Chi è il DPO
Il responsabile della protezione dei dati (in inglese Data Protection Officer, DPO) è la figura prevista dagli articoli da 37 a 39 del Regolamento (UE) 2016/679 (GDPR). Affianca il titolare del trattamento, cioè l'impresa che decide perché e come trattare i dati, e il responsabile del trattamento, cioè il fornitore che tratta dati per conto dell'impresa.
Il DPO non decide i trattamenti e non risponde personalmente al posto dell'impresa. Consiglia, controlla che le regole siano rispettate, fa da punto di contatto con il Garante e con le persone i cui dati vengono trattati.
Quando il DPO è obbligatorio
L'art. 37, paragrafo 1, del GDPR impone la nomina in tre casi:
- il trattamento è effettuato da un'autorità pubblica o un organismo pubblico (con l'eccezione dei giudici nell'esercizio delle funzioni giurisdizionali);
- le attività principali consistono in trattamenti che richiedono il monitoraggio regolare e sistematico degli interessati su larga scala;
- le attività principali consistono nel trattamento su larga scala di categorie particolari di dati (art. 9: salute, dati genetici e biometrici, origine razziale o etnica, opinioni politiche, convinzioni religiose, appartenenza sindacale, vita e orientamento sessuale) o di dati relativi a condanne penali e reati (art. 10).
L'obbligo riguarda sia il titolare sia il responsabile del trattamento. Un fornitore che, per conto di altri, gestisce su larga scala dati sanitari o sistemi di monitoraggio può quindi dover nominare un proprio DPO anche se il cliente non lo ha.
Cosa significano "attività principale" e "larga scala"
Il GDPR non definisce questi termini. Le indicazioni operative vengono dalle Linee guida sui responsabili della protezione dei dati del Gruppo di lavoro Articolo 29, adottate il 13 dicembre 2016 ed emendate il 5 aprile 2017, poi fatte proprie dal Comitato europeo per la protezione dei dati (EDPB).
- Attività principale è quella necessaria per raggiungere gli obiettivi dell'impresa, non un'attività accessoria. Per una clinica privata il trattamento dei dati sanitari è attività principale; per un'impresa manifatturiera la gestione delle buste paga dei dipendenti, anche se contiene dati sanitari, è un'attività di supporto.
- Larga scala si valuta guardando al numero di persone coinvolte, alla quantità e varietà dei dati, alla durata del trattamento e alla sua estensione geografica. Non esiste una soglia numerica fissa.
- Monitoraggio regolare e sistematico comprende ogni forma di tracciamento e profilazione, anche online: per esempio pubblicità comportamentale, programmi fedeltà, geolocalizzazione tramite app, sistemi di videosorveglianza estesi, dispositivi connessi.
Sono esempi tipici di imprese obbligate: strutture sanitarie private di dimensioni rilevanti, laboratori di analisi, compagnie assicurative e istituti di credito, società di telecomunicazioni, imprese che offrono servizi di profilazione o di marketing comportamentale, istituti di vigilanza privata con ampi sistemi di sorveglianza.
Quando il DPO non è obbligatorio
Per la maggior parte delle PMI la nomina non è obbligatoria: un'impresa artigiana, un negozio, uno studio commerciale con clientela locale o un'azienda manifatturiera di regola non rientrano nei casi dell'art. 37.
Il fatto che il DPO non sia obbligatorio non esonera dagli altri adempimenti del GDPR: informative, registro dei trattamenti quando dovuto, nomina dei fornitori come responsabili del trattamento, misure di sicurezza, gestione dei data breach.
Se l'impresa decide di nominare comunque un DPO, la nomina volontaria comporta l'applicazione di tutte le regole degli artt. 37–39, come se fosse obbligatoria: lo ricordano le linee guida europee e lo ha ribadito il Garante nel provvedimento n. 802 del 19 dicembre 2024. Chi vuole un supporto senza questi vincoli può affidarsi a un consulente privacy senza attribuirgli il titolo di DPO.
Chi può essere nominato DPO
Il DPO è scelto in base alle qualità professionali, in particolare alla conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati (art. 37, par. 5). Il GDPR non richiede un albo o una certificazione specifica.
Può essere:
- un dipendente dell'impresa;
- un professionista esterno o una società, sulla base di un contratto di servizi (art. 37, par. 6).
Un gruppo di imprese può nominare un unico DPO, purché sia facilmente raggiungibile da ogni sede (art. 37, par. 2).
Il punto critico è il conflitto di interessi (art. 38, par. 6). Il DPO non può ricoprire ruoli in cui decide le finalità e i mezzi dei trattamenti che dovrebbe controllare. Nel provvedimento n. 802 del 19 dicembre 2024 il Garante ha ritenuto illegittima la nomina a DPO del legale rappresentante della società, contestando la violazione degli artt. 37 e 38 insieme ad altre violazioni, per le quali ha applicato una sanzione complessiva di 70.000 euro. Per ragioni analoghe sono di regola incompatibili i ruoli di amministratore delegato, direttore generale, responsabile IT, responsabile del personale o del marketing.
Compiti del DPO
L'art. 39 del GDPR affida al DPO almeno questi compiti:
- informare e consigliare l'impresa e i dipendenti sugli obblighi in materia di protezione dei dati;
- sorvegliare il rispetto del GDPR e delle politiche interne, compresi l'attribuzione delle responsabilità, la formazione del personale e gli audit;
- fornire un parere sulla valutazione d'impatto (DPIA) quando richiesto;
- cooperare con il Garante e fare da punto di contatto per l'Autorità.
Per svolgerli, l'impresa deve coinvolgerlo tempestivamente in tutte le questioni sulla protezione dei dati, dargli risorse adeguate e accesso ai dati e ai trattamenti. Il DPO non riceve istruzioni sull'esecuzione dei compiti, non può essere rimosso o penalizzato per averli svolti e riferisce direttamente al vertice dell'impresa (art. 38). Le persone interessate possono rivolgersi a lui per qualunque questione sui propri dati.
Come si nomina e si comunica al Garante
- Atto di designazione: per un dipendente, un atto interno che indichi compiti, risorse e garanzie; per un esterno, un contratto di servizi con gli stessi contenuti.
- Pubblicazione dei dati di contatto: nel sito, nelle informative e nei documenti per i clienti e i dipendenti (art. 37, par. 7). Non è necessario pubblicare il nome, basta un recapito dedicato (per esempio un indirizzo e-mail).
- Comunicazione al Garante: i dati di contatto del DPO vanno comunicati all'Autorità con la procedura online disponibile sul sito del Garante, e la comunicazione va aggiornata a ogni cambio.
Il Garante sanziona anche la sola omissione della comunicazione: nel provvedimento n. 698 del 14 novembre 2024, per esempio, ha applicato a un Comune una sanzione di 2.000 euro per la sola mancata comunicazione dei dati di contatto del DPO (art. 37, par. 7). La regola vale allo stesso modo per le imprese obbligate o che hanno nominato un DPO.
Cosa si rischia
La violazione degli obblighi degli artt. 37–39 (mancata nomina quando obbligatoria, nomina in conflitto di interessi, mancata pubblicazione o comunicazione dei contatti, mancato coinvolgimento del DPO) è soggetta a sanzione amministrativa fino a 10 milioni di euro o, per le imprese, fino al 2% del fatturato mondiale annuo dell'esercizio precedente, se superiore (art. 83, par. 4, GDPR). L'importo concreto dipende dai criteri dell'art. 83, par. 2: gravità, durata, collaborazione, precedenti.
Al di là della sanzione, l'assenza di un DPO dove serve si nota soprattutto nei momenti critici: un data breach, un'ispezione, una richiesta di accesso ai dati da parte di un cliente.
Errori da evitare
- Nominare DPO il titolare o l'amministratore della società, o chi dirige le funzioni che trattano i dati.
- Nominare un DPO "per sicurezza" senza dargli risorse e autonomia: la nomina volontaria comporta gli stessi obblighi di quella obbligatoria.
- Dimenticare la comunicazione al Garante o il suo aggiornamento quando il DPO cambia.
- Escludere il DPO dalle decisioni su nuovi trattamenti, fornitori, data breach o valutazioni d'impatto.
- Confondere il DPO con il responsabile del trattamento: il primo è una figura di consulenza e controllo, il secondo è chi tratta dati per conto dell'impresa.
Esempio pratico
Un poliambulatorio privato della provincia di Ancona, con diverse sedi e alcune migliaia di pazienti all'anno, gestisce cartelle cliniche, referti e prenotazioni online. Il trattamento dei dati sanitari è la sua attività principale e avviene su larga scala: il DPO è obbligatorio.
- Il poliambulatorio sceglie un professionista esterno con esperienza nella protezione dei dati in ambito sanitario e firma un contratto di servizi che ne descrive compiti, risorse e durata.
- Pubblica un indirizzo e-mail dedicato al DPO nel sito e nelle informative ai pazienti.
- Comunica i dati di contatto al Garante con la procedura online.
- Coinvolge il DPO nella scelta del nuovo software di prenotazione e nella relativa valutazione d'impatto.
Un'officina meccanica di Osimo con dodici dipendenti, che tratta i dati dei clienti per fatture e preventivi e i dati dei dipendenti per le buste paga, non ha invece l'obbligo di nominare un DPO.
Riferimenti normativi e di prassi
- Regolamento (UE) 2016/679 (GDPR), artt. 9, 10, 37, 38, 39 e 83, par. 4 – testo consolidato su EUR-Lex al 7/11/2026
- Gruppo di lavoro Articolo 29, Linee guida sui responsabili della protezione dei dati, WP 243 rev. 01 (13 dicembre 2016, emendate il 5 aprile 2017), fatte proprie dall'EDPB
- Garante per la protezione dei dati personali, provvedimento n. 802 del 19 dicembre 2024, doc. web n. 10106904
- Garante per la protezione dei dati personali, provvedimento n. 698 del 14 novembre 2024, doc. web n. 10085732
Domande frequenti
Il DPO è obbligatorio per tutte le aziende?
No. Il GDPR impone la nomina solo agli enti pubblici e alle imprese la cui attività principale consiste nel monitoraggio regolare e sistematico di persone su larga scala o nel trattamento su larga scala di dati sanitari, biometrici, giudiziari o di altre categorie particolari. La maggior parte delle PMI non rientra in questi casi, ma deve comunque rispettare gli altri obblighi del GDPR.
Il titolare o l'amministratore può essere nominato DPO?
No. Il DPO deve controllare i trattamenti in modo indipendente e senza conflitti di interessi, quindi non può essere chi ne decide finalità e mezzi. Nel provvedimento n. 802 del 19 dicembre 2024 il Garante ha ritenuto illegittima la nomina a DPO del legale rappresentante della società, contestando la violazione degli artt. 37 e 38 del GDPR.
Il DPO può essere esterno all'azienda?
Sì. L'art. 37, par. 6, del GDPR consente di nominare un dipendente oppure un professionista o una società esterni sulla base di un contratto di servizi. La soluzione esterna è frequente nelle PMI obbligate, perché garantisce competenza specialistica e indipendenza. Il contratto deve indicare compiti, risorse, durata e modalità di contatto con il vertice aziendale.
Il DPO va comunicato al Garante?
Sì. L'impresa deve pubblicare i dati di contatto del DPO e comunicarli al Garante (art. 37, par. 7, GDPR) con la procedura online disponibile sul sito dell'Autorità, aggiornandoli a ogni cambio. La sola mancata comunicazione è una violazione autonoma, che il Garante accerta e sanziona anche quando il DPO è stato regolarmente nominato.
Se nomino un DPO volontariamente devo rispettare le stesse regole?
Sì. Le linee guida europee e il Garante chiariscono che il DPO nominato su base volontaria è soggetto alle stesse regole sulla designazione, la posizione e i compiti previste per quello obbligatorio. Chi vuole un supporto più flessibile può affidarsi a un consulente privacy senza attribuirgli il titolo di DPO.
Leggi anche
- Data breach: cosa fare nelle prime 72 ore
- Art. 4 Statuto dei lavoratori: telecamere sul posto di lavoro e altri controlli a distanza
- Cartello area videosorveglianza: cosa deve indicare per essere a norma
Avv. Alessandro Mancinelli – aggiornato al 7 novembre 2026
Le informazioni hanno carattere generale e non sostituiscono una consulenza sul caso specifico.