Cosa chiede esattamente il GDPR
L'art. 37, par. 5 è breve: il DPO è designato «in funzione delle qualità professionali, in particolare della conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati, e della capacità di assolvere i compiti di cui all'articolo 39».
Il considerando 97 aggiunge il criterio di proporzionalità: il livello necessario di conoscenza specialistica va determinato in base ai trattamenti effettuati e alla protezione richiesta dai dati. Un DPO per un piccolo comune e uno per un istituto di ricerca clinica non hanno bisogno dello stesso bagaglio.
L'art. 37, par. 6 chiarisce infine che il DPO «può essere un dipendente del titolare o del responsabile del trattamento oppure assolvere i suoi compiti in base a un contratto di servizi». I requisiti sono identici nei due casi.
Non esiste un albo dei DPO
Nessuna norma europea o italiana istituisce un ordine professionale, un elenco abilitante o un esame di Stato per i DPO. Chiunque possieda le qualità professionali richieste può essere designato.
Questo ha due conseguenze pratiche di segno opposto. Da un lato non ci sono barriere formali all'ingresso, e infatti il mercato è affollato. Dall'altro, proprio per questo, la verifica delle competenze ricade interamente sull'organizzazione che nomina: se il DPO designato si rivela inadeguato, la responsabilità della scelta resta al titolare.
Cosa valgono le certificazioni
Le certificazioni delle persone fisiche sono volontarie. In Italia la norma tecnica di riferimento è la UNI 11697:2017, che definisce i profili professionali relativi al trattamento e alla protezione dei dati, tra cui quello del DPO. Le certificazioni rilasciate da organismi accreditati secondo la ISO/IEC 17024 attestano il superamento di un esame rispetto a quello schema.
Da tenere presente
Una certificazione non abilita, documenta
Art. 42 e 43 GDPR — certificazione di trattamenti, non di persone
Il Garante ha ripetutamente chiarito che le certificazioni professionali non equivalgono a un'abilitazione né sono richieste dal Regolamento. Sono però un elemento oggettivo di valutazione, utile soprattutto per gli enti pubblici che devono motivare la scelta in sede di affidamento.
Come leggerle
- Verifica che l'organismo che certifica sia accreditato, non autoreferenziale
- Una certificazione senza esperienza applicata su casi reali dice poco
- L'assenza di certificazione non squalifica un candidato con esperienza documentata
Le competenze che servono davvero
Al di là dei titoli, il ruolo richiede quattro aree che raramente coesistono nella stessa persona con la stessa profondità.
- Giuridica: GDPR, Codice privacy, provvedimenti e linee guida del Garante, orientamenti dell'EDPB. Oggi si aggiunge il Regolamento (UE) 2024/1689 sull'intelligenza artificiale, che si intreccia con il GDPR su basi giuridiche, decisioni automatizzate e valutazioni d'impatto.
- Tecnica: misure di sicurezza, cifratura, gestione degli accessi, log, backup. Non serve saper configurare un firewall, serve saper valutare se le misure dichiarate sono adeguate al rischio.
- Organizzativa: mappare processi, individuare responsabilità, costruire procedure che le persone applichino davvero.
- Di settore: la sanità, la scuola, gli enti locali e le software house hanno trattamenti, prassi e criticità diverse. È l'area in cui l'esperienza pregressa pesa più di qualsiasi titolo.
Chi non può fare il DPO
È il requisito più sottovalutato, ed è quello che genera contestazioni. L'art. 38, par. 6 consente al DPO di svolgere altri compiti, ma impone al titolare di garantire che non diano adito a conflitto di interessi.
Il criterio, chiarito dalle linee guida sul DPO e confermato dalla prassi delle autorità, è che il DPO non può ricoprire ruoli che determinano finalità e mezzi del trattamento: si troverebbe a sorvegliare decisioni proprie.
| Ruolo | Compatibilità |
|---|
| Amministratore delegato, direttore generale | Incompatibile |
| Direttore risorse umane | Incompatibile |
| Responsabile IT o sistemi informativi | Incompatibile |
| Responsabile marketing | Incompatibile |
| Responsabile sanitario, in strutture di cura | Incompatibile |
| Professionista esterno senza altri incarichi decisionali | Compatibile |
Il conflitto di interessi non è un rilievo teorico: l'autorità di controllo belga ha sanzionato con 50.000 euro un'organizzazione che aveva nominato DPO il responsabile di funzioni operative sui dati. È una delle ragioni per cui la nomina esterna elimina il problema alla radice.
Come verificare un candidato
Quattro domande che rendono la valutazione concreta, indipendentemente dai titoli esibiti:
- Su quali settori ha lavorato, e con quali trattamenti specifici?
- Ha gestito data breach reali e interlocuzioni con il Garante, o solo documentazione?
- Quali altri incarichi ricopre presso l'organizzazione o presso società collegate?
- Come si tiene aggiornato, e su cosa si è aggiornato negli ultimi sei mesi? È la domanda che separa chi segue la materia da chi ha fatto un corso una volta.
Domande frequenti
Serve una certificazione per fare il DPO?
No. Il GDPR non richiede alcuna certificazione obbligatoria e non esiste un albo dei DPO. Le certificazioni professionali, come quelle rilasciate secondo lo schema UNI 11697:2017 da organismi accreditati, sono volontarie: costituiscono un elemento oggettivo di valutazione, non un'abilitazione.
Quali requisiti chiede il GDPR per il DPO?
L'art. 37 par. 5 richiede conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati e capacità di assolvere i compiti dell'art. 39. Il considerando 97 precisa che il livello va commisurato ai trattamenti effettuati. Si aggiunge l'assenza di conflitto di interessi prevista dall'art. 38 par. 6.
Esiste un albo dei DPO in Italia?
No. Nessuna norma europea o italiana istituisce un ordine professionale, un elenco abilitante o un esame di Stato per i Data Protection Officer. La verifica delle competenze ricade sull'organizzazione che effettua la nomina.
Il responsabile IT può essere nominato DPO?
No. Il responsabile dei sistemi informativi determina i mezzi del trattamento e si troverebbe a sorvegliare le proprie decisioni. È uno dei casi di conflitto di interessi vietati dall'art. 38 par. 6, insieme a amministratore delegato, direttore risorse umane e responsabile marketing.
Il DPO deve essere un avvocato?
No, il Regolamento non richiede alcuna qualifica professionale specifica. Il ruolo richiede competenze giuridiche, ma anche tecniche, organizzative e di settore. Un profilo esclusivamente legale, senza comprensione delle misure di sicurezza e dei processi, copre solo una parte di ciò che serve.
I requisiti cambiano tra DPO interno ed esterno?
No. L'art. 37 par. 6 prevede espressamente che il DPO possa essere un dipendente oppure operare in base a un contratto di servizi, e i requisiti sono identici. Cambia il modo di garantire l'indipendenza: il professionista esterno non ha vincoli gerarchici, mentre per l'interno vanno predisposte tutele organizzative.
Approfondimenti: cosa fa il DPO · quanto costa un DPO esterno · come scegliere un DPO esterno · servizio DPO esterno.
A cura del Dott. Pietro Cravero, DPO certificato (IDcert, Master II livello in Trattamento dei Dati Personali — Università Roma Tre). Studio Cravero Consulting ricopre il ruolo di DPO esterno per aziende, studi professionali e pubbliche amministrazioni in tutta Italia. Chi sono.
Stai valutando chi nominare DPO?
Se preferisci confrontare un profilo esterno certificato, la prima call di valutazione è gratuita e senza impegno.
Studio Cravero Consulting