Home › Compliance › DPO esternalizzato
Assumiamo l'incarico di Responsabile della Protezione dei Dati con una certificazione rilasciata da organismo accreditato ACCREDIA e una copertura assicurativa dedicata.
Art. 37-39 Reg. UE 2016/679
L'art. 37 del Regolamento individua tre casi in cui la designazione è dovuta: quando il trattamento è svolto da un'autorità o da un organismo pubblico; quando le attività principali del titolare consistono in trattamenti che richiedono il monitoraggio regolare e sistematico degli interessati su larga scala; quando le attività principali consistono nel trattamento su larga scala di categorie particolari di dati o di dati relativi a condanne penali.
Sono quelle che costituiscono il nucleo dell'impresa, non le funzioni di supporto. Un'azienda manifatturiera tratta i dati dei dipendenti, ma la gestione del personale è strumentale, non è il suo mestiere. Diverso il caso di una società di ricerca e selezione, dove il trattamento dei candidati è il servizio venduto.
Vanno valutati insieme il numero di interessati, il volume e la varietà dei dati, la durata del trattamento e la sua estensione geografica. Il Garante ha indicato a titolo esemplificativo istituti di credito, imprese assicurative, operatori sanitari privati, società di ricerca e selezione del personale, call center, fornitori di servizi informatici e imprese di telecomunicazioni.
Anche quando la conclusione è che il DPO non serve, la valutazione va documentata. In sede ispettiva la domanda non è soltanto se avete un DPO, ma se avete verificato se vi servisse e in base a quali elementi abbiate concluso di no.
Il Regolamento chiede che il DPO sia designato in funzione delle qualità professionali e della conoscenza specialistica della normativa e delle prassi. È una formula generica, e per anni ha consentito a chiunque di autodefinirsi DPO.
La norma UNI CEI EN 17740:2024 ha cambiato il quadro definendo requisiti di conoscenza, abilità e competenza della figura. Una certificazione rilasciata da un organismo accreditato ACCREDIA secondo quella norma è oggi l'unica attestazione di terza parte realmente riconosciuta in Italia.
Non è un dettaglio formale: in caso di contestazione la qualificazione documentata del DPO è fra i primi elementi che l'Autorità verifica, e un DPO non qualificato espone il titolare oltre che sé stesso.
Il Regolamento ammette entrambe le soluzioni. Per una piccola o media impresa quella esterna è quasi sempre preferibile, per tre ragioni distinte.
Indipendenza. È l'argomento più forte e il meno considerato. L'art. 38 vieta che il DPO riceva istruzioni sull'esecuzione dei propri compiti e che si trovi in conflitto di interessi. Un dipendente che riporta a chi decide sulle finalità dei trattamenti — il responsabile informatico, il direttore del personale, il titolare stesso — è strutturalmente in conflitto. È uno dei rilievi più ricorrenti nei provvedimenti sanzionatori.
Costo. Un incarico esterno ha un onere annuo che è una frazione di quello di una risorsa interna dedicata, senza oneri di formazione né rischio di perdere la competenza quando la persona cambia ruolo.
Aggiornamento. Provvedimenti del Garante, linee guida europee, normative collegate come NIS2 e AI Act: mantenere aggiornata una risorsa interna ha un costo che raramente una PMI sostiene con costanza.
Dopo la nomina la prima fase è ricognitiva: mappiamo i trattamenti, verifichiamo la documentazione esistente e ne misuriamo lo scostamento rispetto agli obblighi. Ne esce un piano di allineamento con priorità e scadenze.
A regime l'attività è continuativa: siamo raggiungibili per i pareri, seguiamo le scadenze, aggiorniamo la documentazione quando cambiano trattamenti o fornitori e riferiamo periodicamente alla direzione. In caso di incidente o di richiesta dell'Autorità, interveniamo noi.
Domande frequenti
No, e va chiarito subito. Il DPO ha compiti di sorveglianza e consulenza, ma la responsabilità del trattamento resta in capo al titolare. Il DPO risponde della qualità del proprio operato professionale: è la ragione per cui manteniamo una polizza RC professionale dedicata.
Dipende dalla complessità dei trattamenti e viene definito nel contratto, insieme ai tempi di risposta per i pareri. Diffidate di chi non lo mette per iscritto: un DPO irraggiungibile è una nomina di facciata, e in sede ispettiva viene letta come tale.
Tecnicamente sì, ma lo sconsigliamo. Se l'obbligo sussiste la figura deve essere presente stabilmente. Se invece serve rimettere in ordine la documentazione senza nominare un DPO, il servizio adatto è l'adeguamento GDPR.
Collaborativo. Il DPO non sostituisce il fornitore IT: verifica che le misure dichiarate siano attuate e documentate. Dove il cliente lo preferisce gestiamo anche la parte tecnica, così documentazione e sistemi restano allineati.
Nella valutazione iniziale stabiliamo se rientrate nell'obbligo e cosa comporta.