La domanda

Chi è il DPO e una piccola o media azienda è obbligata ad averlo?

La risposta

Il DPO (Data Protection Officer, o Responsabile della Protezione dei Dati) è la figura indipendente introdotta dal GDPR che sorveglia la conformità aziendale alla normativa sulla privacy.

Per le PMI (Piccole e Medie Imprese) l’obbligo di nominarlo non è generalizzato, ma scatta solo in specifici casi, in particolare se:

  • L’attività principale dell’azienda consiste in trattamenti che richiedono il monitoraggio regolare e sistematico degli interessati su larga scala.
  • L’azienda tratta dati particolari (es. sanitari, giudiziari, biometrici) sempre su larga scala.

Se l’azienda non rientra in questi casi (come accade per la maggior parte delle piccole realtà commerciali o artigianali), il DPO non è obbligatorio, sebbene resti sempre raccomandabile adottare adeguate misure di sicurezza e privacy.

Riferimenti e valutazione della redazione

Ecco i riferimenti normativi e le fonti ufficiali di riferimento:

Riferimenti Normativi e Fonti

  • Regolamento UE 2016/679 (GDPR):
    • Articolo 37 (Designazione del responsabile della protezione dei dati): Definisce analiticamente i casi in cui la nomina del DPO è obbligatoria per il settore privato e pubblico, individuando i criteri del monitoraggio regolare e sistematico e del trattamento su larga scala di categorie particolari di dati.
    • Articolo 38 (Posizione del responsabile della protezione dei dati) e Articolo 39 (Compiti del responsabile della protezione dei dati): Specificano il ruolo, l’indipendenza e le funzioni operative del DPO all’interno dell’organizzazione.
  • Normativa Italiana di adeguamento:
    • Decreto Legislativo n. 196/2003 (Codice in materia di protezione dei dati personali), come modificato e coordinato dal D.Lgs. n. 101/2018 per l’armonizzazione con il GDPR.
  • Linee guida istituzionali:
    • Linee guida sui responsabili della protezione dei dati (DPO) adottate dal Gruppo di Lavoro Articolo 29 (WP29), poi fatte proprie dal Comitato Europeo per la Protezione dei Dati (EDPB), utili per interpretare correttamente concetti chiave come “larga scala” e “monitoraggio regolare e sistematico”.
    • Garante per la Protezione dei Dati Personali: Chiarimenti ufficiali, pareri e modulistica messi a disposizione sul portale istituzionale italiano (garanteprivacy.it).