Question 1

Ho un'azienda con 25 dipendenti che gestisce dati clienti e fornitori. Ho nominato il DPO per sicurezza, ma un mio concorrente simile non ce l'ha. Voglio essere sicuro che sia davvero in violazione prima di muovermi.

— Roberto

Accepted Answer

La nomina del DPO è obbligatoria solo in tre casi specifici previsti dall'art. 37 del GDPR: autorità pubbliche, attività principali che comportano monitoraggio regolare e sistematico su larga scala, o trattamento su larga scala di dati sensibili o relativi a condanne penali. Un'azienda di 25 dipendenti che gestisce normali dati di clienti e fornitori, come la tua e quella del competitor, non rientra in questi casi. Puoi segnalare il fatto al Garante, ma è molto probabile che la segnalazione venga archiviata come non fondata, poiché il tuo concorrente probabilmente non è obbligato alla nomina del DPO. La tua scelta di nominarlo è stata prudente e corretta, ma non rende automaticamente irregolare chi non lo ha fatto.

Question 2

Ho notato che diversi competitor non hanno il DPO da almeno un anno. C'è una scadenza entro cui devo segnalare o posso farlo quando voglio? Rischio che la segnalazione non venga presa in considerazione se aspetto troppo?

— Stefano

Accepted Answer

Puoi segnalare al Garante la mancanza di DPO di un competitor in qualsiasi momento, senza scadenze formali. Tuttavia, la segnalazione sarà presa in considerazione solo se dimostri con prove concrete che il competitor rientra nei casi di obbligo previsti dall'articolo 37 del GDPR: autorità pubblica, trattamento su larga scala di dati sensibili o monitoraggio sistematico su larga scala. Se aspetti troppo tempo, rischi che la segnalazione perda rilevanza, specialmente se nel frattempo il competitor ha nominato il DPO o se non hai documentazione aggiornata. Il Garante valuta solo segnalazioni circostanziate, non semplici presunzioni o osservazioni generiche sulla concorrenza.

Question 3

Se decido di procedere con una segnalazione al Garante, ci sono spese legali successive? Devo mettere in conto un avvocato per seguire l'iter o basta la consulenza iniziale per capire come muovermi?

Accepted Answer

Se il tuo competitor è obbligato ad avere un DPO secondo l'art. 37 GDPR e non lo ha nominato, puoi certamente segnalarlo al Garante per la Privacy tramite il procedimento gratuito previsto dall'art. 144 del Codice Privacy. Non ci sono spese legali successive né è obbligatorio farsi assistere da un avvocato: puoi presentare la segnalazione autonomamente tramite il modulo online del Garante o con comunicazione scritta via PEC. L'unico costo eventuale è quello della PEC o raccomandata A/R se non utilizzi l'email ordinaria con firma digitale. Una consulenza iniziale può essere utile solo per verificare che il competitor rientri effettivamente nei casi di obbligo del DPO, evitando segnalazioni infondate, ma una volta accertato questo aspetto puoi procedere da solo senza ulteriori spese professionali.

Question 4

Lavoro in un settore piccolo dove tutti si conoscono. Se segnalo un competitor al Garante, il mio nome verrà fuori? Temo ritorsioni commerciali o che mi taglino fuori da alcune forniture comuni.

Accepted Answer

In Italia è possibile segnalare al Garante Privacy un competitor che non ha nominato il DPO quando obbligato per legge. Tuttavia, normalmente il segnalante deve essere identificabile e il suo nome potrebbe emergere durante l'istruttoria. Esiste però la possibilità di presentare una segnalazione anonima quando sussiste un rischio concreto di ritorsioni, come nel suo caso in un settore ristretto dove teme conseguenze commerciali. Per tutelare la sua identità, deve dichiarare esplicitamente nella segnalazione il rischio di ritorsioni e fornire comunque elementi circostanziati e documentati sulla violazione, affinché il Garante possa procedere autonomamente alla verifica senza coinvolgere direttamente il segnalante.

Question 5

Vorrei capire se vale la pena procedere: quali sanzioni concrete rischia un'azienda che non nomina il DPO quando è obbligatorio? Il Garante interviene davvero o è solo sulla carta?

Accepted Answer

Sì, puoi segnalare al Garante un'azienda concorrente che omette la nomina obbligatoria del DPO, ma devi dimostrare un interesse legittimo e verificare che ricorrano effettivamente i presupposti di obbligatorietà previsti dal GDPR. Le sanzioni concrete per la mancata nomina possono arrivare fino a 10 milioni di euro o al 2% del fatturato mondiale annuo, e il Garante interviene regolarmente con diffide e provvedimenti sanzionatori. Tuttavia, se la segnalazione risulta strumentale alla concorrenza o priva di fondamento, rischi di compromettere la tua credibilità. Prima di procedere, valuta attentamente se il competitor rientra nei casi di obbligatorietà e se hai un reale interesse tutelabile, eventualmente consultando gli avvocati esperti in protezione dati su Iuspert.it per una strategia più solida.

Question 6

Non posso entrare nei sistemi del mio competitor. Come faccio a dimostrare che non ha nominato il DPO? Basta verificare che non è pubblicato sul sito o servono altre prove concrete?

Accepted Answer

La segnalazione al Garante richiede prove concrete che il competitor rientri nei casi di obbligatorietà del DPO previsti dall'articolo 37 del GDPR, non solo l'assenza di pubblicazione sul sito. L'obbligo sussiste solo per autorità pubbliche, attività di monitoraggio sistematico su larga scala o trattamento massivo di dati sensibili. L'assenza di pubblicazione non è prova sufficiente, poiché il DPO potrebbe essere stato nominato e comunicato al Garante senza essere indicizzato pubblicamente. Segnalazioni infondate potrebbero configurare concorrenza sleale o diffamazione, quindi è necessario verificare prima la natura dell'attività del competitor attraverso fonti pubbliche per accertare l'effettiva obbligatorietà della nomina.

Question 7

Ho paura che se segnalo, il mio concorrente possa a sua volta cercare irregolarità nella mia azienda per ritorsione, o iniziare a farmi guerra sui prezzi. Esistono tutele legali contro questo tipo di ritorsioni?

— Francesca

Accepted Answer

La segnalazione di un concorrente al Garante per la Privacy non rientra nella protezione del whistleblowing, quindi non esistono tutele legali specifiche contro eventuali ritorsioni di mercato come la guerra sui prezzi o controlli reciproci sulla tua azienda. La concorrenza aggressiva sui prezzi è generalmente lecita, salvo casi estremi di pratiche predatorie. Tuttavia, se il concorrente commette atti illegittimi come diffamazione, stalking o accesso illecito ai tuoi dati riservati, potrai agire contro di lui dimostrando il nesso causale e l'illegittimità dell'atto. La presenza del DPO nella tua azienda costituisce comunque un elemento di compliance rafforzata che ti favorisce in caso di eventuali verifiche del Garante.

Question 8

Opero in tutta Italia e ho notato che alcuni competitor del sud non hanno il DPO mentre noi al nord lo abbiamo tutti. Posso segnalare anche aziende che operano in altre regioni o serve che siano diretti concorrenti locali?

— Giuseppe

Accepted Answer

Puoi segnalare al Garante solo se dimostri che il competitor è **obbligato per legge** ad avere il DPO (ad esempio perché tratta dati sensibili o sanitari su larga scala, effettua monitoraggio sistematico degli utenti, o è un ente pubblico) e che questa mancanza **espone concretamente a rischio i diritti delle persone**. La segnalazione non può basarsi solo sul fatto che tu hai il DPO e lui no, né serve motivo di concorrenza locale: molte aziende, specie piccole o che trattano dati ordinari, non sono obbligate alla nomina. Il Garante valuterà l'effettiva sussistenza dell'obbligo e del rischio per gli interessati, non questioni competitive tra imprese.