Responsabile della protezione dei dati
DPO esterno:assunzione dell’incarico
Il Regolamento (UE) 2016/679 prevede l’obbligo di nominare un Data Protection Officer in specifici casi. Per molte organizzazioni la soluzione più efficace è affidarsi a un DPO esterno qualificato: indipendente per definizione, privo di conflitti di interesse, con competenze verticali sulla normativa privacy.
MODI® assume formalmente l’incarico di DPO esterno, gestisce il rapporto con il Garante Privacy e opera come punto di contatto documentato per interessati e autorità di controllo.
Art. 37 Reg. UE 2016/679Comunicazione al GaranteNessun conflitto di interesseIndipendenza garantita
Inquadramento normativo
Quando il DPO è obbligatorio e perché conviene scegliere un professionista esterno
L’art. 37 del Regolamento (UE) 2016/679 impone la nomina del Data Protection Officer in tre casi: autorità e organismi pubblici, organizzazioni le cui attività principali richiedono il monitoraggio regolare e sistematico degli interessati su larga scala, e organizzazioni che trattano su larga scala categorie particolari di dati o dati relativi a condanne penali.
Il vantaggio strutturale del DPO esterno
Un DPO interno rischia di trovarsi in una posizione di conflitto di interesse ogni volta che le sue funzioni ordinarie si sovrappongono al ruolo di controllo. L’art. 38 del Regolamento impone invece che il DPO operi in piena indipendenza. Affidare l’incarico a un professionista esterno elimina questo rischio alla radice e assicura continuità operativa, anche in caso di assenza o avvicendamento del personale interno.
Il Garante Privacy raccomanda la nomina del DPO anche nelle organizzazioni per cui non sussiste obbligo formale, in applicazione del principio di accountability che permea l’intero Regolamento.
Reg. UE 2016/679Art. 37 — Nomina · Art. 38 — Posizione · Art. 39 — Compiti
Cosa include l’incarico di DPO esterno MODI®
-
Assunzione formale dell’incaricoDesignazione documentata con atto scritto conforme all’art. 37 del Regolamento.
-
Comunicazione al Garante PrivacyTrasmissione dei dati di contatto del DPO tramite procedura online dedicata del Garante (art. 37 par. 7).
-
Punto di contatto per gli interessatiGestione delle richieste di esercizio dei diritti da parte degli interessati (artt. 15–22 GDPR).
-
Interfaccia con l’autorità di controlloCooperazione con il Garante Privacy in caso di ispezioni, reclami o richieste di informazioni.
-
Sorveglianza sulla conformitàVigilanza sull’applicazione del Regolamento e delle policy interne in materia di protezione dei dati.
-
Pareri sulle DPIASupporto e supervisione nelle valutazioni d’impatto sulla protezione dei dati quando richieste.
-
Consulenza e formazione internaInformazione al titolare, al responsabile del trattamento e al personale sugli obblighi derivanti dal GDPR.
-
Indipendenza garantita e nessun conflitto di interesseOperatività conforme all’art. 38: il DPO MODI® non ricopre ruoli interni che determinano le finalità del trattamento.
Il servizio MODI®L’incarico viene assunto con atto formale, comunicato al Garante e mantenuto attivo nel tempo con verifiche periodiche, reportistica alla Direzione e disponibilità documentata per gli interessati e l’autorità di controllo.
Come operiamo
Il percorso di assunzione dell’incarico
1
Analisi del contesto e verifica dell’obbligo
Prima di tutto analizziamo l’organizzazione, i trattamenti svolti e le attività principali. Verifichiamo se sussiste l’obbligo di nomina ai sensi dell’art. 37 o se la designazione è raccomandata su base volontaria.2
Designazione formale e comunicazione al Garante
Predisponiamo l’atto di designazione del DPO e, una volta sottoscritto, trasmettiamo i dati di contatto al Garante Privacy tramite procedura telematica dedicata, come richiesto dall’art. 37 par. 7 del Regolamento.3
Operatività continuativa e reportistica
Il DPO MODI® opera in modo continuativo: gestisce i contatti con interessati e autorità, sorveglia la conformità, supporta le DPIA e riferisce periodicamente alla Direzione sull’andamento del sistema privacy.FAQ
Le risposte alle domande più comuni sull’incarico di DPO esterno, sugli obblighi normativi e sulle modalità operative del servizio MODI®.
Domande frequenti
Obbligo, nomina e comunicazione al Garante
Quando è obbligatorio nominare un DPO?
L’art. 37 del Regolamento (UE) 2016/679 prevede tre casi di nomina obbligatoria:
- quando il trattamento è effettuato da un’autorità pubblica o da un organismo pubblico;
- quando le attività principali del titolare o del responsabile consistono in trattamenti che richiedono il monitoraggio regolare e sistematico degli interessati su larga scala;
- quando le attività principali riguardano il trattamento su larga scala di categorie particolari di dati (dati sanitari, genetici, biometrici, ecc.) o di dati relativi a condanne penali.
Rif.: art. 37, Reg. UE 2016/679
La nomina del DPO va comunicata al Garante?
Sì. L’art. 37 par. 7 del Regolamento impone di comunicare i dati di contatto del DPO all’autorità di controllo. In Italia la comunicazione avviene tramite procedura telematica dedicata sul sito del Garante Privacy. È l’unico canale valido: comunicazioni via e-mail o posta non vengono prese in considerazione.
Il mancato adempimento è stato oggetto di specifici provvedimenti sanzionatori del Garante, anche nei confronti di enti pubblici, con obbligo di adozione di misure correttive.
Rif.: art. 37 par. 7, Reg. UE 2016/679
Cosa succede se non si nomina il DPO quando è obbligatorio?
La mancata nomina espone l’organizzazione a sanzioni amministrative fino a 10 milioni di euro o al 2% del fatturato annuo mondiale, ai sensi dell’art. 83 del Regolamento. Il Garante ha adottato provvedimenti sanzionatori specifici anche per la sola omessa comunicazione dei dati di contatto del DPO, prescrivendo la designazione immediata e la pubblicazione dei dati di contatto.
Rif.: art. 83 par. 4, Reg. UE 2016/679
DPO interno vs DPO esterno
Perché scegliere un DPO esterno anziché interno?
Il Regolamento impone che il DPO non si trovi in alcuna situazione di conflitto di interesse (art. 38). Un dipendente che ricopre anche ruoli decisionali sui trattamenti non soddisfa questo requisito. Un DPO esterno opera in piena indipendenza, non è soggetto a pressioni interne e garantisce continuità operativa indipendentemente dagli avvicendamenti del personale.
L’EDPB ha rilevato, nelle proprie linee guida aggiornate, numerosi casi di conflitto di interesse nei DPO interni che ricoprono funzioni aggiuntive nell’organizzazione.
Rif.: art. 38 par. 6, Reg. UE 2016/679 — Linee Guida EDPB sul DPO (WP 243 rev. 01)
Il DPO esterno è anche responsabile del trattamento?
Sì. Quando l’incarico di DPO è affidato a un soggetto esterno tramite contratto di servizi, tale soggetto deve essere nominato anche responsabile del trattamento ai sensi dell’art. 28 del Regolamento, poiché per svolgere le proprie funzioni accede necessariamente ai dati personali dell’organizzazione.
Rif.: artt. 28 e 37 par. 6, Reg. UE 2016/679
Compiti e operatività del DPO
Quali sono i compiti del DPO previsti dal Regolamento?
L’art. 39 del Regolamento individua i compiti principali del DPO:
- informare e consigliare il titolare, il responsabile e il personale sugli obblighi derivanti dal GDPR e dalle normative applicabili;
- sorvegliare l’osservanza del Regolamento, delle policy interne e delle responsabilità assegnate;
- fornire pareri sulle valutazioni d’impatto (DPIA) e sorvegliarne l’attuazione;
- cooperare con il Garante Privacy e fungere da punto di contatto con l’autorità di controllo;
- gestire i contatti con gli interessati che esercitano i propri diritti.
Rif.: art. 39, Reg. UE 2016/679
Il servizio DPO esterno MODI® include anche la consulenza privacy completa?
Il servizio di assunzione dell’incarico di DPO esterno è distinto dalla consulenza privacy completa, che comprende invece la mappatura dei trattamenti, la redazione del registro, le informative e la gestione dei data breach.
Le due attività possono essere erogate in modo integrato, su valutazione delle esigenze dell’organizzazione. Per la consulenza privacy completa è disponibile una pagina dedicata.