Si pensa spesso al DPO come a un'assicurazione da attivare quando qualcosa va storto. È l'esatto contrario. Il suo valore si gioca prima dell'incidente, quando una decisione può ancora essere cambiata. Se viene consultato a cose fatte, può solo constatare i danni.
La lezione di un caso reale
Nel 2025 una grande insegna ha installato telecamere nascoste nei propri magazzini. Il DPO è stato informato solo a dispositivo già installato, e ormai smontato. Tra le diverse violazioni, la CNIL ha contestato il mancato coinvolgimento tempestivo del DPO, infliggendo una sanzione complessiva di 100.000 euro.
Il messaggio è chiarissimo: consultare il DPO a progetto avviato non basta. Se non può più influenzare la decisione, l'obbligo non è rispettato. L'urgenza operativa non giustifica nulla: al contrario, impone di prevedere un sostituto e una consultazione preventiva.
Un parere dato troppo tardi non è un parere. È un verbale.
Il momento che cambia tutto
In concreto, un DPO utile viene coinvolto nell'impostazione di un progetto, non nella sua consegna: prima di acquistare un software, prima di progettare un algoritmo, prima di scegliere una base giuridica, prima di installare un sistema di sorveglianza. Alcuni temi fanno scattare questo passaggio in modo sistematico: dati sensibili, minori, biometria, scoring, IA, sorveglianza dei dipendenti, trasferimenti fuori dall'Europa, raccolta massiva.
La violazione dei dati: 72 ore, una volta sola
In caso di violazione dei dati il conto alla rovescia è breve: quando c'è un rischio, la notifica alla CNIL deve avvenire senza ingiustificato ritardo e, se possibile, entro 72 ore. Il DPO deve essere informato subito e darti consigli sul rischio e sulla documentazione, ma la decisione di notificare resta in capo al titolare del trattamento.
Senza una procedura né un sostituto, quelle 72 ore si perdono in riunioni. Una casella dpo@ non presidiata durante le ferie, la dipendenza da una sola persona, l'assenza di un accesso d'emergenza: sono dettagli che, quel giorno, costano una notifica fuori termine.
Ciò che un DPO non fa, ed è importante
Un DPO non si fa carico della tua responsabilità. Consiglia, controlla, segnala in modo indipendente; la responsabilità di dimostrare la conformità resta tua. Se un fornitore ti promette «zero sanzioni», dovresti insospettirti: non è ciò che prevede la legge, e non è ciò che ti protegge.
Ciò che ti protegge è la traccia: i pareri resi e datati, le scelte assunte quando ti discosti dal parere, la prova che il DPO è stato consultato in tempo. Il giorno del controllo, è questo dossier a parlare per te.
Due azioni da fare fin da oggi
Aggiungi una casella «parere DPO» ai tuoi progetti che toccano i dati e scrivi fin da oggi la tua procedura per le violazioni: chi dà l'allarme, chi decide, chi sostituisce durante le assenze. Questi due riflessi valgono più di qualsiasi clausola in un contratto.
Il momento migliore per chiamare il tuo DPO è prima. Il peggiore è quando la CNIL ha già chiamato.
