Il 10 agosto 2026 la CNIL ha pubblicato una guida operativa su un problema che quasi ogni organizzazione ha e quasi nessuna ha messo per iscritto: il conflitto di interessi del responsabile della protezione dei dati.
Il punto di partenza è l'art. 38, par. 6, del GDPR. Il DPO può svolgere altri compiti oltre a quelli dell'art. 39, ma a due condizioni cumulative: che quei compiti non gli tolgano il tempo necessario a fare il DPO, e che non lo mettano in conflitto di interessi.
Le domande che servono a riconoscerlo
La CNIL raccomanda di svolgere l'analisi prima della designazione, o prima di assegnare nuove funzioni a un DPO già in carica. Queste sono le domande che propone:
- Quali altre funzioni sono cumulate con quella di DPO?
- Il DPO svolge funzioni dirigenziali? Direttore generale e responsabile delle risorse umane sono di regola incompatibili, ma lo possono essere anche ruoli più bassi, se portano a determinare finalità e mezzi di un trattamento
- Il DPO o la sua squadra hanno potere decisionale sulle finalità o sui mezzi? Se il DPO è anche responsabile della sicurezza informatica: decide lui i tempi di conservazione dei log, propone lui le misure di sicurezza, decide lui sulle richieste di accesso ai dati del personale?
- Nelle altre funzioni il DPO prende posizione su progetti che riguardano dati personali, per esempio come membro di un comitato etico?
- Il DPO è rappresentante del personale o ha un mandato sindacale? In sede di voto può doversi esprimere su misure di controllo dei lavoratori
- Se il DPO è esterno: ha già rappresentato l'organizzazione in un contenzioso sulla protezione dei dati? Appartiene a un soggetto con interessi contrari, per esempio un subcontraente o un contitolare?
Se il conflitto c'è, va rimosso
L'organizzazione che designa ha l'obbligo di porre fine al conflitto. Le strade sono tre: sostituire il DPO, togliergli le funzioni terze che generano il conflitto, oppure adottare altre misure di rimedio.
Il deporto e il DPO supplente
La misura più praticata è il deporto: il DPO si ritira sul perimetro in conflitto e su quel perimetro opera un DPO supplente. La CNIL è netta sul fatto che non può essere un adempimento di facciata. Una semplice controfirma, senza reale potere decisionale del supplente, non basta.
Il supplente deve godere delle stesse garanzie degli artt. 37 e 39: mezzi, formazione, coinvolgimento nelle questioni di sua competenza. E non deve avere alcun vincolo di subordinazione rispetto al DPO designato. L'esempio della CNIL è chiaro: se il DPO di un'assicurazione è anche responsabile antifrode e deve deportarsi su quell'area, un analista antifrode non può fargli da supplente, perché non può controllare in indipendenza trattamenti decisi dal proprio superiore.
Vanno documentati il rischio che giustifica il deporto e la ripartizione delle responsabilità fra DPO e supplente, in modo che nessun trattamento resti scoperto. Il supplente non si designa all'autorità: il punto di contatto resta il DPO designato, che però deve essere messo in condizione di informare il supplente quando l'autorità scrive su trattamenti del perimetro deportato.
Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
