Question 1

Ho un'azienda manifatturiera con trenta dipendenti. Il mio responsabile IT è competente e si occupa anche di privacy come DPO, ma leggendo le linee guida mi è venuto il dubbio: il regolamento lo vieta chiaramente o è una zona grigia?

— Roberto

Accepted Answer

Il cumulo delle funzioni di Responsabile IT e DPO nella tua azienda costituisce un conflitto di interessi vietato dal GDPR. L'articolo 38, paragrafo 6, richiede che il DPO operi in piena indipendenza, mentre il Responsabile IT decide finalità e mezzi del trattamento dati (come infrastrutture, software e misure di sicurezza). Le Linee Guida dell'EDPB chiariscono espressamente che le funzioni IT sono incompatibili col ruolo di DPO, poiché la stessa persona non può decidere e contemporaneamente controllare le proprie scelte tecniche. Per un'azienda di trenta dipendenti, la soluzione più pratica è nominare un DPO esterno indipendente, garantendo così la conformità normativa e separando nettamente le responsabilità operative da quelle di controllo.

Question 2

Abbiamo nominato il nostro sistemista anche DPO perché conosce bene i nostri database. Però lui decide quali software installare e gestisce gli accessi. Questo basta a configurare un conflitto o dipende da cosa fa concretamente?

— Stefano

Accepted Answer

Sì, c'è conflitto di interessi. Il responsabile IT decide quali software installare e gestisce gli accessi, quindi determina le modalità del trattamento dati. Il DPO invece deve controllare proprio quelle scelte in modo indipendente. Quando la stessa persona ricopre entrambi i ruoli si verifica una situazione di autocontrollo incompatibile con il GDPR. Le linee guida europee citano espressamente il responsabile IT tra le figure incompatibili con l'incarico di DPO. La responsabilità della nomina scorretta ricade sul titolare del trattamento, che rischia sanzioni fino a 10 milioni di euro o il 2% del fatturato annuo mondiale.

Question 3

Temo di aver sbagliato: il mio DPO è anche chi gestisce server e backup. Se il Garante dovesse fare un'ispezione e rilevare l'incompatibilità, a quali sanzioni vado incontro? Si parte subito con le multe o posso correggere?

— Paolo

Accepted Answer

In Italia, nominare come DPO chi gestisce anche server e backup crea un chiaro conflitto di interessi vietato dall'articolo 38, paragrafo 6 del GDPR e dalle linee guida europee. Il responsabile IT determina i mezzi del trattamento e non può controllare in modo imparziale le proprie scelte tecniche. Se il Garante rileva questa incompatibilità durante un'ispezione, può emettere sanzioni fino a 10 milioni di euro o il 2% del fatturato mondiale annuo. Tuttavia, il Garante non parte subito con le multe se dimostri volontà di correggere tempestivamente la situazione: sostituisci immediatamente il DPO con una figura indipendente, documenta tutto con atti di nomina chiari e, se opportuno, comunica la correzione al Garante. Intervenire subito riduce significativamente il rischio sanzionatorio e dimostra impegno verso la compliance.

Question 4

Vorrei tenere la stessa persona ma creare una separazione: ad esempio affidargli la privacy come consulente esterno e l'IT come dipendente. Funzionerebbe o il Garante guarderebbe alla sostanza e non alla forma?

— Claudio

Accepted Answer

Sì, c'è conflitto di interessi perché il responsabile IT determina le finalità e i mezzi del trattamento dei dati, mentre il DPO deve verificarne la conformità. La separazione formale tra ruolo di consulente esterno per la privacy e dipendente per l'IT non risolve il problema, perché il Garante valuta la sostanza e non la forma: la stessa persona non può decidere le misure tecniche come IT e poi controllarne la legittimità come DPO. Le Linee Guida del WP29 e la giurisprudenza europea confermano che questa sovrapposizione genera un conflitto strutturale incompatibile con il GDPR, esponendo l'azienda a sanzioni. È necessario affidare il ruolo di DPO a una persona diversa e realmente indipendente dalle decisioni IT.

Question 5

Finora non ho avuto problemi. Ma ho paura che in caso di data breach o reclamo, il Garante scopra che DPO e IT sono la stessa persona e mi contesti l'irregolarità aggravando la mia posizione. È uno scenario realistico?

— Giulia

Accepted Answer

Sì, lo scenario è assolutamente realistico e rappresenta un rischio concreto per la tua azienda. La sovrapposizione tra il ruolo di DPO e Responsabile IT costituisce un conflitto di interessi strutturale vietato dal GDPR, poiché il DPO deve vigilare in modo indipendente sulle scelte tecniche che il responsabile IT implementa. In caso di data breach o reclamo, il Garante potrebbe rilevare questa irregolarità, annullare la nomina del DPO e aggravare significativamente le sanzioni applicabili, considerando la mancanza di controlli indipendenti come prova di insufficiente diligenza organizzativa. Le linee guida europee sono chiare nel definire incompatibile questa doppia funzione, e la tua posizione risulterebbe formalmente irregolare agli occhi dell'autorità. Ti consiglio di valutare urgentemente una riorganizzazione dei ruoli per evitare conseguenze legali e sanzionatorie rilevanti.

Question 6

Mi hanno detto che posso nominare la stessa persona se dimostro per iscritto che non c'è conflitto. Ma come si dimostra? Serve una policy interna, una delibera, un parere legale? E chi controlla che sia credibile?

— Massimo

Accepted Answer

La normativa europea GDPR e le interpretazioni della Corte di Giustizia considerano la funzione di responsabile IT generalmente incompatibile con il ruolo di DPO per conflitto di interessi strutturale. Chi gestisce i sistemi IT decide come proteggere i dati, mentre il DPO deve controllare che queste scelte siano conformi: la stessa persona non può vigilare criticamente sul proprio operato. Una semplice dichiarazione scritta non è sufficiente a sanare questo conflitto se permangono responsabilità decisionali concrete. L'unica eccezione è se il responsabile IT non ha alcun potere decisionale su finalità e mezzi del trattamento, ma questo va documentato con parere legale, delibera aziendale e verifica sostanziale dell'organizzazione, non solo formale.

Question 7

Ho deciso di correggere: nomino un DPO esterno e lascio l'IT al mio dipendente. Devo notificare il cambio al Garante entro una scadenza precisa o basta aggiornare il registro e il sito?

Accepted Answer

In Italia la nomina o variazione del DPO deve essere comunicata tempestivamente al Garante per la protezione dei dati personali tramite la procedura telematica dedicata sul portale ufficiale. Non esiste una scadenza fissa, ma vige l'obbligo di tempestività: appena nominato il nuovo DPO esterno, devi effettuare la comunicazione selezionando l'opzione "variazione" e inserendo i dati del nuovo responsabile. Il semplice aggiornamento del registro interno e del sito web non sostituisce questa comunicazione obbligatoria, e la mancata notifica al Garante è sanzionabile (sono state irrogate sanzioni anche di 8.000 euro per omessa comunicazione). Dopo aver completato la procedura online e ricevuto conferma, dovrai comunque pubblicare i contatti del nuovo DPO sul sito aziendale.

Question 8

Siamo solo dodici persone e trattiamo pochi dati sensibili. Pensavo che per le PMI ci fossero semplificazioni anche sul DPO. L'obbligo di evitare conflitti vale ugualmente o c'è una deroga per dimensione?

— Luca

Accepted Answer

Sì, esiste un conflitto di interessi strutturale e il GDPR non prevede deroghe per dimensione aziendale o quantità di dati trattati. Se hai nominato un DPO volontariamente, devi comunque rispettare tutti i requisiti di indipendenza previsti dall'articolo 38 del GDPR. Il responsabile IT definisce finalità e mezzi del trattamento, mentre il DPO deve vigilare su tali scelte in modo indipendente: la stessa persona non può svolgere entrambi i ruoli. Le Linee guida EDPB e la giurisprudenza europea confermano che questa sovrapposizione costituisce un'incompatibilità strutturale, indipendentemente dalle dimensioni dell'organizzazione.