Il DPO nei Comuni: cosa deve fare l’ente

Un obbligo senza soglie

Per le autorità e gli organismi pubblici la designazione non dipende dal tipo di trattamenti né dalla loro scala: discende dalla natura del soggetto. Un Comune di 500 abitanti ha lo stesso obbligo di un capoluogo. Quello che cambia è il volume di attività che l’incarico deve produrre, da proporzionare alla struttura senza poterlo azzerare.

Interno, esterno o condiviso

• Interno: un dipendente con le competenze richieste dall’art. 37 par. 5 e senza conflitti di interesse. Nei piccoli enti è difficile trovarlo, perché chi conosce i trattamenti di solito li decide.
• Esterno: un professionista con un contratto di servizi (art. 37 par. 6). I requisiti sono identici.
• Condiviso: l’art. 37 par. 3 consente a più enti di designare un unico RPD, tenuto conto della loro struttura e dimensione. È la soluzione naturale per le Unioni di Comuni e le gestioni associate, purché ogni ente lo designi e ne pubblichi i contatti.

Il conflitto di interessi (art. 38 par. 6) esclude chi determina finalità e mezzi dei trattamenti: per esempio chi guida i sistemi informativi o un ufficio che tratta grandi quantità di dati. Il RPD deve poter sorvegliare quelle decisioni, non prenderle.

I tre adempimenti dopo la nomina

1. Atto di designazione con compiti, risorse e durata, e con l’indicazione che il RPD riferisce al vertice dell’ente (art. 38 par. 3).
2. Pubblicazione dei dati di contatto sul sito istituzionale, in una posizione facile da trovare: un indirizzo email dedicato e la PEC sono il minimo. Il nome non è obbligatorio nella pubblicazione, i contatti sì.
3. Comunicazione al Garante dei dati del RPD, tramite la procedura disponibile sul sito dell’Autorità, da ripetere ogni volta che il RPD cambia o cambiano i suoi recapiti.

I punti 2 e 3 sono i più facili da verificare dall’esterno: chiunque, cittadino compreso, può controllare se il sito del Comune indica come contattare il RPD. La loro assenza è il primo segnale che l’incarico non è stato completato.

Come affidare l’incarico a un esterno

L’incarico di RPD è un servizio. Per importi sotto la soglia dei 140.000 euro il Codice dei contratti pubblici (d.lgs. 36/2023, art. 50) consente l’affidamento diretto, nel rispetto dei principi del Codice. Nella pratica passa dagli strumenti di acquisto che l’ente usa già: io sono abilitato su MePA e iscritto a SardegnaCAT.

Prima di firmare conviene chiedere al professionista un piano annuale: cosa verifica, quando, con quali documenti. Un incarico senza attività programmate è il caso più comune di RPD solo sulla carta.

Cosa deve succedere in un anno

• aggiornamento del registro dei trattamenti sui servizi reali dell’ente;
• verifica delle informative, a partire da videosorveglianza, servizi online e polizia locale;
• controllo delle nomine dei fornitori, soprattutto dei gestionali in cloud;
• formazione del personale, anche sugli strumenti di intelligenza artificiale;
• procedura per le violazioni dei dati e registro delle violazioni;
• pareri sui nuovi progetti prima che le scelte siano fatte, e una relazione finale al vertice.

Domande frequenti

Approfondimenti: DPO per Comuni e Unioni · Unioni di Comuni · DPO per la PA · requisiti del DPO.