Quando è obbligatorio nominare il DPO: la guida 2026 per imprese e Pubbliche Amministrazioni

Quando l'art. 37 GDPR impone il DPO, cosa fa (art. 39), chi può ricoprirlo, i costi orientativi 2026 e come si effettua la nomina presso il Garante. Guida pratica per imprese e PA.

In sintesi — L’obbligo di nominare il DPO (Data Protection Officer, in italiano RPD – Responsabile della Protezione dei Dati) scatta in tre casi previsti dall’art. 37 del GDPR: quando il titolare è un’autorità o organismo pubblico; quando le attività principali richiedono il monitoraggio regolare e sistematico degli interessati su larga scala; quando consistono nel trattamento su larga scala di categorie particolari di dati (sanitari, biometrici, genetici, giudiziari). Fuori da questi casi la nomina è facoltativa, ma raccomandata dal Garante. Non nominarlo quando è dovuto espone a sanzioni fino a 10 milioni di euro o al 2% del fatturato mondiale annuo.

1. Cos’è il DPO

Il DPO è un professionista che ha il compito di supportare l’organizzazione che lo nomina nel corretto trattamento dei dati personali, vigilando sull’applicazione del GDPR. Non sostituisce il titolare del trattamento — le decisioni su finalità e mezzi restano sue — ma controlla e verifica che le scelte compiute siano conformi alla normativa, consigliando la strada corretta prima che gli errori diventino violazioni.

Il DPO — per esteso Data Protection Officer, nella versione italiana del GDPR Responsabile della Protezione dei Dati (RPD), da non confondere con il responsabile del trattamento, che è invece chi tratta i dati per conto del titolare — è una figura introdotta dagli artt. 37-39 del GDPR. Nel prosieguo di questo approfondimento vedremo esattamente quali sono i suoi compiti e quando la nomina è obbligatoria.

2. Cosa fa il DPO: i compiti (art. 39)

Per capire quando serve un DPO conviene prima capire che cosa fa. Il suo ruolo si riassume in una formula: sorveglia e consiglia, non gestisce. Non prende le decisioni sui trattamenti, ma affianca chi le prende, segnala i problemi prima che diventino violazioni e fa da ponte con l’autorità di controllo. In concreto, l’art. 39 del GDPR gli affida quattro compiti:

• informare e consigliare il titolare, il responsabile e i dipendenti sugli obblighi privacy;
• sorvegliare l’osservanza del GDPR e delle procedure interne, curando formazione e sensibilizzazione del personale;
• dare pareri sulla valutazione d’impatto (DPIA) e vigilarne lo svolgimento;
• cooperare con il Garante ed esserne il punto di contatto, anche per gli interessati.

Perché tutto questo funzioni, il DPO deve godere di indipendenza (art. 38): riferisce direttamente al vertice, non riceve istruzioni su come esercitare i propri compiti e non deve trovarsi in conflitto di interessi. Per questo non può ricoprire il ruolo chi decide finalità e mezzi dei trattamenti — il titolare stesso, o le figure apicali dell’IT e delle risorse umane.

3. I tre casi in cui il DPO è obbligatorio (art. 37)

La nomina del DPO non è sempre obbligatoria. Il GDPR indica espressamente i casi in cui la sua presenza è essenziale — e in cui, quindi, la mancata nomina costituisce una violazione del Regolamento. Sono tre, previsti dall’art. 37, e li vediamo di seguito.

3.1 Autorità e organismi pubblici

Sono obbligati a nominare un DPO, prima di tutti, le autorità pubbliche e gli organismi pubblici — a prescindere dai dati che trattano. Sul primo fronte non ci sono dubbi: Comuni, Province, Regioni, Ministeri, ASL, ospedali pubblici, scuole e università devono avere un DPO, sempre.

Per quanto riguarda gli organismi pubblici, il GDPR non li definisce: il WP29 (oggi EDPB) rinvia al diritto nazionale ed estende l’obbligo anche ai privati che esercitano pubblici poteri o funzioni di interesse pubblico — chi gestisce trasporti pubblici, distribuzione di energia o acqua, servizi sociali in convenzione. La nozione è coerente con quella di organismo di diritto pubblico elaborata negli appalti. Vi rientrano anche camere di commercio, ordini professionali ed enti previdenziali.

Il Garante ha sanzionato più Comuni per la mancata designazione (provvedimenti tra fine 2024 e inizio 2025): nessuno riguardava dati sensibili — il solo fatto di essere un ente pubblico bastava a far scattare l’obbligo.

3.2 Monitoraggio regolare e sistematico su larga scala

Il secondo caso riguarda i privati la cui attività principale consiste in trattamenti che monitorano gli interessati in modo regolare e sistematico, su larga scala. Tre requisiti, da verificare insieme:

• attività principale — il trattamento è parte del core business, non un’attività accessoria (una società di recupero crediti che profila la solvibilità, un provider di telecomunicazioni che analizza il traffico);
• monitoraggio regolare e sistematico — profilazione, advertising comportamentale, tracciamento della posizione, programmi fedeltà, videosorveglianza continuativa, IoT, telemedicina;
• larga scala — non c’è una soglia fissa, ma il WP29 guarda a numero di interessati, volume e varietà dei dati, durata ed estensione geografica. Un singolo medico non la raggiunge; un’ASL o un gruppo ospedaliero sì.

3.3 Trattamento su larga scala di dati particolari

Il terzo caso scatta quando l’attività principale è il trattamento su larga scala di dati sanitari, genetici o biometrici (art. 9) o giudiziari (art. 10): cliniche private di dimensioni rilevanti, laboratori di analisi, strutture riabilitative, agenzie di somministrazione con fascicoli sanitari o giudiziari, società di vigilanza con dati biometrici.

Nota. Le FAQ del Garante indicano, tra i soggetti tipicamente obbligati: banche, assicurazioni, sistemi di informazione creditizia, CAF e patronati, call center, ospedali privati, laboratori di analisi, società di somministrazione, hosting e imprese informatiche che monitorano la sicurezza per conto terzi. L’elenco non è tassativo.

4. Quando conviene nominarlo anche senza obbligo

Fuori dai tre casi la nomina è volontaria, ma il Garante la raccomanda in nome dell’accountability (art. 5, par. 2): non basta essere conformi, va dimostrato. È una scelta razionale, per esempio, per una PMI con e-commerce che raccoglie abitudini d’acquisto e dati di pagamento nel tempo, per chi ha introdotto controlli biometrici o badge sui dipendenti, per studi e reti professionali con fascicoli sanitari o giudiziari, o per le organizzazioni nei settori coperti da NIS2.

In ogni caso conviene documentare la valutazione: chi decide di non nominarlo ma non sa spiegare perché è più esposto, in un’ispezione, di chi ha analizzato la propria situazione e scelto consapevolmente.

5. DPO interno o esterno

Il GDPR lascia libera la scelta: il DPO può essere un dipendente dell’organizzazione oppure un professionista esterno, incaricato con un contratto di servizi. Entrambe le soluzioni sono legittime, ma non sono equivalenti nella pratica.

Il DPO interno ha il vantaggio di conoscere da vicino l’organizzazione, i suoi processi e le sue persone. Sconta però due limiti ricorrenti. Il primo è il conflitto di interessi: in una struttura di medie dimensioni è difficile trovare qualcuno che abbia le competenze necessarie e che, allo stesso tempo, non partecipi alle decisioni sui trattamenti — il responsabile IT, il responsabile del personale e le figure apicali sono di regola esclusi. Il secondo è la specializzazione: la materia evolve di continuo (provvedimenti del Garante, linee guida EDPB, giurisprudenza della Corte di Giustizia) e mantenere aggiornata una figura interna ha un costo che poche organizzazioni sostengono davvero.

Per queste ragioni la maggior parte di enti e imprese sceglie un DPO esterno. Il professionista esterno è strutturalmente al riparo dai conflitti — non gestisce sistemi né decide i trattamenti — porta una specializzazione che si aggiorna per la natura stessa del suo lavoro, e gode delle tutele dell’art. 38: agisce in autonomia, non riceve istruzioni sul mandato e non può essere rimosso o penalizzato per aver segnalato una non conformità. Per l’organizzazione, infine, è spesso anche la soluzione più economica rispetto alla formazione e al mantenimento di una figura dedicata interna.

6. Il nesso con NIS2

La NIS2 (d.lgs. 138/2024) non impone il DPO — lo fa il GDPR — ma le due normative si sovrappongono per i settori regolati (energia, trasporti, acque, infrastrutture digitali, sanità, PA, banche e finanza, spazio). La gestione degli incidenti prevista da NIS2 comporta quasi sempre trattamento di dati personali: la notifica all’ACN, le prove forensi, le comunicazioni agli utenti colpiti, la corretta tenuta del registro delle violazioni. Il DPO diventa il punto di coordinamento naturale tra le due compliance; la sua assenza, in una valutazione ACN o in un’ispezione congiunta, è una debolezza difficile da giustificare. Chi è soggetto essenziale o importante ai sensi del d.lgs. 138/2024 dovrebbe valutarne la nomina insieme al piano NIS2, non separatamente.

7. Come si nomina

La nomina segue tre passaggi, tutti necessari.

Il primo è l’atto espresso di nomina: il DPO non si designa “di fatto”, serve un documento formale che indichi la sua identità, le funzioni affidate, la durata dell’incarico, le risorse messe a disposizione e i canali di contatto. Non esiste un modello obbligatorio; se il DPO è esterno, il rapporto va regolato con un contratto di servizi che rispetti i requisiti di indipendenza dell’art. 38 (art. 37, par. 6).

La nomina va poi comunicata al Garante (art. 37, par. 7), esclusivamente attraverso l’applicativo telematico disponibile sul portale dell’Autorità (gpdp.it), con accesso tramite SPID, CIE o firma digitale: PEC, email o raccomandata non sono valide. Al termine della procedura si firma digitalmente un file XML da restituire entro 48 ore; dallo stesso applicativo si gestiscono anche le variazioni e la revoca.

Infine, i contatti del DPO devono essere resi pubblici: vanno riportati nelle informative privacy e sui siti istituzionali, così che gli interessati possano raggiungerlo facilmente. Basta un indirizzo email dedicato — pubblicare il nominativo è buona prassi, non un obbligo. Per le pubbliche amministrazioni la collocazione standard è la sezione “Amministrazione Trasparente”.

8. Lo Studio Legale Calzoni come DPO esterno

Lo Studio Legale Calzoni offre consulenza GDPR e nomina del DPO e svolge funzioni di DPO esterno per enti locali, aziende sanitarie e imprese private, con indipendenza funzionale e aggiornamento costante sulla prassi del Garante. Coordiniamo la privacy con le altre compliance (NIS2, appalti, trasparenza) e seguiamo l’intero ciclo: audit iniziale, registro dei trattamenti, gestione delle richieste degli interessati, redazione delle DPIA nei casi previsti e rapporti con l’Autorità. Per chi deve nominare il DPO per la prima volta, o vuole verificare la conformità della propria struttura all’art. 37, offriamo una consulenza preliminare di valutazione.

Domande frequenti

Il DPO è obbligatorio per la mia azienda? Dipende da tre fattori: se siete un’autorità o organismo pubblico (obbligo automatico); se le vostre attività principali richiedono il monitoraggio regolare e sistematico degli interessati su larga scala; se consistono nel trattamento su larga scala di dati sanitari, biometrici, genetici o giudiziari. Fuori dai tre casi dell’art. 37 la nomina è facoltativa, ma il Garante raccomanda di documentare la valutazione compiuta.

Posso nominare il commercialista come DPO? Tecnicamente sì, se ha le competenze necessarie e non ricopre, nella stessa organizzazione, ruoli che determinano finalità e mezzi del trattamento. In pratica, il commercialista che gestisce anche la contabilità e accede ai dati dei dipendenti si trova in una posizione di potenziale conflitto di interessi che il Garante ha contestato. Va valutato caso per caso.

Cosa rischio se non nomino il DPO quando è obbligatorio? La mancata nomina viola l’art. 37 GDPR ed è sanzionabile fino a 10 milioni di euro o, per le imprese, al 2% del fatturato mondiale annuo se superiore. Il Garante ha irrogato sanzioni concrete anche per importi contenuti (da 2.000 a 75.000 euro nei casi documentati), con ordine di nomina immediata e pubblicazione dei contatti.

Posso cambiare DPO? Sì, tramite lo stesso portale telematico del Garante usato per la nomina. Non c’è una durata minima dell’incarico, ma il recesso non può essere motivato dall’esercizio delle funzioni del DPO: rimuoverlo o non rinnovargli il contratto perché ha segnalato non conformità viola l’art. 38, par. 3.

Quanto costa un DPO esterno? I range di mercato variano con la complessità dei trattamenti: indicativamente da 300 euro al mese per compliance semplici, fino a 800 euro e oltre per le strutture più articolate, di solito con una quota una tantum per la gap analysis iniziale.

I contenuti di questa pagina si riferiscono a fattispecie generali e non possono in alcun modo sostituire il contributo di un avvocato. Per ottenere un parere legale in ordine alla questione giuridica che interessa è possibile richiedere una consulenza, oppure fissare un appuntamento. Gli autori declinano ogni responsabilità per errori od omissioni, nonché per un utilizzo improprio o non aggiornato delle presenti informazioni.