DPO: è obbligatorio? Quali sono i suoi compiti?

Il Data Protection Officer (“DPO”) rappresenta una figura chiave prevista dal Regolamento Generale sulla Protezione dei Dati (“GDPR”) per garantire che organizzazioni pubbliche e private rispettino gli obblighi normativi in materia di protezione dei dati personali.

Questo articolo offre una panoramica completa circa il ruolo del DPO, analizzandone le competenze, i requisiti legali, i compiti e l’obbligatorietà della nomina.

Inoltre, verranno analizzate le modalità di scelta del DPO e le sue relazioni con gli altri soggetti dell’organizzazione.

1. Chi è il DPO?

2. Requisiti legali per essere DPO

3. Cosa fa il DPO

• Monitoraggio delle conformità
• Consulenza su trattamenti complessivi e valutazioni DPIA
• Sensibilizzazione e formazione interna
• Interazione con il Garante e gestione delle richieste degli interessati

4. La nomina del DPO: chi può farla

5. Il DPO è obbligatorio per le aziende?

• Obbligatorietà nel settore pubblico
• Obbligatorietà nel settore privato

6. Sfide e opportunità per il DPO

•  Conflitti di interesse e indipendenza
• Evoluzione normativa e nuove tecnologie

7. Incarico Data Protection Officer: perché scegliere BSD Legal

Il Data Protection Officer (“DPO”) è una figura cruciale per il rispetto delle normative sulla protezione dei dati personali. Il suo ruolo viene delineato dal GDPR, che richiede la presenza di un DPO in specifici contesti aziendali o istituzionali, ma ne suggerisce la nomina anche in realtà meno strutturate come buona pratica di compliance.

Un esempio concreto può aiutare a chiarire il suo ruolo. Immaginiamo un’azienda che possiede un e-commerce e gestisce grandi volumi di dati personali, inclusi quelli relativi alle preferenze di acquisto o di pagamento. In questo contesto, il DPO si occupa di assicurare che le attività di marketing, i contratti con i fornitori di servizi cloud e le interazioni con i clienti vengano effettuati nel rispettino delle normative. Potrebbe fornire pareri sulle attività di profilazione, valutando se rientrano tra attività ad alto rischio per cui è necessaria una valutazione di impatto, oppure consigliare strategie di privacy by design, effettuando una due diligence sui servizi SaaS.
La sua attività deve quindi concentrarsi su scelte di alto livello che riguardano direttamente la governance dei dati.

Il DPO nell’organizzazione aziendale

Abbiamo detto come il ruolo del DPO sia cruciale (per determinate realtà) per governare i processi e rispettare quanto previsto dalla normativa in materia di protezione dei dati personali.
Il DPO può essere un dipendente interno o un consulente esterno. Ciò che rileva, in entrambi i casi, è che deve agire in totale indipendenza, senza essere influenzato da interessi aziendali.
Allo stesso tempo, è fondamentale che il DPO sia in grado di comunicare efficacemente con il management, i responsabili IT e il personale operativo.

In particolare, ogni organizzazione deve prestare attenzione affinché:

• il DPO sia coinvolto, da vicino e in modo tempestivo, in tutte le questioni relative alla protezione dei dati;
• il DPO riferisca al più alto livello manageriale dell’organizzazione (cioè al consiglio di amministrazione);
• il DPO operi in modo indipendente e non venga licenziato (qualora interno) o penalizzato per lo svolgimento dei suoi compiti;
• il DPO disponga risorse adeguate (tempo, risorse finanziarie, infrastrutture e, se del caso, personale) per consentire a quest’ultimo di adempiere agli obblighi previsti dal GDPR e di mantenere il proprio livello di conoscenza;
• venga fornito al DPO un accesso adeguato ai dati personali trattati e alle attività di trattamento;
• venga fornito al DPO un accesso adeguato ad altri servizi della vostra organizzazione in modo che possa ricevere supporto, input o informazioni essenziali.

Competenze richieste dal GDPR

Secondo l’art. 37 del GDPR, il DPO deve possedere:

1. conoscenza specialistica della normativa: una profonda comprensione del GDPR, della Direttiva ePrivacy e di altre normative correlate, oltre al Codice Privacy italiano (D.Lgs. 196/2003 e s.m.i.); ma deve essere anche aggiornato con le più recenti soft law che -sempre di più- influenzano le best practices del settore (linee guida EDPB, framework di valutazione di impatto e di analisi del rischio);
2. competenze tecniche: capacità di analizzare le implicazioni tecnologiche di trattamenti complessi, come quelli che coinvolgono l’intelligenza artificiale o i Big Data;
3. capacità di comunicazione: il DPO deve poter interagire sia con l’Autorità Garante sia con i responsabili aziendali ma anche, in alcuni casi, direttamente con gli interessati. Deve essere riconosciuto come una voce autorevole, che possa avere una influenza anche di fronte al board.

Esperienza e formazione

Sebbene il GDPR non richieda certificazioni formali, molte aziende preferiscono affidarsi a DPO certificati, ad esempio attraverso percorsi riconosciuti a livello internazionale. Il DPO, come appena detto, deve essere scelto sulla base delle sue qualità professionali, in particolare deve essere posta l’attenzione sulle sue conoscenze normative, in aggiunta a competenze tecniche, manageriali e comunicative.

Deve essere in grado di poter interloquire con figure aziendali dal diverso background, che gli permetta di “elevare” il suo sguardo per avere una visione strategica della azienda. Inoltre, il DPO deve aggiornarsi costantemente sulle evoluzioni legislative e tecnologiche. È il mercato attuale che impone al DPO di rimanere sempre aggiornato e di avere competenze trasversali. Solo così potrà svolgere correttamente l’incarico, nel pieno rispetto dello spirito normativo del GDPR.

Il DPO svolge molteplici compiti previsti dall’art. 39 del GDPR, che possono essere suddivisi in quattro macroaree.

A) Monitoraggio della conformità
Il DPO verifica che l’organizzazione rispetti tutte le disposizioni del GDPR e delle normative
correlate. Questo include:

• Audit interni regolari sui processi di trattamento dei dati;
• Revisione delle policy di sicurezza e delle procedure aziendali;
• Controllo dell’attuazione di misure di protezione, come la pseudonimizzazione e la crittografia.

Un esempio pratico riguarda un ospedale che utilizza software di gestione delle cartelle cliniche: il DPO analizza i flussi di dati e garantisce che siano protetti da accessi non autorizzati e mediante adeguate misure tecniche e organizzative. Fornisce pareri sull’uso della doppia autenticazione, su quali debbano essere le regole di segregazione dei privilegi, sulle misure di crittografia at rest o in transit o, ancora, sulle politiche di conservazione dei dati immessi sul gestionale.

B) Consulenza su trattamenti complessi e valutazioni DPIA

Il DPO è il punto di riferimento per la conduzione delle Data Protection Impact Assessment (DPIA), obbligatorie in caso di trattamenti ad alto rischio.
Il ruolo del DPO, in questo caso, è molto importante, poiché oltre a fornire spunti pratici e teorici, è chiamato a fornire un parere circa la DPIA realizzata ed il trattamento oggetto della stessa. Ad esempio, nel lancio di un’app che monitora la salute degli utenti, il DPO identifica i potenziali rischi e suggerisce misure correttive. Per questo, è necessario che sia coinvolto sempre in fase di progettazione per poter incidere efficacemente sullo sviluppo di tali prodotti.

C) Sensibilizzazione e formazione interna

Un compito chiave del DPO è formare il personale dell’organizzazione:

• Creare programmi di formazione il più possibile personalizzati per i dipendenti;
• Sensibilizzare i responsabili della gestione dei diritti degli interessati, come il diritto alla portabilità dei dati, rispetto all’importanza dell’attività da svolgere.

D) Interazione con il Garante e gestione delle richieste degli interessati

Il DPO rappresenta il primo punto di contatto di fronte al Garante per la Protezione dei Dati e gestisce le richieste degli interessati (ad esempio, richieste di cancellazione o limitazione del trattamento). La capacità di rispondere tempestivamente a queste richieste è cruciale per evitare sanzioni.
Volendo provare a schematizzare quanto appena detto e previsto dall’art. 39 del GDPR in una tabella, potremmo procedere come segue.

DPO

La nomina del DPO spetta al titolare o al responsabile del trattamento dei dati. Tuttavia, la scelta deve rispettare criteri di indipendenza e assenza di conflitti di interesse.

Interno o esterno?

Come detto, il DPO può essere sia interno all’organizzazione, sia esterno. In particolare:

• DPO interno: un dipendente con esperienza in materia di protezione dei dati. Questa soluzione può essere vantaggiosa in termini di conoscenza aziendale, ma rischia di compromettere l’indipendenza così come richiesta dalla normativa. Inoltre, dalla nostra esperienza, abbiamo riscontrato che questo ruolo viene aggiunto a quello già esistente in azienda, senza però fornire ad esso incentivi (bonus o aumento in busta paga) o risorse umane, che lo spingano ad assolvere pienamente il suo compito.
• DPO esterno: un consulente o una società specializzata. Questa opzione garantisce maggiore imparzialità e accesso a competenze multidisciplinari a discapito di una conoscenza aziendale meno approfondita, almeno inizialmente.

Gruppi d’imprese

Per i gruppi di imprese è possibile nominare un unico DPO che agisca per l’gruppo di aziende o autorità pubbliche.

Se il DPO copre più organizzazioni, deve comunque essere in grado di svolgere i propri compiti in modo efficace, tenendo conto della struttura e delle dimensioni di tali organizzazioni.
Ciò significa che sarà opportuno valutare se un DPO può realisticamente coprire un insieme ampio o complesso di organizzazioni. Occorre, infatti, assicurarsi che il DPO disponga delle risorse necessarie per svolgere il proprio ruolo e che sia supportato da un team, se opportuno.

Il DPO deve essere facilmente accessibile, quindi i suoi dati di contatto devono essere prontamente disponibili per i dipendenti, per l’Autorità Garante e per le persone di cui vengono trattati i dati personali.

L’obbligatorietà di nomina del DPO è profondamente diversa tra le organizzazioni pubbliche e quelle private.

Obbligatorietà nel settore pubblico

La nomina del DPO è obbligatoria per tutte le autorità pubbliche e gli enti che trattano dati personali, indipendentemente dal volume o dalla natura dei trattamenti.

Obbligatorietà nel settore privato

Per le aziende private, il DPO è obbligatorio nei seguenti casi:

1. Monitoraggio sistematico su larga scala degli interessati.
2. Trattamento su larga scala di dati sensibili o giudiziari.

Ad esempio, una piattaforma online che analizza dati comportamentali dei consumatori devenominare un DPO. Una società che vende attraverso un negozio fisico (senza e-Commerce) attrezzatura idraulica, senza registrare le informazioni dei suoi acquirenti, non deve nominare un DPO.

Conflitti di interesse e indipendenza

Il DPO deve essere indipendente, evitando ruoli che potrebbero creare conflitti di interesse. Ad
esempio, non può ricoprire contemporaneamente il ruolo di responsabile IT.
Come indicato nel considerando 97 del GDPR, esistono diverse garanzie per consentire al DPO di agire in modo indipendente:

• non può essere impartita al DPO nessuna istruzione da parte dei titolari del trattamento o degli incaricati del trattamento durante l'esercizio dei suoi compiti;
• qualora il DPO sia interno, non può incorrere in licenziamento o sanzione da parte del titolare del trattamento per lo svolgimento dei suoi compiti;
• ovviamente, non deve essere messo in situazioni di conflitto di interessi con eventuali altri compiti e mansioni ad egli assegnate.

Evoluzione normativa e nuove tecnologie

L’evoluzione normativa e l’emergere di nuove tecnologie, come l’intelligenza artificiale, pongono sfide significative per il DPO. L’introduzione di strumenti innovativi richiede una costante valutazione dell’impatto sulla privacy, in un contesto regolamentare in continua evoluzione.

Il DPO deve affrontare il compito di analizzare le implicazioni etiche e legali dell’uso di queste tecnologie, garantendo il rispetto dei diritti degli interessati e l’adozione di misure adeguate di sicurezza e trasparenza. Questo ruolo richiede un approccio multidisciplinare, che coniughi competenze tecniche, legali e gestionali per anticipare i rischi e promuovere un utilizzo responsabile e conforme delle nuove tecnologie.

Il nostro approccio si fonda su un affiancamento continuo e proattivo, basato sulle esigenze operative e strategiche dell’azienda.

Prima di proporre la modalità di intervento più adatta, valutiamo a fondo:

• il contesto aziendale;
• la criticità del settore;
• il tipo di dati trattati;
• il livello di rischio.

Questo ci consente di garantire un supporto effettivo: da incontri ricorrenti – ad esempio settimanali o ad ogni sprint di sviluppo per aziende che erogano soluzioni SaaS – a momenti di audit strutturati e ricorrenti, fino alla definizione di una linea di comunicazione diretta e immediata con i referenti interni. Ne consegue un rapporto realmente integrato, non limitato a incontri sporadici, ma caratterizzato da un monitoraggio costante del proprio sistema di gestione dei dati.

Ciò che differenzia BSD Legal è l’esperienza e l’autorevolezza dei nostri DPO, tutti professionisti con ampia seniority, forti di certificazioni e di un solido background legale nel settore data protection. Ci piace poi definirci legal tech: ci piace confrontarci con i tecnici del settore, dagli amministratori di sistema agli esperti di cyber security perché conosciamo quel
linguaggio e sappiamo quanto sia necessario il dialogo con chi dovrà implementare le misure di sicurezza previste.

Assumiamo incarichi per gruppi multinazionali e grandi realtà corporate, mettendo a disposizione non solo un singolo professionista, ma un intero ecosistema di competenze.
La nostra struttura, di respire boutique, garantisce un dialogo diretto con il DPO e il suo team di riferimento, senza intermediari o barriere comunicative. Inoltre, la nostra organizzazione interna – supportata da strumenti tecnologici all’avanguardia come Notion per il project management e un repository documentale sicuro e sempre aggiornato – assicura una visione chiara, tempestiva e basata su evidenze. In questo modo, il DPO di BSD Legal conoscerà sempre lo stato dei dossier, potrà elaborare strategie di privacy by design per nuovi progetti e fornire un supporto decisionale fondato su dati concreti.

Parallelamente alle funzioni core del DPO (come essere punto di contatto con l’Autorità Garante, verificare la conformità normativa, gestire i rischi e gli adempimenti), BSD Legal offre una serie di servizi correlati che completano l’esperienza. Dalla formazione interna, indispensabile per tenere aggiornato il personale sui continui cambiamenti normativi, alle attività di gap analysis per fotografare la situazione attuale della privacy aziendale, i nostri interventi mirano ad accompagnare l’organizzazione verso un modello di governance dei dati maturo e consapevole. Ad esempio, a seguito della gap analysis, il DPO potrà presentare al Board prospettive strategiche, piani di miglioramento e budget preventivi, integrando così la
protezione dei dati nelle scelte aziendali di medio e lungo termine.