Quando serve il responsabile della protezione dei dati

Stabilire quando serve il responsabile della protezione dei dati non è un esercizio sulle dimensioni dell'impresa. Il titolare e il responsabile del trattamento verificano quattro percorsi: i tre casi espressi dell'articolo 37 e l'eventuale obbligo aggiuntivo previsto dal diritto dell'Unione o nazionale ¹.

Un sì chiude la domanda sulla necessità, non quella sull'attuazione. Richiede una funzione indipendente e realmente operativa. Un no, invece, deve lasciare una valutazione datata: fatti, fonti controllate, responsabile della decisione e cambiamenti che imporrebbero un nuovo esame.

Risposta rapida Per sapere quando serve il responsabile della protezione dei dati, verifica l'ente pubblico, il monitoraggio regolare e sistematico su larga scala, i dati degli articoli 9 o 10 trattati su larga scala e la legge applicabile. Un sì richiede la nomina; un no richiede una valutazione datata e riesaminabile.

Ultimo aggiornamento: 26 agosto 2026

Quattro verifiche, non una soglia dimensionale

L'unità di analisi è la singola entità giuridica, considerata nel ruolo di titolare o responsabile per le operazioni effettive. Un gruppo non può usare la dimensione complessiva per evitare l'esame delle singole società, né frammentare artificialmente attività che nella realtà sostengono una funzione principale. La scheda iniziale descrive finalità, persone, dati, operazioni, frequenza, durata, area geografica e ruolo assunto.

La prima domanda riguarda la natura pubblica dell'entità. La seconda chiede se le attività principali richiedano un monitoraggio regolare e sistematico di persone su larga scala. La terza riguarda il trattamento, ancora come attività principale e su larga scala, delle categorie particolari di dati o dei dati relativi a condanne penali e reati. La quarta apre il diritto dell'Unione o dello Stato membro applicabile, che può prevedere casi ulteriori ¹.

Il flusso mostra l'ordine pratico. Il sì su qualunque percorso porta alla designazione; non autorizza a saltare competenze, indipendenza, risorse e compiti. Se tutti i percorsi danno no, l'organizzazione registra il ragionamento e nomina comunque una persona responsabile del coordinamento privacy, senza presentarla come DPO.

La decisione deve appartenere a una persona o funzione identificata. Il legale può interpretare la norma, la sicurezza descrivere i sistemi e le risorse umane spiegare l'organizzazione, ma qualcuno deve approvare la conclusione sulla base di una versione definita dei fatti. Il registro decisionale dovrebbe collegare ogni affermazione a un documento, a un proprietario dell'informazione e a una data.

La guida britannica sulla necessità di un DPO^EN(articolo in inglese) è una presentazione separata per il contesto UK. Non va usata per importare nel test europeo definizioni, soglie o istituzioni nazionali britanniche.

I tre casi dell'articolo 37

Il primo caso copre il trattamento svolto da un'autorità o da un organismo pubblico, con l'eccezione delle autorità giurisdizionali quando esercitano le proprie funzioni giudiziarie. L'eccezione è legata a quella capacità specifica: non trasforma ogni altro trattamento di un organo giudiziario in un'area automaticamente esclusa. Prima di concludere, occorre delimitare l'entità, la funzione e il trattamento in esame ¹.

Il secondo caso richiede tre elementi congiunti. Il monitoraggio deve essere regolare, sistematico e su larga scala; inoltre deve essere richiesto dalle attività principali del titolare o del responsabile. Un'attività occasionale di controllo tecnico non diventa automaticamente attività principale, mentre osservazione continuativa, tracciamento o profilazione organizzati possono soddisfare il test quando sostengono la finalità essenziale dell'organizzazione.

Il terzo caso combina ancora attività principale e larga scala, ma riguarda categorie particolari ai sensi dell'articolo 9 oppure dati personali relativi a condanne penali e reati ai sensi dell'articolo 10 ¹. La presenza di un singolo dato sensibile non chiude la questione; allo stesso modo, un grande archivio di dati ordinari non soddisfa questo specifico percorso. Vanno provati insieme natura dei dati, ruolo dell'attività e scala.

Non esiste una scorciatoia numerica comune ai tre casi. Numero di dipendenti, fatturato, quantità di clienti o volume dell'archivio possono contribuire alla descrizione, ma nessuno di questi valori sostituisce gli elementi legali. Una valutazione affidabile spiega perché un fatto è pertinente al percorso e quale parte del test conferma o esclude.

Conviene inoltre registrare le assunzioni usate per delimitare l'attività. Se il gruppo non conosce ancora la durata del monitoraggio, la popolazione effettiva o le categorie complete di dati, il campo resta una questione aperta con proprietario e scadenza. Trattare un'incertezza come assenza renderebbe il no più netto dei fatti disponibili.

Il titolare e il responsabile applicano il test separatamente. Un fornitore può essere responsabile per operazioni che, nella propria organizzazione, costituiscono attività principali di monitoraggio su larga scala; non eredita semplicemente il risultato del cliente. Al contrario, una designazione del cliente non prova che ogni responsabile debba nominare a sua volta un DPO.

La natura pubblica dipende dal diritto applicabile

Il GDPR non offre una definizione autonoma e completa di “autorità o organismo pubblico” per questo articolo. La qualificazione dipende quindi dal diritto dell'Unione e dal diritto nazionale applicabile, dalle funzioni esercitate e dalla forma concreta dell'entità. Una denominazione commerciale, la partecipazione pubblica o il finanziamento pubblico possono essere fatti rilevanti, ma non sono da soli una conclusione.

Il fascicolo dovrebbe identificare la norma o l'atto utilizzato, la versione vigente e la data del controllo. Dovrebbe inoltre spiegare come quella fonte si applica all'entità giuridica esaminata. Registrare soltanto “non siamo un ente pubblico” non consente a un revisore di ricostruire il ragionamento, soprattutto quando l'organizzazione svolge servizi di interesse generale o presenta una struttura ibrida.

L'eccezione per i giudici va trattata con la stessa precisione. Il testo esclude i tribunali quando agiscono nell'esercizio della funzione giurisdizionale ¹. La capacità in cui viene svolto il trattamento conta più del nome dell'organizzazione; attività amministrative o di datore di lavoro possono richiedere una valutazione distinta, senza che questo articolo fornisca da solo la risposta finale.

Una guida destinata a più Stati non dovrebbe scegliere una definizione nazionale e presentarla come europea. Il metodo trasferibile consiste nell'individuare la giurisdizione, consultare una fonte ufficiale e far approvare l'interpretazione dalla funzione competente. Se l'esito resta realmente incerto, quella incertezza non equivale a un no: va assegnata, risolta e conservata nel registro.

Attività principale, scala e monitoraggio

Un'attività principale non coincide necessariamente con il servizio che compare in fattura. Comprende le operazioni essenziali per raggiungere gli obiettivi del titolare o del responsabile. Anche un trattamento che abilita direttamente il servizio centrale può essere principale; le ordinarie funzioni accessorie, come pagamenti del personale o supporto informatico standard, sono invece generalmente ancillari, salvo che i fatti mostrino un ruolo diverso ⁴.

Per la larga scala, le linee guida WP243 richiedono una valutazione multifattoriale: numero di persone coinvolte e loro proporzione rispetto alla popolazione pertinente, volume e varietà dei dati, durata o permanenza dell'attività ed estensione geografica. Nessun fattore produce una soglia universale. La decisione descrive la combinazione e il contesto, così che un aumento futuro possa essere confrontato con la base approvata.

“Regolare” e “sistematico” descrivono la struttura del monitoraggio. Ricorrenza o ripetizione, continuità o periodicità e inserimento in un programma organizzato sono segnali utili; pianificazione, strategia, metodo e raccolta nell'ambito di un sistema indicano sistematicità ⁴. L'osservazione può avvenire online o offline: il criterio riguarda il comportamento effettivamente seguito, non l'etichetta della tecnologia.

Una scheda di analisi può separare quattro colonne: fatto osservato, fonte interna, fattore giuridico e conseguenza. “Centomila record” resta un dato senza significato finché non si chiariscono persone, varietà, durata e area. “Controllo continuo” resta ambiguo finché non si descrivono finalità, frequenza, logica e rapporto con l'attività principale.

Il confine va mantenuto coerente. Dividere un servizio continuativo in brevi finestre o un archivio integrato in sottosistemi non cambia necessariamente la realtà. Al tempo stesso, sommare trattamenti separati senza una ragione funzionale può gonfiare artificialmente la scala. La valutazione spiega perché le operazioni considerate formano, o non formano, un insieme significativo.

Anche la proporzione può contare diversamente dal numero assoluto. Un trattamento circoscritto a una comunità professionale piccola può coinvolgerne una quota molto ampia, mentre lo stesso numero in una popolazione generale descrive un impatto differente. Durata, profondità dei dati e possibilità concreta di sottrarsi completano la lettura, senza creare un nuovo criterio estraneo all'articolo.

Il diritto nazionale è un percorso autonomo

L'articolo 37 consente al diritto dell'Unione o dello Stato membro di richiedere una designazione anche in casi diversi dai tre percorsi principali ¹. Questa verifica non è una nota marginale dopo la conclusione: è il quarto ramo del test. Un no sui casi del paragrafo 1 non è completo finché la fonte applicabile non è stata controllata.

La scheda dovrebbe registrare almeno giurisdizione, titolo della fonte ufficiale, URL o riferimento di versione, data di consultazione, disposizione pertinente e persona che ne ha verificato l'applicazione. Se una norma cambia, il record permette di capire quale conclusione si basava sulla versione precedente. Una nota generica come “legge locale controllata” non offre la stessa tracciabilità.

Non si può trasformare una soglia o una categoria prevista in uno Stato membro in una regola valida in tutta l'Unione. Anche quando due ordinamenti utilizzano parole simili, ambito, definizioni ed eccezioni possono divergere. Questo articolo offre quindi un metodo di verifica e non elenca esempi nazionali destinati a invecchiare o a essere applicati nella giurisdizione sbagliata.

La decisione può restare aperta per un tempo breve soltanto se ha un proprietario, una scadenza e una conseguenza prudente. Avviare il trattamento assumendo che il silenzio della ricerca equivalga all'assenza di obbligo rovescia il test. Quando la legge applicabile è incerta, la registrazione deve mostrare quale domanda è stata affidata alla funzione competente e quali attività restano sospese o limitate.

La nomina volontaria resta una nomina DPO

Un'organizzazione può scegliere di designare un responsabile della protezione dei dati anche quando nessun obbligo è stato individuato. Può farlo per rafforzare la supervisione, facilitare il contatto con l'autorità o sostenere una struttura di gruppo. La scelta attiva però l'intero regime degli articoli 37, 38 e 39; non permette di utilizzare il titolo senza posizione, risorse e compiti corrispondenti ¹.

L'alternativa onesta è nominare una funzione con un titolo diverso, per esempio responsabile privacy o coordinatore della conformità, e definire con chiarezza mandato e linea di riporto. Questa persona può organizzare il lavoro senza essere presentata agli interessati, al personale o all'autorità come DPO. La distinzione evita aspettative false sull'indipendenza e sulle garanzie del ruolo protetto.

Il DPO può essere membro del personale oppure operare sulla base di un contratto di servizi. Un gruppo di imprese può designarne uno comune se è facilmente accessibile da ogni stabilimento ¹. Il modello condiviso deve considerare lingue, sedi, fusi orari, quantità e complessità dei trattamenti, canali di contatto e supporto locale; un nome comune privo di capacità non soddisfa la sostanza.

Anche un incarico esterno richiede autonomia rispetto alle decisioni che dovrà controllare. Il contratto dovrebbe proteggere accesso, disponibilità, continuità, riservatezza e gestione dei conflitti, senza trasformare il DPO in approvatore operativo di trattamenti che poi deve monitorare. La responsabilità del titolare o del responsabile non viene trasferita al consulente.

Se la risposta è sì, il ruolo deve funzionare

L'atto di designazione è solo l'inizio. Il DPO deve essere scelto per qualità professionali, conoscenza specialistica del diritto e delle prassi in materia di protezione dei dati e capacità di svolgere i compiti dell'articolo 39 ¹. Il livello di competenza necessario dipende dalla sensibilità, complessità, scala e internazionalità dei trattamenti, non da un titolo standard acquisito una volta.

Il DPO deve essere coinvolto adeguatamente e tempestivamente in tutte le questioni riguardanti la protezione dei dati. Titolare e responsabile devono fornire risorse, accesso ai dati e alle operazioni e mezzi per mantenere la competenza ². Un flusso che arriva al DPO dopo una decisione irreversibile produce un parere tardivo, non un coinvolgimento reale.

L'indipendenza riguarda l'esercizio dei compiti: niente istruzioni sul risultato, licenziamento o penalizzazione per il loro svolgimento, e riporto diretto al più alto livello gerarchico. Altri incarichi sono possibili solo se non creano conflitti di interessi; chi determina finalità e mezzi di un trattamento difficilmente può controllare con indipendenza la stessa decisione ².

I compiti minimi comprendono informazione e consulenza, sorveglianza dell'osservanza, attribuzione delle responsabilità, sensibilizzazione, formazione e audit. Il DPO fornisce pareri sulla DPIA e ne sorveglia lo svolgimento, coopera con l'autorità di controllo e funge da punto di contatto, tenendo conto del rischio associato alla natura, all'ambito, al contesto e alle finalità delle operazioni ³.

L'organizzazione pubblica i dati di contatto e li comunica all'autorità. Non è necessario rendere pubblico il nome se un canale funzionale garantisce il contatto, ma internamente devono essere chiari identità, sostituzione e responsabilità. Il canale va provato: una casella non monitorata o una pagina obsoleta rendono formale ciò che dovrebbe essere accessibile.

La direzione dovrebbe riesaminare periodicamente capacità e conflitti sulla base del lavoro effettivo. Il numero di entità coperte, i progetti ricevuti, i tempi di risposta, le questioni rimaste senza accesso e le raccomandazioni non seguite mostrano se il mandato è sostenibile. Il controllo non giudica il DPO per le conclusioni espresse: verifica se l'organizzazione gli consente di svolgere il ruolo.

Se la risposta è no, resta una prova datata

Un esito negativo non è un parere astratto da archiviare. Descrive l'entità esaminata, i ruoli assunti, le attività principali, la scala, i dati, le modalità di monitoraggio e il diritto applicabile. La conclusione nasce da questi fatti e resta valida soltanto finché essi non cambiano in modo rilevante.

La scheda deve distinguere fatti, interpretazioni e decisione. I fatti hanno proprietari e fonti; le interpretazioni indicano chi le ha formulate; la decisione finale ha un approvatore. Questa separazione permette di aggiornare un dato senza riscrivere silenziosamente la motivazione e mostra se una nuova conclusione deriva davvero dal cambiamento.

I trigger dovrebbero essere legati agli eventi: acquisizione di una nuova entità, avvio di monitoraggio continuativo, ampliamento geografico, nuove categorie di dati, crescita marcata della scala, trasformazione di un'attività accessoria in essenziale o modifica della legge applicabile. Un controllo periodico proporzionato può intercettare variazioni sfuggite, ma non deve rinviare un riesame già richiesto dai fatti.

Una funzione privacy senza il titolo DPO mantiene coordinamento e responsabilità operativa. Il mandato dovrebbe dire cosa può decidere, cosa deve portare alla direzione e come raccoglie le evidenze. Non le si attribuiscono per errore le garanzie dell'articolo 38 né si comunicano i suoi contatti all'autorità come se fosse il responsabile della protezione dei dati.

La valutazione negativa non riduce gli altri obblighi del GDPR. Governance, sicurezza, diritti, trasparenza, contratti, registri e DPIA restano applicabili secondo i rispettivi presupposti. Il record DPO risponde soltanto alla domanda sulla designazione e non costituisce una certificazione generale di conformità.

Una breve nota di approvazione dovrebbe riassumere la conclusione senza cancellarne il percorso. Indica quali quattro verifiche sono state completate, chi ha risolto le questioni nazionali e dove si trovano le evidenze. In questo modo la direzione vede il risultato, mentre chi effettua un riesame può ancora risalire ai fatti anziché affidarsi a una formula.

Cinque situazioni per provare il ragionamento

Queste situazioni servono a provare la struttura del test, non a creare porti sicuri. Prima di riutilizzarle, l'organizzazione sostituisce ogni fatto illustrativo con evidenze proprie e verifica il diritto applicabile. Una differenza nella finalità, nella scala o nel ruolo può cambiare il percorso.

Nel caso dell'organismo pubblico, la prova decisiva non è il numero di lavoratori. È la qualificazione dell'entità secondo la fonte applicabile e la funzione in cui opera. Il fascicolo deve conservare quella fonte e non limitarsi a copiare la conclusione dell'esempio.

Nel monitoraggio su larga scala, l'analisi collega regolarità, sistematicità, attività principale e fattori di scala. Un'applicazione con molti utenti non soddisfa automaticamente il caso se non monitora persone; un servizio più circoscritto può invece risultare rilevante quando osservazione, durata e profondità sono sostanziali.

Per i dati di particolare tutela, vanno evitati due automatismi. La sola presenza di dati sanitari non prova la larga scala, mentre la sola grande quantità non prova che il trattamento rientri negli articoli 9 o 10. La decisione positiva mostra tutti gli elementi richiesti nello stesso perimetro.

Un vero no non è una categoria commerciale, ma una conclusione su fatti definiti. Il lettore conserva ragioni per ciascun ramo, identifica e data la fonte ufficiale nazionale applicabile e assegna un proprietario al riesame. Se una questione nazionale è irrisolta, il risultato resta aperto: l'assenza di una risposta immediata non diventa prova dell'assenza dell'obbligo.

Domande frequenti

Le risposte sintetizzano il metodo. La decisione reale le integra con i fatti dell'entità, del trattamento e della giurisdizione applicabile.

Quando serve il responsabile della protezione dei dati ai sensi del GDPR?

La nomina è obbligatoria se il trattamento è svolto da un'autorità o organismo pubblico, salvo l'eccezione giudiziaria, oppure se le attività principali comportano monitoraggio regolare e sistematico su larga scala o trattamento su larga scala di dati degli articoli 9 o 10 ¹. Va poi verificato il diritto dell'Unione o nazionale applicabile.

Il numero di dipendenti determina l'obbligo di nominare un DPO?

No. L'articolo 37 non stabilisce una soglia di dipendenti o fatturato. La dimensione può contribuire ai fatti sulla scala, ma non sostituisce la verifica dei quattro percorsi. Un'organizzazione piccola può rientrare in un caso obbligatorio; una più grande non può concludere sì o no senza analizzare attività, dati, monitoraggio e legge applicabile.

Come si valuta se un trattamento è su larga scala?

Si considerano insieme numero e proporzione delle persone, volume e varietà dei dati, durata o permanenza ed estensione geografica ⁴. La motivazione deve descrivere la combinazione nel contesto specifico. Non esiste un valore unico capace di decidere ogni settore, quindi la scheda conserva i numeri disponibili e spiega perché sono rilevanti.

Il DPO può essere esterno o condiviso?

Sì. Può essere un dipendente o operare con un contratto di servizi; un gruppo può nominarne uno comune se resta facilmente accessibile da ogni stabilimento ¹. In ogni modello servono competenza, tempo, risorse, indipendenza, assenza di conflitti e canali realmente utilizzabili. La condivisione non giustifica un carico incompatibile con i compiti.

Che cosa comporta una nomina volontaria del DPO?

La designazione volontaria comporta l'applicazione completa degli articoli 37–39. L'organizzazione deve garantire posizione, protezioni, risorse, coinvolgimento e compiti del DPO. Se vuole soltanto assegnare il coordinamento privacy, dovrebbe usare un titolo diverso e dichiarare il mandato effettivo, evitando che personale, interessati o autorità attribuiscano alla funzione garanzie che non possiede.

La legge nazionale può ampliare l'obbligo di nomina?

Sì. La valutazione registra la giurisdizione, la fonte ufficiale vigente, la disposizione e la data del controllo. Una regola nazionale non diventa però una soglia valida per tutta l'Unione. Se la portata della norma resta incerta, la questione va affidata alla funzione competente e la decisione non deve essere chiusa artificialmente come negativa.