ARGOMENTO:

Dottor Marini grazie per la sua articolata ed esaustiva risposta. Purtroppo la scarsa conoscenza del GDPR nel modo dei professionisti e la convinzione che con un consenso del cliente, con informativa fatta più o meno bene, si sia adempiuto ai propri obblighi, rende difficile fare questa professione e maggiormente vi sono grosse difficolta nel far capire l'importanza della figura del DPO o Consulente e quindi nel fare un preventivo o una parcella digeribile per il cliente.
Buon lavoro
Fabio Giovannini

L'obbligatorietà (prevista per la nomina del DPO) è un problema non solo per le ragioni indicate nell'articolo che Lei ha citato ma anche per il fatto che delle tre fattispecie formulate dall'art. 37.1 soltanto la prima (ai sensi della lett. a), trattamento effettuato da un'autorità pubblica o da un organismo pubblico) lascia margini assai ristretti all'interpretazione. Nelle Linee Guida DPO (rev. 01) si afferma ragionevolmente che le definizioni di autorità/organismo pubblico debbano essere ricondotte al diritto nazionale. In forza di ciò, gli ordini professionali sono (qui è affermato in estrema sintesi, restando in disparte il dibattito dottrinale e giurisprudenziale sviluppatosi sull'argomento nel corso degli anni) certamente enti pubblici non economici. Per cui la nomina del DPO è per essi da reputare obbligatoria.
Per quanto concerne invece i singoli professionisti, che sono soggetti privati, il ricorrere dell'obbligo di nomina è subordinato al verificarsi di una delle due ulteriori fattispecie (di cui alle lettere b) e soprattutto c)) di trattamenti di dati su “larga scala”. La quale sembra potersi escludere per i trattamenti di dati eseguiti da singoli professionisti (cfr. considerando 91 ed esempi nelle citate LG citate, pag. 11), anche se ciò non esime ovviamente i titolari dall'analizzare e valutare la propria organizzazione e i trattamenti eseguiti o da eseguire, senza presunzioni o automatismi e dunque senza dare alcunché per scontato.
Quanto all'argomento del conflitto di interessi, esso è non meno insidioso. Il legislatore enuncia il principio (art. 38.6), le Linee Guida (che non sono legge ma 'soft law') al capitolo 3.5 individuano a grandi linee dei criteri (pedissequamente ripresi dalla manualistica) per stabilire quando si sia di fronte ad un conflitto di interessi. Una declinazione che non ha pretesa di esaustività. Ciò premesso, a mio parere la intestazione dell'incarico consulenziale e di DPO ad un medesimo professionista espone il medesimo – segnatamente quale DPO - ad un caso abbastanza evidente di conflitto di interessi.

Buongiorno, ho letto l'interessante articolo "la maledizione del DPO" pubblicato nella newsletter del 28 luglio u.s.
Personalmente ho ricevuto alcuni incarichi quale DPO da studi professionali (prettamente commercialisti) che però all'atto pratico richiedono lo svolgimento di compiti propri di un consulente privacy (come la redazione delle informative, delle nomine etc). Nonostante le spiegazioni fornite sul possibile conflitto di interessi, il rapporto con il cliente è di difficile gestione perché hanno l'errata convinzione che la nomina del DPO è sufficiente per adempiere al GDPR e che questi debba fare TUTTO. Ho proposto, in alternativa, la figura del consulente a quello del DPO ma la figura del consulente è sconosciuta ai più.
Premesso quanto sopra, vorrei avere il vostro conforto sulla "non obbligatorietà" della nomina a DPO per gli studi commercialistici/revisore legale dei conti e per gli ordini professionali che gestiscono i propri iscritti e sulla configurazione del conflitto di interessi laddove venga richiesta anche la redazione delle informative, nomine etc.
Grazie
Cordiali saluti.
Fabio Giovannini