Studio Cravero ConsultingAggiornato al 9 settembre 2026
Chi è obbligato a nominarlo
L'art. 37 par. 1 indica tre casi, e solo il primo è automatico.
| Caso | Chi riguarda | Obbligo |
|---|---|---|
| Lett. a — autorità o organismo pubblico | Comuni, scuole, aziende sanitarie, enti e organismi di diritto pubblico, con la sola eccezione delle autorità giurisdizionali nell'esercizio delle funzioni giurisdizionali | sempre |
| Lett. b — monitoraggio regolare e sistematico su larga scala | Chi osserva in modo continuativo il comportamento delle persone: profilazione estesa, tracciamento online, videosorveglianza diffusa, telematica assicurativa | da valutare |
| Lett. c — categorie particolari o dati giudiziari su larga scala | Strutture sanitarie, laboratori, RSA, e in generale chi tratta in modo continuativo dati su salute, convinzioni, appartenenze o condanne | da valutare |
Per le lett. b e c la valutazione va fatta sull'attività reale, non sul settore di appartenenza: uno studio medico con due professionisti non è «larga scala», un poliambulatorio con migliaia di pazienti l'anno probabilmente sì. Il criterio guarda al numero di interessati, al volume dei dati, alla durata e all'estensione geografica.
Chi non rientra in nessuno dei tre casi può comunque designare un DPO su base volontaria, ma con una conseguenza da conoscere: una volta designato, si applicano tutte le regole degli artt. 37, 38 e 39, comprese l'indipendenza e l'assenza di conflitto. Non è una figura decorativa che si può nominare e ignorare.
Interno o esterno
L'art. 37 par. 6 consente entrambe le strade: il DPO può essere un dipendente oppure operare in base a un contratto di servizi. Non c'è una scelta giusta in astratto, ci sono due profili di rischio diversi.
Il DPO interno conosce l'organizzazione e costa meno in apparenza, ma pone due problemi ricorrenti: il conflitto di interessi, perché nelle strutture piccole le persone competenti sono quelle che decidono sui trattamenti, e la disponibilità di tempo, perché il ruolo viene assegnato a chi ha già un lavoro a tempo pieno.
Il DPO esterno non ha rapporti gerarchici interni e non valuta scelte di cui è corresponsabile, ma va scelto verificando che abbia tempo effettivo da dedicare all'ente e che non sia in conflitto per altra via, per esempio perché fornisce all'organizzazione anche software o servizi informatici sui quali dovrebbe poi vigilare.
I requisiti che servono davvero
L'art. 37 par. 5 chiede che il DPO sia designato in funzione delle qualità professionali, in particolare della conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati, e della capacità di assolvere i compiti dell'art. 39. Nient'altro.
Da qui discendono due conseguenze che vale la pena mettere per iscritto, perché sul mercato si racconta il contrario.
- Nessuna certificazione è obbligatoria. Le certificazioni sono attestazioni volontarie rilasciate da organismi privati: possono essere un elemento utile di valutazione, non un requisito di legge. Un bando che le richieda a pena di esclusione sta aggiungendo un requisito che la norma non prevede.
- Nessun albo, nessun titolo di studio specifico. Non esiste un ordine professionale dei DPO né una laurea richiesta. Quello che conta è dimostrare conoscenza e capacità, tipicamente attraverso percorso formativo, esperienza documentata e capacità di rispondere nel merito.
Il livello di competenza richiesto va commisurato alla sensibilità e alla complessità dei trattamenti: un ente che tratta dati sanitari su larga scala ha bisogno di una preparazione diversa da un piccolo comune.
Chi non può essere DPO
L'art. 38 par. 6 consente al DPO di svolgere altri compiti, purché non diano adito a conflitto di interessi. Il criterio è semplice da enunciare: non può essere DPO chi determina finalità e mezzi di un trattamento, perché si troverebbe a vigilare su decisioni proprie.
Le posizioni che nella pratica generano conflitto sono soprattutto queste: il vertice dell'organizzazione, il responsabile dei sistemi informativi, il responsabile delle risorse umane, il responsabile marketing, il responsabile sanitario per la parte clinica. Non è una lista chiusa e non è automatica: va valutata la situazione concreta, ma queste sono le figure su cui la contestazione è più probabile.
La procedura, passo per passo
- Verifica dell'obbligoStabilire in quale dei tre casi dell'art. 37 par. 1 si ricade, e metterlo per iscritto. Anche la conclusione «non siamo obbligati» va documentata: è una valutazione, e in sede di controllo va esibita.
- Scelta fra interno ed esternoCon verifica del tempo effettivamente disponibile e dell'assenza di conflitto. Se la scelta è interna, va messo per iscritto perché quella posizione non è in conflitto.
- Verifica dei requisitiRaccolta e conservazione degli elementi che dimostrano conoscenza specialistica e capacità: curriculum, percorso formativo, esperienza. Servono a dimostrare che la scelta è stata fatta «in funzione delle qualità professionali».
- Atto di designazioneProvvedimento formale del titolare, che definisce compiti, risorse, autonomia e durata. Nel privato può essere una lettera di incarico o un contratto di servizi; nel pubblico è un atto amministrativo.
- Pubblicazione dei contattiI dati di contatto vanno resi pubblici: sul sito istituzionale per gli enti, nell'informativa e sul sito per i privati. È il primo dei due obblighi dell'art. 37 par. 7.
- Comunicazione al GaranteAttraverso la procedura telematica dedicata disponibile sul sito dell'Autorità. È il secondo obbligo, ed è autonomo rispetto alla pubblicazione: farne uno non esonera dall'altro.
- Comunicazione internaInformare il personale di chi è il DPO e come si raggiunge. Un DPO che nessuno in organizzazione sa di avere non riceve segnalazioni, e quindi non svolge il proprio ruolo.
Che cosa scrivere nell'atto di designazione
Elementi che l'atto dovrebbe contenere
- Identificazione del titolare e del designato, con i dati di contatto che saranno pubblicati.
- Riferimento al caso dell'art. 37 par. 1 che fonda l'obbligo, o alla scelta volontaria.
- Elencazione dei compiti dell'art. 39, eventualmente integrata con attività ulteriori concordate.
- Garanzia di autonomia: assenza di istruzioni sull'esecuzione dei compiti, riferimento diretto al vertice, divieto di rimozione o penalizzazione per lo svolgimento dell'incarico, come previsto dall'art. 38 par. 3.
- Risorse messe a disposizione: accesso ai dati e ai trattamenti, tempo, supporto degli uffici, formazione continua.
- Modalità e tempi di coinvolgimento del DPO, in particolare l'obbligo di interpellarlo tempestivamente nelle questioni che riguardano la protezione dei dati.
- Durata dell'incarico, condizioni di rinnovo e casi di cessazione.
- Obbligo di riservatezza nell'esecuzione dei compiti.
- Per il DPO esterno: corrispettivo, tempi di risposta, modalità di svolgimento e periodicità delle verifiche.
Il punto 6 è quello che nella pratica fa la differenza fra un incarico reale e uno nominale. L'art. 38 par. 1 impone al titolare di assicurarsi che il DPO sia coinvolto tempestivamente e adeguatamente in tutte le questioni riguardanti la protezione dei dati: se l'atto non lo dice e nessuna procedura lo prevede, il DPO viene interpellato dopo che le decisioni sono state prese, quando può solo prenderne atto.
La comunicazione al Garante
È un adempimento telematico che si effettua attraverso l'apposita procedura sul sito dell'Autorità, e va rifatto ogni volta che cambia qualcosa: sostituzione del DPO, variazione dei dati di contatto, cessazione dell'incarico. Le comunicazioni non aggiornate sono una delle irregolarità più frequenti, perché la nomina viene comunicata e poi ci si dimentica che è un dato vivo.
Vale la pena ricordare che i due obblighi dell'art. 37 par. 7 sono distinti e cumulativi. Molte organizzazioni pubblicano i contatti sul sito e ritengono di aver esaurito l'adempimento; altre comunicano al Garante e non pubblicano nulla. Entrambe sono in difetto per metà.
Dopo la nomina
La nomina è l'inizio, e l'errore più comune è trattarla come un traguardo. Perché l'incarico produca effetti servono poche cose ricorrenti: che il DPO sia interpellato prima delle decisioni e non dopo; che riceva le segnalazioni dagli uffici, il che presuppone che il personale sappia che esiste; che svolga verifiche periodiche programmate e non solo su richiesta; e che riferisca all'organo di vertice con una relazione, tipicamente annuale, che lasci traccia di quanto è stato fatto e di quanto resta aperto.
Quest'ultimo documento è sottovalutato ma è quello che in caso di controllo dimostra che l'incarico è stato reale. Un ente che può esibire tre relazioni annuali si trova in una posizione molto diversa da uno che ha solo un decreto di nomina.
Gli errori più frequenti
- Fermarsi alla designazione senza pubblicare i contatti o senza comunicarli al Garante. È l'irregolarità più facile da rilevare dall'esterno, perché basta guardare il sito.
- Nominare il responsabile IT o un'altra figura che decide sui trattamenti, senza valutare il conflitto di interessi.
- Richiedere certificazioni come requisito in un bando, aggiungendo un presupposto che la norma non prevede e restringendo la platea senza fondamento.
- Confondere il DPO con il responsabile del trattamento. Sono figure diverse: il responsabile tratta dati per conto del titolare, il DPO vigila. Un fornitore nominato responsabile non è per questo il DPO, e il DPO non va nominato responsabile.
- Non aggiornare la comunicazione quando il DPO cambia o cambiano i suoi recapiti.
- Dimensionare l'incarico su un prezzo anziché sulle attività, ottenendo un contratto che non consente di svolgere ciò che la norma richiede.
Se stai valutando l'incarico, le pagine di riferimento sono DPO esterno per il quadro generale, requisiti e conflitto di interessi per l'approfondimento sulla scelta della persona e quanto costa un DPO esterno per la parte economica. Per le amministrazioni pubbliche il percorso è descritto in DPO per la Pubblica Amministrazione, con le declinazioni per Comuni, Unioni di Comuni, scuole e aziende sanitarie. Che cosa fa concretamente questa figura è spiegato in cosa fa il DPO.
Devi nominare il DPO e vuoi farlo bene
Descrivimi l'organizzazione: tipologia, dimensione, che dati trattate e se c'è già un incarico in corso. Ti dico se l'obbligo sussiste e ti mando i testi degli atti che servono.
Domande frequenti
Serve una certificazione per fare il DPO?
No. L'art. 37 par. 5 chiede qualità professionali, conoscenza specialistica della normativa e delle prassi, e capacità di assolvere i compiti previsti dall'art. 39. Non menziona certificazioni, che sono attestazioni volontarie rilasciate da organismi privati e non requisiti di legge. Possono essere un elemento di valutazione fra gli altri, ma un bando che le richieda a pena di esclusione sta introducendo un requisito che la norma non prevede.
Chi firma l'atto di designazione?
Il titolare del trattamento, attraverso l'organo che ne ha la competenza. In un ente pubblico è di norma il vertice amministrativo o l'organo individuato dall'ordinamento interno; in una società è l'organo amministrativo. È importante che l'atto provenga da chi ha il potere di impegnare l'organizzazione, perché contiene garanzie di autonomia e impegni di risorse che devono essere effettivamente vincolanti.
Quanto tempo c'è per comunicare la nomina al Garante?
La norma non fissa un termine numerico, ma l'art. 37 par. 7 va letto insieme al principio di responsabilizzazione: la comunicazione va fatta senza ritardo, cioè appena la designazione è formalizzata. Nella pratica conviene svolgere i tre passaggi in sequenza ravvicinata, atto, pubblicazione e comunicazione, perché è quando si lasciano scollegati che uno dei tre viene dimenticato.
Si può revocare il DPO?
L'incarico può cessare, ma l'art. 38 par. 3 stabilisce che il DPO non può essere rimosso o penalizzato per l'adempimento dei propri compiti. Significa che la cessazione non può essere una reazione ai pareri espressi o alle criticità segnalate: se lo fosse, la garanzia di indipendenza sarebbe svuotata. Restano naturalmente possibili la scadenza naturale, la cessazione consensuale e la revoca per ragioni oggettive e documentabili, estranee all'esercizio della funzione.
Il DPO risponde delle violazioni commesse dall'organizzazione?
No. La responsabilità del rispetto del Regolamento resta del titolare, che è chi decide finalità e mezzi. Il DPO informa, sorveglia, fornisce pareri e coopera con l'autorità: non ha poteri decisionali sui trattamenti e non risponde delle scelte altrui. Questo non esclude una sua responsabilità contrattuale verso il committente se non svolge le attività concordate, ma è un piano diverso da quello sanzionatorio previsto dal Regolamento.
Un'azienda privata non obbligata dovrebbe nominarlo lo stesso?
Dipende dal beneficio atteso, e va deciso sapendo che la designazione volontaria non è priva di conseguenze: una volta effettuata, si applicano integralmente gli artt. 37, 38 e 39, comprese le garanzie di indipendenza e l'assenza di conflitto. Chi vuole un supporto senza assumere quel vincolo può ricorrere a una consulenza privacy strutturata, che offre le stesse competenze senza formalizzare un ruolo con obblighi propri.
Che differenza c'è fra DPO e responsabile del trattamento?
Sono figure completamente diverse, e la confusione nasce dalla terminologia italiana. Il responsabile del trattamento è chi tratta dati per conto del titolare, tipicamente un fornitore, e si nomina con l'atto previsto dall'art. 28. Il DPO, in italiano responsabile della protezione dei dati, è la figura di sorveglianza interna prevista dagli artt. 37-39: non tratta dati per conto di nessuno, vigila sul rispetto della normativa e riferisce al vertice.
Scritto da Dott. Pietro Cravero, titolare di Studio Cravero e DPO certificato IDcert, Master universitario di II livello in trattamento dei dati personali presso l'Università degli Studi Roma Tre. Studio con sede a Sassari, incarichi svolti in tutta Italia prevalentemente da remoto.