Articolo a cura di: Redazione - Studio Legale Calvello
Quando un’azienda subisce una violazione del GDPR, riceve una contestazione del Garante Privacy oppure deve rispondere a una richiesta di risarcimento, una delle prime questioni da chiarire riguarda la responsabilità del DPO e del titolare del trattamento. La presenza di un Responsabile della Protezione dei Dati, anche esterno, non trasferisce automaticamente su quest’ultimo gli obblighi che il Regolamento europeo attribuisce all’impresa. Allo stesso tempo, eventuali errori professionali del DPO possono avere conseguenze giuridiche autonome, da valutare in relazione all’incarico ricevuto e alla condotta concretamente tenuta.
Per amministratori e dirigenti è quindi necessario distinguere chi risponde delle violazioni GDPR nei confronti del Garante, quali responsabilità possono derivare da un comportamento negligente del DPO e quando l’azienda può agire nei confronti del professionista. Questa distinzione assume particolare rilievo quando emergono carenze nei controlli, un data breach non gestito correttamente o irregolarità che il DPO avrebbe dovuto segnalare alla direzione.
Chi risponde delle violazioni GDPR: il DPO o l’azienda?
Il Regolamento (UE) 2016/679 attribuisce al titolare del trattamento la responsabilità di assicurare e dimostrare che i trattamenti di dati personali siano conformi alla normativa. L’articolo 5, paragrafo 2, introduce il principio di responsabilizzazione, comunemente indicato come accountability, mentre l’articolo 24 impone al titolare di adottare misure tecniche e organizzative adeguate, tenendo conto della natura dei trattamenti e dei rischi per i diritti e le libertà delle persone fisiche.
Per una società, questo significa che la responsabilità della conformità GDPR rimane in capo all’organizzazione che determina finalità e mezzi del trattamento, anche quando essa abbia nominato un DPO esterno, affidato la predisposizione della documentazione a un consulente o incaricato fornitori specializzati della gestione dei sistemi informatici. La distribuzione interna delle attività non modifica, di per sé, la qualificazione giuridica dei soggetti prevista dal Regolamento.
Il Data Protection Officer, o Responsabile della Protezione dei Dati (RPD), svolge invece le funzioni indicate dall’articolo 39 GDPR: informa e fornisce consulenza al titolare, al responsabile del trattamento e ai dipendenti che eseguono i trattamenti; sorveglia l’osservanza della normativa; presta, quando richiesto, un parere sulla valutazione d’impatto; coopera con l’autorità di controllo e ne costituisce un punto di contatto.
Il DPO ha dunque una funzione di consulenza, sorveglianza e raccordo, ma non sostituisce gli organi aziendali nelle decisioni sui trattamenti e sulle misure da adottare. Non è automaticamente responsabile di ogni violazione che avrebbe potuto individuare, né assume per effetto della nomina il ruolo di garante assoluto della conformità aziendale.
Consideriamo un’impresa che utilizzi un sistema di videosorveglianza senza rispettare le condizioni previste dalla normativa applicabile. Se il DPO ha segnalato tempestivamente le criticità, formulando raccomandazioni documentate che la direzione ha deciso di non seguire, la posizione del professionista sarà diversa da quella di un DPO che, pur essendo stato adeguatamente coinvolto e disponendo delle informazioni necessarie, abbia omesso senza giustificazione attività di sorveglianza rientranti nel proprio incarico. In entrambi i casi, la responsabilità dell’impresa deve essere valutata secondo gli obblighi che le competono.
Occorre distinguere anche il DPO dal responsabile del trattamento disciplinato dall’articolo 28 GDPR. Quest’ultimo tratta dati personali per conto del titolare e assume specifici obblighi propri, mentre il DPO esercita le funzioni previste dagli articoli 38 e 39. La diversa posizione dei soggetti è approfondita nell’articolo dedicato alle differenze tra titolare, responsabile e autorizzato al trattamento.
Un ulteriore equivoco riguarda la responsabilità personale degli amministratori. Una sanzione amministrativa GDPR irrogata alla società non si trasferisce automaticamente al suo legale rappresentante. Eventuali responsabilità individuali devono essere accertate sulla base di specifiche disposizioni applicabili, delle funzioni esercitate e delle condotte contestate. La distinzione è particolarmente importante quando una violazione deriva da decisioni organizzative, omissioni gestionali o mancati investimenti nelle misure di sicurezza.
Quando il DPO può rispondere dei propri errori professionali
Il fatto che il titolare del trattamento conservi la responsabilità della conformità GDPR non significa che il DPO sia esente da qualsiasi conseguenza per l’attività svolta. Occorre distinguere la responsabilità amministrativa per la violazione della normativa sulla protezione dei dati dall’eventuale responsabilità contrattuale, civile o disciplinare del professionista.
Quando il DPO opera sulla base di un contratto di servizi, il suo eventuale inadempimento deve essere valutato considerando le obbligazioni assunte, le disposizioni del GDPR, la diligenza professionale richiesta e il nesso tra la condotta contestata e il pregiudizio lamentato dall’azienda. Per il DPO dipendente possono invece assumere rilievo anche le regole del rapporto di lavoro, ferme le particolari garanzie di indipendenza riconosciute dall’articolo 38 GDPR.
Il DPO non può essere rimosso o penalizzato dal titolare o dal responsabile del trattamento per l’adempimento dei propri compiti. Questa tutela non equivale però a un’immunità generale rispetto a condotte professionali effettivamente illecite o inadempienti. È necessario distinguere una valutazione tecnica correttamente espressa, anche se non condivisa dalla direzione, da una negligenza nell’esecuzione delle attività affidate.
Un possibile profilo di responsabilità può emergere quando il professionista, pur disponendo delle informazioni e delle risorse necessarie, ometta sistematicamente le verifiche concordate, non comunichi criticità rilevanti già individuate oppure fornisca indicazioni manifestamente errate su obblighi normativi direttamente collegati al proprio incarico. Non basta, però, dimostrare che l’azienda abbia successivamente ricevuto una sanzione: occorre accertare l’inadempimento del DPO, il danno effettivamente subito e il rapporto causale tra i due.
La valutazione cambia quando il professionista abbia segnalato le irregolarità senza ottenere riscontro, oppure quando il titolare non gli abbia consentito di accedere alle informazioni indispensabili. L’articolo 38 GDPR impone infatti di coinvolgere tempestivamente il DPO nelle questioni relative alla protezione dei dati e di sostenerlo nell’esecuzione dei compiti, mettendo a disposizione le risorse necessarie e garantendo l’accesso ai dati personali e ai trattamenti.
Per ricostruire correttamente le responsabilità assumono rilievo il contratto di incarico, le relazioni periodiche, i pareri scritti, le comunicazioni alla direzione, le richieste di intervento e le decisioni effettivamente adottate dall’azienda. Una documentazione incompleta può rendere più difficile stabilire se il problema derivi da una consulenza inadeguata, dalla mancata attuazione delle raccomandazioni oppure da carenze organizzative imputabili al titolare.
Il contratto con il professionista deve quindi definire con precisione le prestazioni concordate, le modalità di collaborazione, i flussi informativi e gli eventuali servizi aggiuntivi rispetto ai compiti normativi del DPO. Le clausole sulla responsabilità e sulle possibili limitazioni del risarcimento richiedono una verifica specifica, anche alla luce degli articoli 1218, 1229 e 2236 del Codice civile, quando applicabili. La questione è trattata più diffusamente nell’approfondimento sul contratto con il DPO esterno e sulle clausole da verificare.
La responsabilità professionale del DPO deve essere tenuta distinta anche da quella che può derivare da un suo eventuale trattamento autonomo e illecito di dati personali. Se il professionista utilizza informazioni ricevute nell’incarico per finalità proprie, oppure determina autonomamente finalità e mezzi di un trattamento distinto, la sua posizione deve essere esaminata in relazione all’attività effettivamente svolta, senza presumere che la qualifica di DPO escluda l’applicazione delle altre disposizioni del GDPR.
Violazioni GDPR, sanzioni del Garante e risarcimenti: come accertare le responsabilità
Quando viene accertata una violazione del GDPR, la ripartizione delle responsabilità richiede di esaminare separatamente gli obblighi del titolare del trattamento, l’attività effettivamente svolta dal DPO e le condotte degli altri soggetti coinvolti. La presenza di un DPO non impedisce al Garante Privacy di contestare direttamente all’azienda le violazioni della normativa, anche quando queste derivino da problemi che il professionista avrebbe potuto individuare nell’esercizio delle proprie funzioni.
L’articolo 83 GDPR disciplina le sanzioni amministrative pecuniarie, distinguendo le diverse categorie di violazioni e prevedendo criteri di valutazione che comprendono la natura, la gravità e la durata dell’infrazione, il carattere doloso o colposo della condotta, le misure adottate per attenuare il danno e il grado di cooperazione con l’autorità di controllo. Le sanzioni possono raggiungere, secondo la disposizione violata, 10 milioni di euro o il 2% del fatturato mondiale annuo totale dell’esercizio precedente, oppure 20 milioni di euro o il 4% dello stesso fatturato, se superiore. Si tratta di limiti massimi previsti dal Regolamento, non di importi automaticamente applicabili a ogni irregolarità.
Se il Garante contesta all’impresa un trattamento illecito, una carenza nelle misure di sicurezza o l’inosservanza degli obblighi di documentazione, il titolare deve poter dimostrare quali decisioni siano state adottate, quali controlli fossero operativi e come siano state gestite le eventuali segnalazioni del DPO. L’aver affidato a un professionista esterno il monitoraggio della conformità non costituisce, da solo, una causa di esclusione della responsabilità aziendale.
La questione diventa particolarmente delicata quando la violazione emerge dopo un data breach, un attacco ransomware o la divulgazione non autorizzata di dati personali. Gli articoli 33 e 34 GDPR attribuiscono al titolare specifici obblighi di notifica all’autorità di controllo e, quando ricorrono i presupposti, di comunicazione agli interessati. Il DPO deve essere adeguatamente coinvolto e può fornire supporto nella valutazione dell’incidente, ma la responsabilità dell’adempimento rimane in capo al titolare. Per gli interventi immediati abbiamo predisposto un approfondimento su cosa fare nelle prime 72 ore dopo un data breach aziendale.
Se l’impresa ritiene che una condotta negligente del DPO abbia contribuito alla violazione o ne abbia aggravato le conseguenze, occorre procedere a un accertamento distinto. Una contestazione del Garante non dimostra automaticamente l’inadempimento del professionista, così come un’eventuale sanzione non può essere trasferita contrattualmente sul DPO senza esaminare la validità degli accordi, la natura del pregiudizio e i presupposti della responsabilità civile.
La possibile azione risarcitoria dell’azienda richiede una ricostruzione documentale delle prestazioni dovute e di quelle effettivamente eseguite. Occorre verificare se il DPO avesse ricevuto informazioni sufficienti, se avesse individuato le criticità, quali raccomandazioni avesse formulato e quali decisioni fossero state assunte dalla direzione. Assume rilievo anche l’eventuale concorso di altre cause, come l’inosservanza delle procedure da parte dei dipendenti, la mancata attuazione delle misure raccomandate o le omissioni di fornitori esterni.
Un ulteriore profilo riguarda le richieste di risarcimento avanzate dagli interessati. L’articolo 82 GDPR riconosce il diritto al risarcimento del danno materiale o immateriale subito a causa di una violazione del Regolamento e disciplina la responsabilità del titolare e del responsabile del trattamento. Il DPO, per il solo fatto di ricoprire tale funzione, non assume automaticamente la posizione di titolare o responsabile del trattamento ai fini dell’articolo 82. Un’eventuale sua responsabilità personale deve essere valutata sulla base di un diverso e specifico fondamento giuridico.
Quando l’azienda riceve una contestazione, è necessario distinguere la difesa nel procedimento davanti al Garante dall’eventuale controversia con il DPO o con altri professionisti. Le due questioni possono essere collegate sul piano dei fatti, ma rispondono a presupposti giuridici differenti. Nell’articolo dedicato alla contestazione del Garante Privacy e alla presentazione delle memorie difensive approfondiamo gli strumenti attraverso i quali l’impresa può rappresentare la propria posizione nell’ambito del procedimento.
Per prevenire controversie sulla ripartizione delle responsabilità, l’organizzazione aziendale dovrebbe consentire di ricostruire il percorso delle decisioni: dalle segnalazioni del DPO alle valutazioni della direzione, fino all’adozione delle misure correttive. Questa tracciabilità permette di individuare eventuali omissioni, distinguere le responsabilità dei soggetti coinvolti e documentare le attività effettivamente svolte.
Esempio pratico: l’azienda riceve una contestazione dopo le segnalazioni del DPO
Consideriamo il caso ipotetico di una società che gestisce dati personali di clienti e dipendenti attraverso un gestionale accessibile a più uffici. Dopo una verifica interna emerge che alcuni dipendenti possono consultare informazioni non necessarie alle rispettive mansioni. Il problema era stato segnalato dal DPO esterno, che aveva raccomandato una revisione delle autorizzazioni, ma l’intervento era stato rinviato dalla direzione per esigenze operative.
Successivamente, un accesso non autorizzato determina una violazione di dati personali e l’azienda deve valutare gli adempimenti previsti dal GDPR. La direzione ritiene inizialmente che la responsabilità ricada sul DPO, perché incaricato di sorvegliare la conformità dei trattamenti. L’esame della documentazione mostra però che il professionista aveva individuato la criticità e comunicato le misure ritenute necessarie, mentre la decisione di rinviarne l’attuazione era stata assunta internamente.
In una situazione del genere, l’assistenza legale deve concentrarsi sulla ricostruzione delle responsabilità, sulla valutazione della violazione e degli eventuali obblighi di notifica, nonché sulla documentazione delle decisioni aziendali. Occorre verificare se le raccomandazioni fossero sufficientemente precise, se il DPO avesse svolto le attività richieste dal proprio incarico e quali ulteriori carenze organizzative abbiano contribuito all’incidente. L’impresa deve poi intervenire sulle autorizzazioni di accesso e sulle procedure interne, senza presumere che la sola presenza di precedenti segnalazioni del DPO sia sufficiente a risolvere ogni questione di responsabilità.
Domande frequenti sulla responsabilità del DPO e dell’azienda
Il Garante Privacy può sanzionare direttamente il DPO per una violazione GDPR?
Il DPO non è, per il solo fatto della nomina, il destinatario delle sanzioni previste per le violazioni imputabili al titolare o al responsabile del trattamento. La sua funzione di consulenza e sorveglianza non comporta il trasferimento degli obblighi aziendali. Resta possibile accertare eventuali responsabilità personali fondate su condotte autonome o su specifici inadempimenti professionali, secondo le disposizioni applicabili.
Se l’azienda riceve una sanzione GDPR per un errore del DPO, può chiedergli il risarcimento?
Una richiesta risarcitoria può essere valutata quando esistano elementi per dimostrare un inadempimento professionale, un danno risarcibile e il relativo nesso causale. Non è sufficiente che la sanzione sia stata irrogata durante il periodo dell’incarico. Occorre esaminare il contratto, le attività affidate, le raccomandazioni formulate e le decisioni aziendali che hanno contribuito alla violazione.
Il DPO può essere revocato se non svolge correttamente il proprio incarico?
Un inadempimento effettivo può giustificare iniziative contrattuali o organizzative, compresa, quando ne ricorrano i presupposti, la cessazione dell’incarico. L’articolo 38, paragrafo 3, GDPR vieta però di rimuovere o penalizzare il DPO per il corretto adempimento dei suoi compiti. Prima di procedere occorre distinguere una negligenza professionale da un parere indipendente non condiviso dalla direzione. Per gli aspetti operativi rimandiamo all’approfondimento sulla revoca e sostituzione del DPO.
Se il DPO ha segnalato una violazione e l’azienda non è intervenuta, chi risponde?
Il titolare conserva la responsabilità delle decisioni e degli obblighi che il GDPR gli attribuisce. Una segnalazione documentata può assumere rilievo per valutare l’adempimento dei compiti del DPO e ricostruire le scelte della direzione. È comunque necessario verificare la completezza delle informazioni fornite, la natura della violazione e le misure che l’impresa avrebbe dovuto adottare.
Chi risponde se una violazione GDPR è causata da un fornitore esterno?
La responsabilità dipende dal ruolo effettivamente assunto dal fornitore, dagli obblighi previsti dal GDPR e dalle circostanze dell’incidente. Quando il fornitore opera come responsabile del trattamento ai sensi dell’articolo 28, assume obblighi propri, mentre il titolare conserva quelli che gli competono, compresa la scelta di soggetti che presentino garanzie sufficienti. Il DPO non diventa automaticamente responsabile dell’incidente per aver partecipato alla valutazione del fornitore.
Responsabilità DPO e violazioni GDPR: richiedere una valutazione legale per l’azienda
Quando emergono violazioni GDPR, contestazioni del Garante Privacy o possibili inadempimenti del DPO, individuare correttamente le responsabilità richiede un esame delle attività svolte, degli obblighi contrattuali, della documentazione disponibile e delle decisioni adottate dall’impresa. Un accertamento tempestivo permette di distinguere le criticità organizzative dalle eventuali responsabilità professionali e di valutare gli interventi necessari.
Lo Studio Legale Calvello, con oltre 25 anni di esperienza nell’assistenza legale, offre consulenza alle imprese in materia di GDPR, responsabilità del titolare del trattamento, attività del DPO, contestazioni del Garante Privacy e controversie derivanti da violazioni della normativa sulla protezione dei dati personali.
Se la vostra azienda ha ricevuto una contestazione, deve accertare le responsabilità conseguenti a una violazione o intende verificare l’operato del proprio DPO, potete richiedere una valutazione legale in materia di GDPR e privacy aziendale attraverso il modulo dedicato. Esamineremo la richiesta per individuare le questioni giuridiche rilevanti e valutare le possibili modalità di assistenza.
