Il GDPR riguarda tutte le organizzazioni
Il Regolamento (UE) 2016/679, il GDPR, si applica a chiunque tratti dati personali. Non solo le aziende “di dati”: ogni impresa, studio, associazione o ente ne gestisce ogni giorno.
- Dipendenti e collaboratori: buste paga, presenze, dati sanitari, videosorveglianza.
- Clienti: anagrafiche, contratti, pagamenti, comunicazioni commerciali.
- Fornitori: referenti, contratti, accessi ai sistemi.
- Siti web e app: moduli di contatto, newsletter, account, cookie.
- Dati particolari: informazioni sanitarie, biometriche, sindacali, che richiedono tutele più forti.
Per tutti valgono gli stessi principi: base giuridica, informative, registro dei trattamenti, misure di sicurezza adeguate, contratti con chi tratta dati per tuo conto, gestione delle violazioni.
Chi deve nominare il DPO
Il DPO, in italiano Responsabile della protezione dei dati (RPD), è disciplinato dagli articoli 37, 38 e 39 del GDPR. L’art. 37 rende obbligatoria la designazione in tre casi:
| Caso | Esempi |
|---|---|
| Autorità e organismi pubblici, salvo le eccezioni previste | Comuni, enti, aziende sanitarie, scuole, società a controllo pubblico che svolgono funzioni pubbliche. |
| Monitoraggio regolare e sistematico di persone su larga scala, come attività principale | Banche e assicurazioni, telecomunicazioni e utility, call center, servizi informatici, recupero crediti, istituti di vigilanza. |
| Trattamento su larga scala di dati particolari o giudiziari, come attività principale | Ospedali e cliniche private, laboratori di analisi, centri di riabilitazione, CAF e patronati, sindacati. |
Gli esempi riprendono le indicazioni del Garante e vanno sempre verificati sul caso concreto: contano l’attività principale e la scala del trattamento, non il settore in sé. Un gruppo può nominare un unico DPO, purché raggiungibile da ogni società.
Chi non è obbligato può nominarlo volontariamente. In quel caso valgono le stesse regole e gli stessi compiti: è una scelta utile quando i trattamenti crescono, si introducono strumenti di intelligenza artificiale o i clienti chiedono garanzie.
Cosa fa il DPO
I compiti sono fissati dall’art. 39. In pratica il DPO è il punto di riferimento interno per tutto ciò che riguarda i dati personali e l’interlocutore del Garante.
- 01Informa e consiglia
Il vertice, le funzioni aziendali e chi tratta i dati, sugli obblighi del GDPR e delle norme collegate.
- 02Sorveglia la conformità
Verifica come vengono trattati i dati, esamina la documentazione, controlla che le regole interne siano applicate.
- 03Valuta i rischi
Dà pareri sulle valutazioni d’impatto (DPIA) e sui trattamenti a rischio elevato.
- 04Forma il personale
Cura la formazione ordinaria in materia di privacy e la sensibilizzazione di chi tratta i dati.
- 05Dialoga con il Garante
È il punto di contatto per l’autorità e per le persone che vogliono esercitare i propri diritti.
Il DPO non fa materialmente tutto al posto dell’azienda, non sostituisce il titolare nelle decisioni e non si assume la responsabilità della conformità, che resta dell’organizzazione. È una figura indipendente che informa, consiglia e sorveglia. Per questo deve poter riferire direttamente al vertice ed essere coinvolto per tempo.
Come lavoriamo
Non offriamo una figura formale, ma un presidio continuativo: un interlocutore che conosce la tua organizzazione, risponde quando serve e rende la gestione del GDPR proattiva invece che reattiva.
- 01Avvio
Conosciamo l’organizzazione, i trattamenti principali, i sistemi e i fornitori. Verifichiamo registro, informative, nomine e procedure esistenti.
- 02Priorità
Indichiamo cosa sistemare per primo, in base al rischio reale, e chi se ne occupa in azienda.
- 03Presidio
Incontri periodici, verifiche a campione, pareri su nuovi trattamenti, richieste degli interessati e dei clienti.
- 04Report al vertice
Una relazione periodica su stato della conformità, attività svolte e punti aperti.
Contratti e fornitori: la parte che nessuno guarda
Gran parte dei dati di un’azienda passa per i fornitori: gestionale, cloud, consulente del lavoro, assistenza informatica, marketing. Ognuno di questi rapporti va inquadrato e regolato.
- Chi è titolare, chi è responsabile del trattamento, chi è contitolare: un inquadramento sbagliato si porta dietro contratti sbagliati.
- Gli accordi sul trattamento dei dati (art. 28): istruzioni, misure di sicurezza, sub-responsabili, notifica delle violazioni, restituzione dei dati.
- I trasferimenti fuori dall’Unione europea, sempre più frequenti con i servizi cloud e di intelligenza artificiale.
- Le clausole che i tuoi clienti ti chiedono di firmare, da leggere prima di accettarle.
Analizziamo i contratti, proponiamo le modifiche e coordiniamo questo lavoro con la valutazione dei fornitori prevista dalla NIS2: vedi Sicurezza della catena di fornitura.
Progetti tecnologici e intelligenza artificiale
Il GDPR chiede di considerare la protezione dei dati fin dalla progettazione (privacy by design). Con l’intelligenza artificiale questo principio diventa decisivo: chatbot, trascrizioni, analisi dei documenti e assistenti trattano spesso dati personali, a volte particolari.
Il DPO entra nei progetti dall’inizio, non a cose fatte: valuta la base giuridica, i dati che escono verso il fornitore, i tempi di conservazione, la necessità di una DPIA e le informative. Coordiniamo questi aspetti con gli obblighi dell’AI Act, vedi Compliance AI.
Violazioni dei dati
Una violazione che presenta rischi per le persone va notificata al Garante entro 72 ore e, nei casi più gravi, comunicata agli interessati. Il DPO aiuta a riconoscerla, a valutarne la gravità e a documentare le decisioni, anche quando la notifica non serve.
Se l’azienda è anche soggetta alla NIS2, lo stesso evento può richiedere la notifica al CSIRT Italia. Prepariamo un’unica procedura, vedi Gestione e notifica degli incidenti.
Perché conviene
Un DPO attivo non serve solo a evitare sanzioni. Una gestione dei dati presidiata è un requisito di affidabilità verso clienti e partner e una condizione di continuità operativa: riduce il rischio di fermi e contenziosi dopo un incidente e permette di introdurre nuovi strumenti senza scoprire i problemi a progetto concluso.
Domande frequenti
Siamo una PMI: dobbiamo nominare il DPO?
Dipende dall’attività principale e dalla scala dei trattamenti, non dalle dimensioni. Molte PMI non sono obbligate, ma lo diventano se trattano su larga scala dati sanitari o monitorano sistematicamente le persone. Lo verifichiamo nella call iniziale.
Il DPO può essere esterno?
Sì. Il GDPR prevede che il DPO possa svolgere i suoi compiti in base a un contratto di servizio. Un DPO esterno garantisce più facilmente l’indipendenza richiesta dalla norma.
Una volta nominato il DPO, la privacy è a posto?
No. Il DPO consiglia e sorveglia, ma le decisioni e la responsabilità restano del titolare. Per questo lavoriamo con un presidio continuativo: la conformità si mantiene nel tempo, non si ottiene con la nomina.
Cosa succede se non nominiamo il DPO quando è obbligatorio?
La mancata nomina è sanzionabile fino a 10 milioni di euro o al 2% del fatturato mondiale annuo. Soprattutto, lascia l’azienda senza un presidio sui trattamenti più delicati.
Il DPO serve anche per i progetti di intelligenza artificiale?
Sì, ed è uno dei momenti in cui serve di più. Coinvolgerlo all’inizio permette di scegliere fornitori e configurazioni corretti, invece di dover correggere un progetto già in uso.