DPO

1. Definizione

Il DPO è una figura di sorveglianza indipendente, prevista dagli articoli da 37 a 39 del GDPR, che informa, controlla e fa da punto di contatto con l’autorità di controllo. Attenzione a una confusione frequente in italiano: il Responsabile della Protezione dei Dati non è il responsabile del trattamento dell’articolo 28, che è invece il soggetto esterno che tratta i dati per conto del titolare. E il DPO non risponde al posto del titolare: la responsabilità della conformità resta di chi decide finalità e mezzi del trattamento. Il DPO sorveglia, consiglia e documenta.

2. Quando è obbligatorio

L’articolo 37 prevede tre casi di designazione obbligatoria. Il primo: il trattamento è svolto da un’autorità pubblica o da un organismo pubblico, esclusi i tribunali quando esercitano funzioni giurisdizionali. Comuni, scuole, aziende sanitarie, università e società partecipate rientrano qui. Il secondo: le attività principali del titolare consistono in trattamenti che richiedono il monitoraggio regolare e sistematico degli interessati su larga scala. Il terzo: le attività principali consistono nel trattamento su larga scala di categorie particolari di dati (articolo 9) oppure di dati relativi a condanne penali e reati (articolo 10).

Le due espressioni che decidono tutto sono attività principali e larga scala. Un negozio online che usa il remarketing non ha nel monitoraggio la propria attività principale e non tratta dati su larga scala: nella grande maggioranza dei casi non deve nominare un DPO. Un ad network, una piattaforma di analytics, una struttura sanitaria privata o una compagnia assicurativa invece sì. La nomina volontaria è sempre possibile, ma una volta fatta comporta gli stessi obblighi di quella obbligatoria. La mancata designazione, quando dovuta, rientra tra le violazioni sanzionabili fino a 10 milioni di euro o al 2% del fatturato mondiale annuo.

3. Compiti

L’articolo 39 elenca cinque compiti: informare e consigliare il titolare e i dipendenti sugli obblighi in materia di protezione dei dati; sorvegliare l’osservanza del GDPR, comprese la formazione del personale e le verifiche interne; fornire pareri sulla valutazione d’impatto (DPIA) e sorvegliarne lo svolgimento; cooperare con il Garante; fungere da punto di contatto per il Garante e per gli interessati che esercitano i propri diritti. L’articolo 38 aggiunge le condizioni perché quei compiti siano davvero esercitabili: il DPO va coinvolto tempestivamente in tutte le questioni che riguardano i dati personali, deve ricevere risorse adeguate, non riceve istruzioni sull’esecuzione dei compiti e riferisce direttamente al vertice.

4. DPO interno o esterno

Il GDPR ammette entrambe le soluzioni (articolo 37, paragrafo 6): un dipendente dell’organizzazione oppure un professionista esterno con un contratto di servizi. La scelta dipende dalla dimensione e dalla complessità dei trattamenti. Il vincolo vero è l’assenza di conflitto di interessi: non può fare il DPO chi decide finalità e mezzi dei trattamenti. Restano quindi fuori l’amministratore delegato, il direttore finanziario, il responsabile IT, il responsabile delle risorse umane e il responsabile marketing. Il DPO esterno spesso risolve il problema alla radice, ma va messo nelle condizioni di accedere davvero all’organizzazione, altrimenti resta una firma su un documento.

5. Come nominarlo

Servono tre passaggi. Primo: verificare i requisiti, cioè la conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati e la capacità di assolvere i compiti previsti. Il GDPR non richiede una certificazione obbligatoria: le certificazioni disponibili sono un elemento di valutazione, non un titolo abilitante. Secondo: formalizzare la designazione con un atto scritto che definisca compiti, risorse e rapporti con il vertice. Terzo: pubblicare i dati di contatto del DPO e comunicarli al Garante attraverso la procedura online dedicata. È l’adempimento che viene dimenticato più spesso: una nomina non comunicata resta incompleta.

6. Cosa serve al DPO su cookie e consensi

Buona parte del lavoro quotidiano di un DPO passa dai consensi: dimostrare chi ha accettato cosa, quando e sulla base di quale versione dell’informativa. Permissor conserva la prova di ogni consenso raccolto e tiene aggiornata la cookie policy quando cambiano i cookie del sito, così in caso di controllo la documentazione è già pronta. Prezzo fisso, supporto italiano, installazione in pochi minuti. Se il tuo sito cresce, il prezzo non cambia.

Sei un DPO e vuoi vedere come Permissor documenta i consensi? Contattaci.