Pubblica amministrazione · Unioni e gestioni associate

DPO per Unioni di Comuni e gestioni associate

Assumo l'incarico di Responsabile della protezione dei dati per Unioni di Comuni, unioni montane e gestioni associate in tutta Italia. Il lavoro comincia dalla convenzione: prima si stabilisce chi è titolare di che cosa, poi si designa.

Richiedi informazioni sull'incarico Come si definisce il perimetro

Aggiornato al 9 settembre 2026

L'art. 37 par. 3 del GDPR consente espressamente a più autorità pubbliche di designare un unico Responsabile della protezione dei dati, tenendo conto della loro struttura organizzativa e dimensione. È una possibilità prevista, non un automatismo: l'Unione e i Comuni aderenti restano soggetti distinti, e la titolarità dei trattamenti segue le funzioni effettivamente conferite dalla convenzione, non i confini amministrativi. Prima di designare va stabilito il perimetro; se si fa dopo, si scopre di aver coperto meno di quanto si credeva.

In questa pagina

La domanda che viene prima di tutte
Che cosa si guadagna davvero
I tre errori più frequenti
Gli adempimenti che restano di ciascun ente
Come imposto l'incarico
Che cosa comprende
Come si affida un incarico condiviso
Domande frequenti

La domanda che viene prima di tutte

Quando un gruppo di Comuni mi contatta, la prima cosa che chiedo non è quanti abitanti hanno o quanti dipendenti: è quali funzioni sono state effettivamente conferite all'Unione e quali sono rimaste in capo ai singoli enti. La risposta sta nella convenzione, e cambia tutto quello che viene dopo.

Il motivo è che la titolarità del trattamento segue la funzione. Se la gestione del personale è associata, il titolare di quei trattamenti è l'Unione; se i tributi restano a ciascun Comune, il titolare è ciascun Comune. Molte convenzioni però conferiscono le funzioni in modo parziale o graduale, e capita che l'ufficio sia unico ma la responsabilità formale sia rimasta ai singoli enti, o il contrario.

Nella pratica si formano tre configurazioni, e vanno riconosciute prima di scrivere qualunque atto.

Configurazione	Chi è titolare	Come si imposta l'incarico
Funzione pienamente conferita all'Unione	L'Unione	Il RPD è designato dall'Unione per quei trattamenti. I Comuni restano titolari solo di ciò che non hanno conferito.
Ufficio unico, funzione non conferita	I singoli Comuni	Ogni Comune designa, anche se la persona è la stessa. L'Unione, se tratta materialmente i dati, va inquadrata come responsabile ai sensi dell'art. 28.
Assetto misto, il caso più comune	Entrambi, per ambiti diversi	Designazione da parte di tutti gli enti, con un documento che elenca per ciascuno gli ambiti coperti. È l'unico modo perché nessun trattamento resti scoperto.

Perché questo non è formalismo. Se un cittadino esercita un diritto o presenta un reclamo, il Garante si rivolge al titolare di quel trattamento. Un ente che ha designato il RPD solo «tramite l'Unione», per una funzione che l'Unione non aveva ricevuto, si trova senza responsabile designato proprio sul trattamento contestato.

Che cosa si guadagna davvero

I vantaggi di un'impostazione coordinata sono concreti, ma non sono quelli che di solito si citano. Non è il risparmio in sé il punto: è che si smette di rifare venti volte lo stesso lavoro.

Un unico impianto per i servizi associati. Se la polizia locale, il personale o i servizi sociali sono gestiti in forma associata, il registro dei trattamenti di quell'area si scrive una volta sola invece che in ogni Comune, con il rischio di venti versioni disallineate.
Una sola verifica sui fornitori comuni. Gli enti che condividono il gestionale, il servizio di conservazione o il portale dei pagamenti hanno gli stessi contratti da esaminare. Farlo una volta e diffondere l'esito è il guadagno più grosso di tutta l'operazione.
Procedure uniformi. Richieste degli interessati, violazioni dei dati, accesso agli atti: se ogni Comune ha una procedura diversa, il personale che opera su più enti sbaglia. Se è la stessa, la impara una volta.
Formazione erogata una volta. Il personale in servizio associato lavora per più enti: ha senso formarlo insieme, con casi presi dai servizi che gestisce davvero.
Un interlocutore solo. Per il segretario che coordina, avere un unico riferimento per venti enti significa non dover ricostruire il contesto a ogni domanda.

I tre errori più frequenti

Primo: dare per scontato che la designazione unica copra tutto. Copre i trattamenti degli enti che hanno designato, negli ambiti per cui l'hanno fatto. Se un Comune conferisce all'Unione solo la centrale unica di committenza e poi considera coperti anche anagrafe e tributi, ha un buco che nessuno vede finché non serve.

Secondo: pensare che gli adempimenti dell'art. 37 par. 7 si facciano una volta. Ogni ente titolare deve pubblicare i dati di contatto del proprio RPD sul proprio sito e comunicarli al Garante. Venti Comuni significano venti pubblicazioni e venti comunicazioni, anche se la persona designata è la stessa. È l'adempimento più facile da verificare dall'esterno e quello che più spesso resta indietro.

Terzo: dimensionare l'attività sul numero di enti invece che sulla loro complessità. Venti Comuni piccoli con gli stessi servizi e lo stesso gestionale richiedono meno lavoro di cinque Comuni medi con servizi diversi, società partecipate e impianti di videosorveglianza autonomi. Un corrispettivo calcolato a testa senza guardare che cosa fanno gli enti produce quasi sempre un incarico sottodimensionato, cioè un incarico che non verrà svolto.

Gli adempimenti che restano di ciascun ente

Anche con un RPD unico, alcune cose non si accentrano. Vale la pena averle chiare prima, perché sono quelle su cui si misura la conformità del singolo Comune.

La designazione formale con atto del proprio organo competente.
La pubblicazione dei dati di contatto sul proprio sito istituzionale e la comunicazione al Garante, previste dall'art. 37 par. 7.
Il registro dei trattamenti per gli ambiti rimasti in capo all'ente. Può condividere l'impianto con gli altri, ma resta un documento suo.
Le nomine dei responsabili per i fornitori con cui l'ente ha un rapporto contrattuale diretto.
La risposta agli interessati e la gestione dei reclami che lo riguardano.
La notifica delle violazioni che coinvolgono i suoi trattamenti.

Come imposto l'incarico

Lettura della convenzionePrima di ogni altra cosa. Quali funzioni sono conferite, da quando, con quali limiti, e quali servizi sono materialmente gestiti da uffici unici. Da qui esce la mappa della titolarità.
Ricognizione condivisaUn solo passaggio sui servizi associati e sui fornitori comuni, poi una verifica più rapida ente per ente su ciò che resta specifico. È qui che si recupera la maggior parte del tempo.
Designazioni e adempimenti formaliAtto per ciascun ente, pubblicazione dei contatti e comunicazione al Garante. Fornisco i testi già pronti, perché è il punto in cui le pratiche si arenano.
Impianto documentale comuneRegistro, informative e procedure costruiti una volta e declinati per ente, non venti documenti scollegati.
Attività ordinaria coordinataUn unico canale per i pareri, formazione erogata insieme, verifiche periodiche programmate e una relazione annuale che dà a ciascun organo di vertice il quadro del proprio ente.

Che cosa comprende

Analisi della convenzione e mappa della titolarità dei trattamenti fra Unione ed enti aderenti.
Assunzione del ruolo di RPD per gli enti che designano, con atti e supporto agli adempimenti dell'art. 37 par. 7.
Registro dei trattamenti per i servizi associati e per gli ambiti propri di ciascun ente.
Esame unico dei contratti con i fornitori condivisi ed esito diffuso a tutti gli enti interessati.
Procedure comuni per richieste degli interessati e violazioni dei dati.
Supporto alle valutazioni d'impatto, tipicamente su videosorveglianza e servizi digitali.
Formazione per il personale in servizio associato, con attestazione.
Classificazione dei sistemi di intelligenza artificiale in uso e obblighi dell'ente come utilizzatore.
Punto di contatto per il Garante e relazione annuale a ciascun organo di vertice.

Come si affida un incarico condiviso

Gli assetti che vedo più spesso sono due. Nel primo è l'Unione ad affidare il servizio per sé e per gli enti aderenti, con il costo ripartito secondo i criteri della convenzione. Nel secondo ciascun Comune affida per proprio conto, con procedure separate ma coordinate nei tempi, e questo capita quando le funzioni conferite sono poche.

La scelta dipende dalla convenzione e dai regolamenti degli enti, e compete al RUP. Le strade praticabili sono quelle ordinarie: affidamento diretto nei casi consentiti, confronto di preventivi, trattativa o procedura telematica, manifestazione di interesse, centrali di committenza e piattaforme regionali, oppure MePA, dove lo Studio è abilitato.

Un suggerimento pratico che non riguarda la norma ma i tempi: se gli enti hanno incarichi in corso con scadenze diverse, conviene allinearle alla prima occasione utile. Un gruppo di Comuni con dieci scadenze sparse nell'anno è ingestibile, e ogni rinnovo separato costa a tutti tempo amministrativo.

Se stai valutando l'incarico per un singolo ente, la pagina di riferimento è DPO esterno per Comuni. Per le altre amministrazioni ho pagine dedicate alle istituzioni scolastiche e alle ASL e aziende sanitarie, oltre alla panoramica del servizio per la PA. La procedura formale di nomina, passo per passo, è nella guida come nominare il DPO.

Descrivi la vostra situazione

Indicami quanti enti siete, quali funzioni sono conferite e se ci sono incarichi in corso con le relative scadenze. Ti rispondo con la mappa della titolarità e una proposta dimensionata sulla complessità reale, non sul numero di Comuni.

Richiedi informazioni sull'incarico DPO per singolo Comune

Domande frequenti

Più Comuni possono nominare lo stesso DPO?

Sì. L'art. 37 par. 3 lo consente espressamente alle autorità pubbliche e agli organismi pubblici, tenendo conto della loro struttura organizzativa e della loro dimensione. Non è però un automatismo che copra tutto: ogni ente designa per i trattamenti di cui è titolare, e quali siano dipende dalle funzioni effettivamente conferite alla gestione associata.

Basta che designi l'Unione, o deve farlo anche ogni Comune?

Dipende da chi è titolare del trattamento. Per le funzioni pienamente conferite all'Unione, designa l'Unione. Per quelle rimaste ai singoli Comuni, deve designare ciascun Comune, anche quando la persona indicata è la stessa e anche quando l'ufficio che opera è unico. Nella maggior parte dei casi reali l'assetto è misto e servono entrambe le designazioni.

I dati di contatto vanno pubblicati da ogni ente?

Sì. L'art. 37 par. 7 impone al titolare di pubblicare i dati di contatto del responsabile della protezione dei dati e di comunicarli all'autorità di controllo. Sono obblighi che gravano su ciascun titolare: venti Comuni titolari significano venti pubblicazioni sui rispettivi siti e venti comunicazioni al Garante, anche a fronte di un unico RPD designato.

Come si calcola il costo di un incarico per più enti?

Non sul numero di enti, che è il criterio più diffuso e il meno affidabile. Conta la complessità: quanti servizi sono gestiti in forma associata e quanti restano autonomi, quanti fornitori distinti ci sono, se esistono impianti di videosorveglianza o servizi digitali propri di ciascun Comune, che documentazione è già disponibile. Venti Comuni con gli stessi servizi e lo stesso gestionale richiedono meno lavoro di cinque Comuni con assetti diversi.

Se un Comune esce dall'Unione cosa succede all'incarico?

L'ente che esce resta titolare dei propri trattamenti e deve avere un RPD designato. In pratica si aggiorna il proprio atto di designazione e si verificano pubblicazione e comunicazione al Garante, che vanno rifatte con i riferimenti corretti. È una situazione da prevedere nella proposta iniziale, così l'uscita non lascia scoperture nel periodo di transizione.

Il DPO unico può creare un conflitto fra enti diversi?

In linea di principio no, perché il RPD non decide al posto del titolare: vigila, informa e fornisce pareri. Le situazioni da governare esistono quando due enti hanno posizioni divergenti sullo stesso trattamento condiviso, e in quel caso il compito è rappresentare a ciascun titolare i rischi delle rispettive scelte, non arbitrare fra loro. Va detto anche che l'art. 38 par. 3 impone che il RPD non riceva istruzioni sull'esecuzione dei propri compiti: questo vale verso tutti gli enti allo stesso modo.

Serve una convenzione apposita per il DPO condiviso?

Non necessariamente una nuova: spesso è sufficiente che la convenzione esistente sulla gestione associata risulti chiara su quali funzioni sono conferite. Quando invece la convenzione è generica o parziale, conviene un atto ricognitivo che espliciti la titolarità dei trattamenti prima di formalizzare le designazioni. È un passaggio breve, e risparmia contestazioni successive su chi doveva rispondere di che cosa.

Scritto da Dott. Pietro Cravero, titolare di Studio Cravero e DPO certificato IDcert, Master universitario di II livello in trattamento dei dati personali presso l'Università degli Studi Roma Tre. Studio con sede a Sassari, incarichi svolti in tutta Italia prevalentemente da remoto.