Question 1

Il nostro DPO esterno ha rescisso il contratto con un mese di preavviso. Abbiamo già clienti che nei contratti ci chiedono i dati del DPO. Quanto tempo abbiamo legalmente per trovare un sostituto prima di essere fuori legge?

— Roberto

Accepted Answer

Comunicate immediatamente la variazione al Garante tramite la procedura telematica ufficiale non appena individuato il sostituto. Nel periodo transitorio, delegate provvisoriamente le attività urgenti non differibili (come risposte a richieste degli interessati entro 30 giorni) a un consulente legale esperto o funzione interna competente, senza comunicare formalmente questa delega temporanea al Garante. Informate i clienti della transizione specificando che state procedendo alla selezione urgente del nuovo DPO. Accelerate la ricerca di un DPO qualificato con esperienza specialistica e indipendenza, poiché la mancata designazione espone a sanzioni fino a 20 milioni di euro o 4% del fatturato globale. L'accountability impone di minimizzare il periodo senza DPO formale per evitare violazioni GDPR.

Question 2

Il nostro responsabile privacy si è licenziato e non so se devo comunicarlo al Garante o ai clienti. Abbiamo contratti con PA e grandi aziende che richiedono esplicitamente la figura del DPO. Rischio sanzioni se non comunico subito?

— Stefania

Accepted Answer

Devi immediatamente nominare un nuovo DPO e comunicarne i dati al Garante Privacy attraverso la procedura telematica online, che sostituisce automaticamente la comunicazione precedente senza necessità di revoca separata. Il rischio principale di sanzioni GDPR deriva dal rimanere senza DPO formalmente designato, violando l'articolo 37. Internamente, revoca deleghe e accessi all'ex DPO e aggiorna le funzioni aziendali coinvolte. Sebbene non sia obbligatorio per legge, verifica i tuoi contratti con PA e grandi aziende per eventuali obblighi specifici di comunicazione tempestiva del cambio DPO, poiché potrebbero prevedere penali contrattuali. La mancata designazione può comportare sanzioni fino a 20 milioni di euro o il 4% del fatturato globale annuo.

Question 3

Avevamo un DPO interno che ora è andato via. Stiamo valutando di esternalizzare il servizio ma non ho idea dei costi. Parliamo di migliaia di euro l'anno? Ci sono costi nascosti oltre al compenso professionale?

— Marco

Accepted Answer

Dopo le dimissioni del DPO interno, devi comunicare immediatamente al Garante Privacy tramite PEC la cessazione e nominare un sostituto senza ritardi ingiustificati per evitare sanzioni fino a 10 milioni di euro. Nel frattempo, designa un responsabile provvisorio qualificato e aggiorna entro 72 ore sito web e privacy policy con i nuovi contatti. Per l'esternalizzazione, i costi variano da 6.000-9.600 euro annui per PMI a basso rischio fino a 14.400-24.000 euro per settori complessi come sanità o finanza, includendo consulenza, audit, formazione e gestione breach. Eventuali costi aggiuntivi riguardano software privacy (139-1.199 euro annui) o interventi straordinari, ma risparmi il 70-80% rispetto a un DPO interno che costa oltre 50.000 euro annui considerando stipendio, contributi e formazione.

Question 4

Il DPO che se ne va ha tutta la documentazione privacy: registro trattamenti, valutazioni rischio, nomine responsabili. Posso obbligarlo a consegnarmi tutto? Serve un verbale di passaggio di consegne formale o basta una mail?

— Claudia

Accepted Answer

Devi immediatamente nominare un DPO sostitutivo e comunicare i suoi dati al Garante Privacy per evitare la vacatio, sanzionabile ai sensi dell'art. 83 GDPR. Hai diritto ed obbligo di richiedere al DPO dimissionario la restituzione completa della documentazione privacy, poiché tali materiali sono proprietà del titolare del trattamento e non del DPO. Non è sufficiente una semplice mail: prepara un verbale di passaggio di consegne formale e protocollato che elenchi precisamente tutti i documenti consegnati, garantendo così tracciabilità e compliance. Contestualmente revoca ogni delega o procura attribuita al DPO cessato e aggiorna l'elenco dei soggetti autorizzati al trattamento dati.

Question 5

Siamo una società di servizi IT con clienti bancari. Il nostro DPO si è dimesso e trovare un sostituto qualificato sta richiedendo più tempo del previsto. Se passano tre o quattro mesi senza DPO, rischio che i clienti rescindano i contratti o che arrivi un'ispezione?

— Alessandro

Accepted Answer

Se il vostro DPO si dimette, dovete agire immediatamente comunicando la revoca al Garante Privacy tramite la procedura telematica e accelerando la nomina di un sostituto qualificato, poiché per una società IT con clienti bancari la designazione è obbligatoria per legge. Un periodo di tre o quattro mesi senza DPO formalmente nominato costituisce una grave violazione del GDPR che espone a sanzioni fino al 4% del fatturato globale e rappresenta un rischio concreto di ispezioni da parte del Garante. I vostri clienti bancari potrebbero invocare inadempimento contrattuale e rescindere i contratti, considerando che il DPO è un requisito essenziale per i trattamenti ad alto rischio. Nel frattempo, potete delegare temporaneamente funzioni non differibili alla funzione legale come misura provvisoria, ma questa soluzione va limitata allo stretto necessario. Consultate urgentemente un legale specializzato per gestire la transizione e tutelare i rapporti contrattuali con i clienti.

Question 6

Dopo le dimissioni del consulente esterno, vorrei nominare la nostra responsabile IT come DPO per risparmiare. Lei è disponibile ma non ha certificazioni specifiche. È possibile o servono requisiti formali? Rischio sanzioni se nomino qualcuno non qualificato?

— Davide

Accepted Answer

Dopo le dimissioni del DPO dovete nominare immediatamente un sostituto qualificato per evitare violazioni del GDPR. La responsabile IT può essere nominata solo se possiede competenze dimostrabili in diritto della protezione dati e pratiche privacy, proporzionate alla complessità dei vostri trattamenti: non servono certificazioni formali, ma l'expertise tecnica IT da sola non è sufficiente senza conoscenze legali specifiche sul GDPR. Nominare un DPO non qualificato comporta rischio di sanzioni fino a 10 milioni di euro o 2% del fatturato globale annuo, poiché il titolare resta responsabile della compliance. Dovete pubblicare immediatamente i contatti del nuovo DPO sul sito e comunicarli al Garante Privacy, documentando accuratamente la valutazione delle competenze possedute. Se la responsabile IT non ha esperienza dimostrabile in normativa privacy, è preferibile un consulente esterno temporaneo o investire in formazione certificata prima della nomina.

Question 7

Il nostro Data Protection Officer ha dato dimissioni immediate per motivi personali. Non c'è stato tempo di organizzare nulla. Può farlo legalmente o doveva darci un preavviso? Abbiamo un contratto di consulenza ma non specifica nulla su questo punto.

— Francesca

Accepted Answer

Se il contratto non specifica nulla sul recesso, il DPO può dimettersi immediatamente solo per giusta causa ai sensi dell'art. 626 c.c., mentre il recesso ordinario richiederebbe un preavviso secondo le norme generali del Codice Civile. Per evitare violazioni GDPR, dovete immediatamente nominare un DPO ad interim (interno o esterno) escludendo conflitti di interesse, notificare la cessazione e la nuova nomina al Garante Privacy tramite il modulo sul sito garanteprivacy.it, e documentare tutte le azioni intraprese per dimostrare la vostra diligenza. Garantite la continuità delle funzioni essenziali come la gestione delle richieste degli interessati e aggiornate registro trattamenti e documentazione privacy. Per il futuro, integrate nel contratto clausole chiare su preavviso e procedure di sostituzione.

Question 8

Siamo rimasti senza DPO da due mesi e ieri è arrivata una richiesta di informazioni dal Garante Privacy dopo un reclamo di un cliente. Come posso giustificare l'assenza temporanea? Rischio una sanzione immediata o posso dimostrare che stiamo cercando un sostituto?

— Giuseppe

Accepted Answer

L'assenza prolungata di DPO per due mesi vi espone a sanzioni amministrative fino a 10 milioni di euro o al 2% del fatturato annuo globale secondo l'articolo 37 GDPR, soprattutto se la nomina era obbligatoria per la vostra organizzazione. Dovete immediatamente nominare un DPO provvisorio o accelerare la ricerca documentando tutto il processo, comunicare telematicamente al Garante la dimissione del precedente DPO allegando prove della ricerca in corso, e nella risposta al reclamo specificare che l'assenza è temporanea mostrando le misure compensative adottate come referenti interni, audit e formazione del personale. Non esiste una sanzione automatica immediata ma il Garante valuterà la vostra compliance complessiva verificando se dimostrate accountability attraverso un processo attivo e documentato di sostituzione. Consultate urgentemente un legale specializzato per redigere la risposta formale e verificare l'effettiva obbligatorietà della nomina nella vostra specifica situazione.