In sintesi. La nomina del DPO è obbligatoria in tre ipotesi (art. 37, par. 1 GDPR): autorità od organismo pubblico; attività principali che comportano il monitoraggio regolare e sistematico degli interessati su larga scala; trattamento su larga scala di categorie particolari di dati (art. 9) o di dati relativi a condanne penali e reati (art. 10). Fuori da questi casi la nomina è facoltativa. Il DPO può essere interno o esterno (art. 37, par. 6) e non risponde delle violazioni al posto del titolare.
Il responsabile della protezione dei dati — più noto con l’acronimo inglese DPO (Data Protection Officer) — è una delle figure introdotte dal GDPR a presidio della corretta gestione dei dati personali. Non tutte le organizzazioni sono tenute a designarlo, ma molte lo fanno per scelta. Conviene chiarire quando la nomina è obbligatoria, quali compiti competano al DPO e quali requisiti debba possedere.
Che cos’è il DPO
Disciplinato dagli articoli 37-39 del GDPR, il DPO è una figura di garanzia: un esperto della normativa e delle prassi in materia di protezione dei dati, dotato di indipendenza, che affianca titolare e responsabile del trattamento nel rispetto del Regolamento. Non è un controllore esterno né un mero adempimento formale: è un punto di riferimento interno all’organizzazione e, insieme, l’interlocutore privilegiato dell’autorità di controllo.
Quando è obbligatorio
L’articolo 37, paragrafo 1, individua tre ipotesi di designazione obbligatoria:
- quando il trattamento è effettuato da un’autorità o un organismo pubblico (esclusi i giudici nell’esercizio delle funzioni giurisdizionali);
- quando le attività principali del titolare o del responsabile consistono in trattamenti che richiedono il monitoraggio regolare e sistematico degli interessati su larga scala;
- quando le attività principali consistono nel trattamento, su larga scala, di categorie particolari di dati (art. 9) o di dati relativi a condanne penali e reati (art. 10).
Fuori da questi casi la nomina è facoltativa, ma spesso opportuna: dotarsi di un DPO è un segnale di buona governance e semplifica la gestione degli adempimenti.
I compiti
L’articolo 39 elenca i compiti del DPO: informare e consigliare il titolare e i dipendenti; sorvegliare l’osservanza del Regolamento e delle politiche interne; fornire pareri in merito alla valutazione d’impatto (DPIA) e sorvegliarne lo svolgimento; cooperare con l’autorità di controllo e fungere da punto di contatto per il Garante e per gli interessati. Il DPO non «decide» i trattamenti — quella resta responsabilità del titolare — ma vigila e indirizza.
Requisiti e posizione
Il DPO è designato in funzione delle qualità professionali e della conoscenza specialistica della normativa (art. 37, paragrafo 5). Può essere un dipendente o un soggetto esterno che opera in base a un contratto di servizi (art. 37, paragrafo 6). L’articolo 38 ne presidia la posizione: deve essere coinvolto tempestivamente in tutte le questioni rilevanti, disporre delle risorse necessarie, operare in autonomia e senza conflitti di interesse, riferendo direttamente al vertice.
DPO e titolare: ruoli distinti
Designare un DPO non trasferisce su di lui la responsabilità della conformità: il titolare resta responsabile del rispetto del GDPR e deve poterlo dimostrare (principio di responsabilizzazione). Il DPO sorveglia e consiglia; le decisioni — e le conseguenze — restano in capo all’organizzazione. A monte di tutto resta la mappatura dei trattamenti: si veda la guida al registro dei trattamenti.
Cosa dice la giurisprudenza
Sull’indipendenza del DPO e sul divieto di conflitto di interessi si è pronunciata la Corte di giustizia. Con la sentenza 9 febbraio 2023 (causa C-453/21, X-FAB Dresden) la CGUE ha chiarito che il DPO può svolgere anche altri compiti nell’organizzazione, ma a condizione che non lo portino a determinare finalità e mezzi del trattamento: in tal caso si configura un conflitto di interessi vietato dall’art. 38, par. 6, GDPR. La verifica va condotta caso per caso, valutando l’insieme delle circostanze (struttura organizzativa, politiche e regole interne). È un punto pratico spesso sottovalutato: affidare la funzione di DPO a chi, ad esempio, dirige i sistemi informativi o le risorse umane può vanificarne l’indipendenza e rendere la nomina inidonea.
Domande frequenti
La mia azienda deve nominare un DPO? Solo se ricorre una delle ipotesi dell’art. 37 (ente pubblico, monitoraggio su larga scala, trattamento su larga scala di dati particolari o penali). Negli altri casi è facoltativo.
Il DPO può essere esterno? Sì: può essere un dipendente o un professionista esterno con contratto di servizi, purché possieda le competenze e operi senza conflitti di interesse.
Il DPO è responsabile delle violazioni? No: la responsabilità della conformità resta del titolare. Il DPO svolge una funzione di sorveglianza e consulenza.
Individuare se la nomina è dovuta, e impostare correttamente ruolo e risorse del DPO, è uno dei primi passi di un adeguamento serio. Offriamo supporto su questi profili nella consulenza in materia di privacy e GDPR.
Il presente approfondimento ha finalità informative e non sostituisce una valutazione del caso concreto.
Questo approfondimento ha finalità informative e divulgative e non costituisce un parere legale sul caso concreto. Contenuto verificato dal Dott. Giuseppe Foti, consulente legale — ultima verifica: 23 giugno 2026.