ARGOMENTO:

Non riterrei auspicabile che una considerazione o un'istruzione o una raccomandazione di una autorità amministrativa scendessero in ambiti dove le valutazioni e la responsabilità degli individui, dei contraenti, debbono restare sovrane. Già operiamo in un ordinamento giuridico sufficientemente complesso, gonfiato da disposizioni spesso ficcanti e inefficienti, che comprimono oltre modo la libertà individuale e alterano la dinamica della responsabilità.
Il quesito che Lei pone trova risposta caso per caso, sia nella coscienza e nella professionalità di coloro che si propongono ad enti e aziende come possibili Responsabili della Protezione dei Dati (o DPO che dir si voglia) che, corrispettivamente, nella cautela che i Titolari debbono esercitare nella selezione dei soggetti più idonei a ricoprire la funzione.
In questo primo anno di applicazione del Regolamento europeo se ne sono sentite di tutti i colori, perfino di professionisti che avrebbero assunto incarichi di RPD/DPO presso decine di enti, con compensi unitari da fame. Non so se si tratti di leggende metropolitane, ma questi valgono in ogni caso come esempi da non imitare, per la consapevolezza delle responsabilità connesse all'esercizio di questa funzione. Consapevolezza che d'altronde Lei mostra di avere ben presente - tanto che già in effetti risponde al Suo stesso quesito - quando afferma che “è oltremodo difficile ritenere che un singolo DPO possa gestire in modo adeguato un numero significativo di aziende, soprattutto se queste effettuano trattamenti ad alto rischio”.

Buongiorno,
la settimana scorsa avevo pubblicato un quesito analogo nell'area "Chiedi all'esperto" ma, non avendo ancora ricevuto una risposta, pongo a tutti gli iscritti al forum la questione in oggetto.
Come sicuramente avrete avuto modo di constatare tutti, sia nelle faq del garante che nelle considerazione del wp29 in materia di incarico DPO, non sono presenti indicazioni precise riguardo al numero di incarichi che un singolo DPO può ragionevolmente pensare di assumere in totale autonomia.
Le indicazioni presenti sono, probabilmente in modo voluto, vaghe e si rimettono al buon senso di aziende e DPO e quindi inevitabilmente lasciano spazio a molteplici interpretazioni con conseguenti dubbi e perplessità.
Mi chiedo quindi se esista una qualche documentazione, articolo di approfondimento o parere eminente in cui si faccia riferimento a parametri un po più oggettivi, dove magari venga definita una metrica o indicato un rapporto diretto tra il numero di incarichi o trattamenti di particolari categorie di dati personali e il numero di soggetti che è ragionevolmente pensare, possa monitorarli in modo adeguato.
E' oltremodo difficile ritenere che un singolo DPO possa gestire in modo adeguato un numero significativo di aziende, soprattutto se queste effettuano trattamenti ad alto rischio, ma è altrettanto difficile avere riscontri oggettivi che possano essere utilizzati come riferimento sul tema.
Al momento l'unica strada plausibile affinché un DPO possa gestire un esigenza del genere, sembrerebbe quella di ricorrere alla strutturazione di un DPO team, ma purtroppo anche su questo punto è difficile avere riscontri concreti.
Qualcuno di voi può eventualmente fornirmi supporto a riguardo o in alternativa indicarmi degli esempi di realtà medio piccole (non multinazionali) del panorama italiano che abbiano come clienti un gruppo aziendale al cui interno sono presenti più società che necessitano di DPO e che abbiano abbiano deciso di strutturare un Team DPO invece che affidare l'incarico ad uno unico?
Ringrazio anticipatamente per il supporto che riuscirete a fornirmi.