DPO nominato "di comodo": quando la designazione è nulla?

Contenuto realizzato con il supporto di strumenti di intelligenza artificiale e revisionato dall'autore.

Immaginiamo un'azienda — ad esempio una società partecipata — che riceve un provvedimento del Garante. Il motivo non è una violazione dei dati, né un data breach mancato: è che il suo DPO, il soggetto formalmente incaricato di vigilare sulla protezione dei dati, aveva redatto la valutazione d'impatto sulla privacy che avrebbe poi dovuto sorvegliare come controllore indipendente. Controllore e controllato, nella stessa persona. La sanzione può arrivare, e con essa la contestazione della nomina.

Questo schema — più comune di quanto si pensi — è al centro di una stagione di controlli che il Garante ha reso esplicita con la deliberazione del 23 luglio 2026, con cui ha definito il piano ispettivo per il periodo agosto-dicembre 2026: tra gli ambiti indicati c'è la verifica dei trattamenti svolti dai soggetti che forniscono agli enti pubblici il servizio di Responsabile della protezione dei dati.

DPO nominato con conflitto di interessi: la nomina è davvero nulla?

Sì, e non è una formula retorica. Il Garante lo ha scritto nero su bianco in un provvedimento sanzionatorio: «la valutazione circa l'eventuale sussistenza di incompatibilità connesse allo svolgimento di incarichi che comportano poteri decisionali in ordine ai trattamenti di dati personali avrebbe dovuto comportare l'impossibilità del perfezionamento della designazione che, anche ove effettuata, risulta comunque nulla».

La parola "nulla" ha un peso specifico preciso nel lessico giuridico: non significa che la nomina è irregolare e va corretta, significa che non ha mai prodotto effetti. L'organizzazione che ha un DPO nominato in conflitto di interessi è, sul piano della compliance, come un'organizzazione che non ha alcun DPO — con la differenza aggravante di aver creduto di essere in regola.

La base normativa è l'art. 38, par. 6, del Regolamento UE 2016/679 (il GDPR), che consente al responsabile della protezione dei dati di svolgere altri compiti, ma a condizione che non diano adito a conflitto di interessi. Il limite non riguarda solo i compiti formalmente incompatibili: riguarda qualunque situazione in cui il DPO si trovi a vigilare su decisioni che lui stesso concorre ad adottare.

Quali ruoli aziendali sono incompatibili con la funzione di DPO?

Le linee guida del Comitato Europeo per la Protezione dei Dati (EDPB, il Comitato che riunisce le autorità di controllo europee) e la prassi sanzionatoria italiana convergono su una lista di posizioni strutturalmente incompatibili. Il caso più noto riguarda il rappresentante legale della società: nell'ambito di un'istruttoria conclusa con provvedimento sanzionatorio, il Garante ha accertato che la società aveva designato come DPO il proprio rappresentante legale, nella cui posizione i compiti di controllo e consulenza affidati dal GDPR risultavano svuotati di contenuto. La scelta è stata considerata contra legem e meritevole di sanzione.

Il responsabile IT (il direttore dei sistemi informativi) è un altro caso classico. Il conflitto di interessi è da ritenersi sussistente nel momento in cui il soggetto concorre all'adozione di decisioni fondamentali sui trattamenti; la funzione IT viene confermata essere incompatibile con il ruolo di DPO.

Ma attenzione: la lista non si ferma ai vertici. Possono risultare incompatibili anche altri ruoli inferiori nella struttura organizzativa, se tali posizioni comportano la determinazione delle finalità e dei mezzi del trattamento. Il responsabile delle risorse umane che tratta dati dei dipendenti, il responsabile marketing che gestisce profilazioni, il responsabile IT che progetta i sistemi: tutti questi ruoli pongono interrogativi seri che l'organizzazione deve saper rispondere per iscritto.

La sentenza del Tribunale di Firenze e il punto che gli altri trascurano

Il 29 maggio 2026 il Tribunale di Firenze ha depositato la sentenza n. 3034/2026, che affronta direttamente la questione dei limiti della responsabilità del DPO e della distinzione tra attività di controllo e funzioni esecutive. Il Tribunale si è pronunciato sull'effettività dell'attività di vigilanza e sul rapporto tra DPO e soggetti che svolgono attività tecniche o informatiche, escludendo però che la mera coincidenza di soci tra la società incaricata come DPO e una società che forniva servizi informatici al titolare basti a determinare un conflitto di interessi, in assenza di un rapporto di controllo tra le due, e richiamando la necessità di verificare concretamente se il soggetto eserciti funzioni incompatibili.

Questo passaggio è il punto che molti commentatori trascurano: il conflitto di interessi non si presume automaticamente dalla sovrapposizione di ruoli, ma si accerta in concreto. Non basta che un DPO si occupi anche di IT per essere in conflitto: occorre verificare se, in quel contesto specifico, determini le finalità o i mezzi del trattamento. La verifica va condotta caso per caso, valutando l'insieme delle circostanze, la struttura organizzativa, le politiche e le regole interne. Affidare la funzione di DPO a chi dirige i sistemi informativi o le risorse umane può vanificarne l'indipendenza e rendere la nomina inidonea.

Questa distinzione — conflitto automatico vs. conflitto accertato in concreto — è la linea che separa una nomina difendibile da una nomina indifendibile. Ed è esattamente su questo che le ispezioni in corso chiederanno conto.

Il Garante ha già controllato: provvedimenti del 2026 da conoscere

Il 2026 ha già prodotto provvedimenti concreti. Con provvedimento del 12 febbraio 2026, il Garante ha sanzionato un'amministrazione comunale campana per l'omessa designazione del responsabile della protezione dei dati e per l'omessa comunicazione e pubblicazione dei relativi dati di contatto; l'importo della sanzione è stato contenuto, ma il provvedimento resta pubblico e la posizione dell'ente risulta formalmente accertata.

Con provvedimento del 14 maggio 2026 un altro Comune è stato sanzionato per una somma complessiva di 1.800 euro, in parte specificamente riferita alla mancata nomina del nuovo responsabile dopo la cessazione dell'incarico precedente e alla conseguente omessa comunicazione dei contatti.

Il secondo caso introduce un profilo spesso sottovalutato: il vuoto di copertura tra la cessazione di un DPO e la nomina del successore. Il provvedimento del Garante del 18 giugno 2026 (doc. 10269624, pubblicato sul sito del Garante) ha affrontato una situazione analoga: la società aveva giustificato il mancato riscontro alle richieste di informazioni con il passaggio di consegne tra il precedente DPO interno e il nuovo professionista esterno incaricato, a far data dal 1° gennaio 2026. La giustificazione non ha impedito la sanzione.

Tre episodi distinti, tre mesi diversi dello stesso anno: il segnale è sistematico, non episodico.

Vigilantibus iura subveniunt: il diritto assiste chi vigila. Ma in questo caso la norma funziona anche al contrario — chi non ha vigilato sulla correttezza della propria nomina non potrà invocare la buona fede come attenuante.

Cosa fare concretamente: la revisione della posizione DPO

La revisione non richiede necessariamente di sostituire il DPO in carica: richiede di documentare perché la posizione è compatibile. Tre passaggi pratici.

Primo: mappare i poteri decisionali del DPO in carica su tutte le attività di trattamento. Se il DPO firma autorizzazioni, decide strumenti di raccolta dati, approva politiche di conservazione, il conflitto è probabile. La valutazione va messa per iscritto nel registro dei trattamenti o in un documento autonomo.

Secondo: verificare che il contratto o l'atto di nomina contenga le previsioni minime richieste dall'art. 37 GDPR. La nomina deve essere formalizzata con un atto o contratto che definisca ruolo, compiti, durata, risorse, indipendenza, canali di contatto e modalità di coinvolgimento.

Terzo: assicurarsi che la nomina sia stata comunicata al Garante tramite il portale telematico gpdp.it e che i dati di contatto del DPO siano pubblicati sul sito istituzionale o sul sito aziendale. La comunicazione al Garante e la pubblicazione dei contatti sono due obblighi distinti dalla nomina e vengono contestati come violazioni autonome. Questo significa che è possibile ricevere tre sanzioni separate per lo stesso DPO: omessa nomina, omessa comunicazione, omessa pubblicazione.

La mancata nomina del DPO, nel caso in cui sia obbligatoria, comporta l'applicazione della sanzione amministrativa fino a 10 milioni di euro o al 2% del fatturato annuo. Per la nomina con conflitto di interessi — che equivale sul piano pratico all'assenza di DPO — il perimetro sanzionatorio è il medesimo.

Nota dall'esperienza dello studio

Nelle pratiche che seguiamo in materia di protezione dei dati, l'errore più frequente non è l'assenza del DPO: è la nomina fatta "per esclusione", affidando l'incarico alla persona disponibile piuttosto che a quella compatibile. Accade spesso quando il ruolo viene attribuito al responsabile IT interno oppure al consulente legale che già segue altri rapporti con la società — figure rispettabilissime, ma che in quel contesto specifico possono trovarsi in una posizione strutturalmente incompatibile. Il problema emerge invariabilmente in sede di ispezione, quando si chiede di dimostrare l'indipendenza effettiva del DPO e il fascicolo è vuoto.

Domande frequenti

Posso nominare come DPO il responsabile delle risorse umane della mia azienda?
Dipende. Se il responsabile HR decide le finalità o i mezzi del trattamento dei dati dei dipendenti — ad esempio stabilendo quali categorie raccogliere, per quanto conservarle, a chi trasmetterle — il conflitto di interessi è concreto e la nomina è a rischio di invalidità. Se invece il responsabile HR svolge funzioni esecutive senza poteri di determinazione delle politiche di trattamento, la posizione può essere valutata come compatibile, purché la valutazione sia documentata per iscritto.

Cosa succede nel periodo tra la cessazione del vecchio DPO e la nomina del nuovo?
L'organizzazione resta priva di copertura sul piano della compliance e, in caso di verifica ispettiva in quel lasso di tempo, risponde dell'assenza di DPO come se non lo avesse mai nominato. Il passaggio di consegne non è una giustificazione sufficiente: occorre ridurre al minimo il periodo di vacanza e, se possibile, sovrapporre brevemente i due mandati o affidare ad interim la funzione a un soggetto che abbia i requisiti di indipendenza.

Il DPO esterno è sempre al riparo dal conflitto di interessi?
No. Il conflitto può sorgere anche con un DPO esterno, ad esempio se lo stesso professionista o studio è incaricato di attività consulenziali che implicano la determinazione delle finalità di trattamento per la stessa organizzazione. La forma dell'incarico — interno o esterno — è irrilevante: ciò che conta è la sostanza del ruolo svolto.