È obbligatorio per gli enti pubblici e per chi tratta dati particolari o effettua monitoraggio sistematico su larga scala. Molte PMI non hanno l’obbligo, e nominarne uno volontariamente comporta comunque gli obblighi che ne derivano: va deciso con cognizione, non per sicurezza.
Il requisito che viene ignorato più spesso è l’indipendenza. Il DPO non può controllare decisioni che ha preso lui stesso: nominare il responsabile IT o chi gestisce i sistemi crea un conflitto che il Garante ha già sanzionato in più occasioni.
Chi è obbligato a nominarlo
I casi sono tre e sono più stretti di come vengono spesso presentati. È obbligatorio per gli **enti pubblici**; per chi svolge come attività principale un **monitoraggio regolare e sistematico su larga scala**; e per chi tratta su larga scala **categorie particolari di dati** — salute, convinzioni, dati giudiziari.
La maggior parte delle PMI non rientra in nessuno dei tre. Questo non significa che non serva competenza sulla protezione dei dati: significa che non serve quella figura formale, con i requisiti di indipendenza e i compiti che la norma le assegna.
Nominarne uno senza esserne obbligati è possibile, ma comporta l’applicazione integrale delle regole previste — inclusa l’indipendenza e l’assenza di conflitto di interessi. È il motivo per cui non conviene farlo per prudenza: chi si nomina responsabile della protezione dei dati non può essere la stessa persona che decide come i dati vengono trattati.
Perché conta per un’azienda
Quando serve, la scelta della persona conta più della nomina in sé: un DPO che non ha accesso alla direzione e non viene coinvolto nelle decisioni è una casella riempita.
L’errore che vediamo più spesso
Il fornitore informatico non può essere il vostro DPO se gestisce anche i sistemi: sarebbe controllore di se stesso. È l’errore più comune fra le organizzazioni che nominano d’ufficio.