari richiedono una valutazione specifica. La loro presenza non rende automaticamente obbligatoria la designazione: bisogna accertare se il trattamento avvenga su larga scala e costituisca un’attività principale. Per questo motivo, l’analisi di una clinica privata, di una società che gestisce servizi sanitari e di un’azienda industriale con un servizio di medicina del lavoro può condurre a risultati differenti.

La verifica dovrebbe partire dal registro delle attività di trattamento, integrandolo con l’esame dei processi aziendali, dei contratti con i fornitori e delle eventuali valutazioni d’impatto sulla protezione dei dati (DPIA). Registro e DPIA hanno presupposti e finalità propri: la loro obbligatorietà non coincide automaticamente con quella del DPO. Possono però fornire informazioni utili per individuare trattamenti sistematici, particolarmente estesi o strettamente collegati all’attività principale dell’impresa.

Quando dalla verifica emerge che la designazione non è obbligatoria, è opportuno conservarne una motivazione documentata, soprattutto nei casi di confine. Il GDPR non impone indistintamente a tutte le aziende una relazione formale di esenzione, ma il principio di responsabilizzazione previsto dall’articolo 5, paragrafo 2, rende utile poter ricostruire i criteri adottati. La valutazione dovrebbe essere riesaminata quando cambiano le attività aziendali, vengono introdotti nuovi trattamenti o aumenta sensibilmente la dimensione delle operazioni sui dati personali.

Se invece ricorre uno dei presupposti normativi, l’impresa deve procedere alla designazione di un soggetto dotato delle competenze e delle condizioni di indipendenza richieste dal GDPR. La scelta tra professionista interno e servizio esterno costituisce un passaggio successivo rispetto all’accertamento dell’obbligo. Per approfondire i criteri organizzativi, abbiamo esaminato le differenze tra DPO interno ed esterno, mentre le modalità formali dell’incarico sono trattate nell’articolo sulla nomina del DPO esterno, i requisiti e le responsabilità.

Mancata nomina del DPO obbligatorio: responsabilità dell’azienda, controlli e sanzioni

Quando ricorrono i presupposti dell’articolo 37 del GDPR, la designazione del Responsabile della Protezione dei Dati costituisce un obbligo giuridico del titolare o del responsabile del trattamento. La mancata nomina rappresenta una violazione autonoma della normativa, anche quando non si siano verificati incidenti informatici, divulgazioni illecite di informazioni o reclami da parte degli interessati. Per l’impresa, il rischio non dipende quindi esclusivamente dall’esistenza di un danno concreto, ma anche dall’inosservanza degli obblighi organizzativi previsti dal Regolamento.

La responsabilità della designazione ricade sull’organizzazione tenuta all’adempimento. Gli amministratori e gli organi competenti devono assicurare che la struttura aziendale disponga delle risorse necessarie per rispettare la normativa, ma occorre distinguere la responsabilità amministrativa dell’ente dalle eventuali responsabilità personali, che richiedono specifici presupposti giuridici. Non è corretto affermare che ogni amministratore risponda automaticamente e personalmente della sanzione GDPR irrogata alla società.

Le violazioni degli obblighi previsti dagli articoli 37, 38 e 39 del GDPR rientrano nel regime sanzionatorio dell’articolo 83, paragrafo 4, che prevede sanzioni amministrative pecuniarie fino a 10 milioni di euro oppure, per le imprese, fino al 2% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore. Si tratta dei limiti massimi previsti dal Regolamento, non di importi automaticamente applicabili. La determinazione della sanzione richiede una valutazione delle circostanze del caso concreto, secondo i criteri dell’articolo 83, paragrafo 2, tra cui natura, gravità e durata della violazione, comportamento dell’organizzazione e misure adottate per porvi rimedio.

Nel corso di un’ispezione o di una richiesta di informazioni, il Garante per la protezione dei dati personali può verificare se l’azienda abbia correttamente individuato i presupposti dell’obbligo e, quando necessario, abbia designato il DPO. La documentazione relativa ai trattamenti, l’organizzazione delle attività, le procedure interne e gli eventuali criteri utilizzati per escludere l’obbligatorietà possono assumere rilievo per ricostruire la situazione. Un’impresa che abbia escluso la nomina sulla sola base del numero dei dipendenti potrebbe incontrare difficoltà nel giustificare la propria decisione qualora le attività principali comprendano trattamenti che richiedono il monitoraggio regolare e sistematico degli interessati su larga scala.

La posizione aziendale merita particolare attenzione anche quando il DPO risulta formalmente nominato, ma non sono rispettate le condizioni previste dal GDPR. L’articolo 38 richiede che il Responsabile della Protezione dei Dati sia coinvolto tempestivamente nelle questioni riguardanti la protezione dei dati personali, disponga delle risorse necessarie, possa esercitare le proprie funzioni senza ricevere istruzioni sul loro svolgimento e non si trovi in conflitto di interessi. Una designazione puramente formale non risolve quindi eventuali carenze organizzative. Le conseguenze di queste situazioni sono approfondite nell’articolo dedicato al DPO assente o solo formale e ai rischi per l’azienda.

Se l’impresa scopre di aver omesso una designazione obbligatoria, è necessario ricostruire quando siano sorti i presupposti previsti dall’articolo 37, verificare le attività svolte nel periodo interessato e procedere agli adempimenti necessari. La nomina successiva non cancella automaticamente la violazione pregressa, ma l’adozione di misure correttive può essere valutata nell’ambito dell’eventuale procedimento. Occorre evitare anche il comportamento opposto, ossia nominare frettolosamente un soggetto privo dei requisiti necessari soltanto per esibire un documento in caso di controllo.

Qualora sia già pervenuta una richiesta del Garante, la risposta deve essere coerente con le effettive caratteristiche dell’organizzazione e con la documentazione disponibile. In presenza di contestazioni formali, l’azienda deve valutare le proprie possibilità difensive e rispettare i termini procedimentali applicabili. Abbiamo approfondito separatamente le modalità di risposta alle richieste di informazioni del Garante Privacy e l’assistenza necessaria durante un’ispezione del Garante in azienda.

Esempio pratico: un’azienda che scopre di dover nominare il DPO

Consideriamo il caso ipotetico di una società che fornisce servizi digitali a numerose imprese e gestisce, attraverso una propria piattaforma, informazioni personali relative agli utenti dei clienti. La società dispone di informative privacy, contratti con i committenti e procedure di sicurezza, ma non ha nominato un DPO perché ritiene che l’obbligo riguardi esclusivamente le grandi organizzazioni.

Durante una verifica della conformità GDPR emerge la necessità di esaminare più attentamente la natura delle operazioni svolte. L’analisi riguarda il ruolo della società quale responsabile del trattamento, le funzionalità della piattaforma, le eventuali attività di monitoraggio regolare e sistematico, il numero degli interessati e la continuità delle operazioni. L’aspetto più delicato consiste nel distinguere la semplice gestione tecnica delle informazioni da un’attività principale che richieda effettivamente il monitoraggio su larga scala.

Se dall’esame risultano integrati i presupposti dell’articolo 37, la società deve organizzare la designazione del DPO, individuare un professionista idoneo e predisporre le condizioni necessarie per lo svolgimento dell’incarico. Devono essere curati anche la pubblicazione dei dati di contatto e la comunicazione al Garante, secondo quanto previsto dal GDPR. Qualora, invece, i presupposti non ricorrano, la società può documentare le ragioni della valutazione e stabilire quando riesaminarla. La soluzione dipende dalle caratteristiche effettive dei trattamenti, non dalla sola qualificazione commerciale dell’attività.

Domande frequenti sull’obbligo di nomina del DPO nelle aziende

Un’azienda con pochi dipendenti può essere obbligata a nominare il DPO?

Sì. Il GDPR non prevede una soglia minima di dipendenti o di fatturato per rendere obbligatoria la designazione. Anche una piccola impresa può rientrare nell’articolo 37 quando le sue attività principali comportano il monitoraggio regolare e sistematico degli interessati su larga scala oppure il trattamento su larga scala delle categorie di dati indicate dalla norma. Le dimensioni dell’organizzazione costituiscono un elemento di valutazione, ma non determinano da sole l’esistenza o l’assenza dell’obbligo.

Se un’azienda deve effettuare una DPIA, è automaticamente obbligata a nominare un DPO?

No. La valutazione d’impatto sulla protezione dei dati (DPIA), disciplinata dall’articolo 35 del GDPR, e la designazione del DPO rispondono a presupposti differenti. Un trattamento può richiedere una DPIA senza comportare necessariamente l’obbligo di nominare un Responsabile della Protezione dei Dati. La necessità di effettuare una valutazione d’impatto rappresenta comunque un elemento da considerare nell’esame delle caratteristiche e dei rischi dei trattamenti aziendali.

Un’azienda che utilizza sistemi di intelligenza artificiale deve nominare il DPO?

Non necessariamente. L’utilizzo di strumenti di intelligenza artificiale non costituisce, di per sé, un presupposto autonomo di nomina obbligatoria ai sensi dell’articolo 37. Occorre verificare quali dati personali siano trattati, per quali finalità e se le attività principali dell’impresa comportino un monitoraggio regolare e sistematico su larga scala oppure il trattamento su larga scala delle categorie di dati previste dalla normativa. Un sistema impiegato per attività amministrative ordinarie presenta caratteristiche differenti rispetto a una piattaforma che effettua profilazioni sistematiche di numerosi interessati.

Se il DPO è obbligatorio, l’azienda deve necessariamente assumerlo come dipendente?

No. L’articolo 37, paragrafo 6, del GDPR consente espressamente che il DPO svolga le proprie funzioni sulla base di un contratto di servizi. L’impresa può quindi affidare l’incarico a un professionista esterno, purché siano rispettati i requisiti di competenza, indipendenza, assenza di conflitti di interessi e disponibilità delle risorse necessarie. La designazione esterna non trasferisce al DPO la responsabilità generale dell’azienda per la conformità dei trattamenti al GDPR.

Se l’azienda ritiene che il DPO non sia obbligatorio, deve comunicarlo al Garante Privacy?

No. Il GDPR non prevede una comunicazione generale al Garante per dichiarare che un’impresa non è soggetta all’obbligo di designazione. È però opportuno conservare una valutazione motivata, soprattutto quando le caratteristiche dei trattamenti rendono dubbia l’applicazione dell’articolo 37. Se l’organizzazione decide comunque di designare formalmente un DPO, anche su base volontaria, deve rispettare le disposizioni applicabili a tale figura, comprese quelle relative alla pubblicazione dei dati di contatto e alla loro comunicazione all’autorità di controllo.

Verificare l’obbligo di nomina del DPO: assistenza legale per le aziende

Stabilire se un’azienda sia obbligata a nominare il DPO richiede una valutazione delle attività principali, delle categorie di dati trattati e delle modalità con cui vengono effettuate le operazioni sui dati personali. Una decisione basata esclusivamente sulle dimensioni dell’impresa, sul settore di appartenenza o sulle indicazioni generiche di un fornitore può portare a escludere erroneamente un obbligo previsto dal GDPR.

Lo Studio Legale Calvello, con oltre 25 anni di esperienza nell’assistenza legale, può esaminare la situazione dell’impresa per verificare l’applicabilità dell’articolo 37, individuare eventuali criticità organizzative e valutare gli adempimenti necessari. Quando la designazione risulta obbligatoria, possiamo assistere l’azienda nell’individuazione di una soluzione coerente con la propria struttura e con le caratteristiche dei trattamenti, anche attraverso il conferimento di un incarico di DPO esterno.

Se la vostra azienda deve verificare l’obbligo di nomina del DPO, non ha ancora provveduto alla designazione oppure necessita di regolarizzare la propria posizione, richiedete una valutazione attraverso il modulo dedicato al servizio DPO esterno per aziende. La richiesta sarà esaminata per individuare le esigenze specifiche dell’organizzazione e le possibili modalità di assistenza professionale.