TL;DR per il DPO
Il 12 maggio 2026 l'EDPB ha adottato il documento 03/2026 con 12 raccomandazioni operative sulle piattaforme che pubblicano profili professionali dei DPO. Punti chiave: (1) la pubblicazione del profilo richiede consenso esplicito ex art. 6(1)(a), (2) deve essere garantito il diritto di rimozione immediata, (3) le finalita' di marketing vanno separate dalla finalita' di contatto professionale. Per i DPO italiani: se sei iscritto a una directory, verifica che il titolare della piattaforma abbia un'informativa che copra tutti i punti elencati.
Il contesto: la crescita delle directory DPO
Negli ultimi 18 mesi sono nate decine di piattaforme che permettono agli enti e alle aziende di cercare DPO certificati per affidamenti. In Italia, oltre alle iniziative del Garante e degli ordini professionali, sono emerse soluzioni private (marketplace, directory verticali per settore, piattaforme SaaS dedicate). L'EDPB ha rilevato che molte di queste piattaforme trattavano dati personali dei DPO senza una base giuridica chiara e senza informativa adeguata.
Le 12 raccomandazioni in sintesi
- Base giuridica: solo consenso ex art. 6(1)(a) GDPR. Il legittimo interesse non e' sufficiente perche' il DPO non e' obbligato a essere visibile pubblicamente
- Informativa specifica: deve indicare chi pubblica, dove, per quanto tempo e con quali finalita' (contatto professionale vs marketing)
- Diritto di rimozione immediata: il DPO deve poter cancellare il proprio profilo senza giustificazione, in qualsiasi momento
- Separazione finalita': se la piattaforma usa i dati anche per finalita' di marketing o profilazione, serve consenso separato
- Minimizzazione dati: pubblicare solo i dati strettamente necessari al contatto professionale (nome, certificazione, settori, contatto email)
- Trasparenza algoritmica: se c'e' un algoritmo di ranking/visibilita', i criteri devono essere documentati
- Verifica certificazioni: la piattaforma deve verificare che le certificazioni dichiarate siano reali (responsabilita' del titolare)
- Audit logging: tracciare gli accessi al profilo e le richieste di contatto, con conservazione max 12 mesi
- Notifica al DPO: il DPO deve essere notificato quando un nuovo soggetto accede al suo profilo o invia una richiesta di contatto
- Esportabilita': il DPO deve poter esportare tutti i propri dati in formato strutturato (CSV/JSON)
- Conservazione post-rimozione: dopo la cancellazione, nessun dato puo' essere conservato se non per obblighi di legge (audit, contabilita')
- Sub-responsabili: la piattaforma deve dichiarare tutti i sub-responsabili (hosting, email, analytics) e ottenere consenso specifico se i dati escono dal SEE
Il punto critico per il DPO italiano
Se sei iscritto a una directory DPO (sia pubblica che privata), verifica entro 30 giorni: (1) c'e' un'informativa che descrive tutti i 12 punti? (2) puoi cancellare il profilo con un click? (3) puoi esportare i tuoi dati? Se anche uno solo manca, hai diritto a chiedere la cancellazione immediata ex art. 17 GDPR. Le piattaforme non conformi rischiano sanzioni dirette dall'EDPB.
Cosa cambia per chi gestisce una piattaforma DPO
Le piattaforme che pubblicano profili DPO hanno tempo fino al 1 settembre 2026 per adeguarsi alle linee guida. L'EDPB ha annunciato che da ottobre 2026 partira' un ciclo di audit coordinati sulle principali piattaforme attive nell'UE. I criteri di audit saranno: informativa, consenso, rimozione, esportabilita' e trasparenza algoritmica.
Cosa fare nei prossimi 30 giorni se sei DPO con profilo pubblico
- Lista delle piattaforme su cui sei iscritto (anche LinkedIn, Iubenda, directory Garante, ecc.)
- Verifica per ciascuna se l'informativa copre i 12 punti EDPB (puoi farti aiutare da un collega DPO o usare la nostra checklist scaricabile)
- Esporta i tuoi dati da ciascuna piattaforma: ti servira' come backup nel caso decidessi di chiedere la rimozione
- Se trovi piattaforme non conformi, invia una richiesta di accesso ex art. 15 GDPR per capire quali dati hanno e con chi li condividono
- Aggiorna l'informativa del tuo sito professionale: se citi 'sono iscritto come DPO presso X', l'utente deve sapere che cosa significa
In DPO Workspace
La sezione Profilo permette di attivare un profilo pubblico opt-in, conforme alle linee guida EDPB 03/2026. Tutti i 12 punti sono implementati di default: consenso esplicito, rimozione immediata, separazione finalita', minimizzazione, audit logging, esportabilita' dati. Se decidi di attivarlo, la tua scheda comparira' nella directory /cerca-dpo dove enti e aziende possono trovarti per affidamenti.
Risorse aggiuntive
Fonte ufficiale:EDPB - Guidelines 03/2026 on the processing of personal data of Data Protection Officers in public directoriesFonte ufficiale:Garante Privacy - Provvedimento DPO directory 2025Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
