«Siamo troppo piccoli per essere coinvolti.» È la frase che si sente più spesso a proposito del responsabile della protezione dei dati. Quasi sempre è sbagliata, non perché l'azienda sia obbligata a nominarne uno, ma perché le dimensioni non sono mai il criterio giusto.
Il GDPR non fissa nessuna soglia di dipendenti, clienti o fatturato. Guarda una cosa sola: ciò che fai con i dati personali. Tre situazioni rendono obbligatoria la designazione.
Caso 1: sei un organismo pubblico
Le autorità e gli organismi pubblici devono designare un DPO, qualunque sia il volume di dati trattati. È il caso più semplice da individuare: il criterio non dipende né dall'organico né dall'attività.
Caso 2: monitori le persone su larga scala
Se il cuore della tua attività consiste nell'osservare le persone in modo regolare e sistematico, su larga scala, il DPO diventa obbligatorio. In concreto: tracciamento online, profilazione comportamentale, geolocalizzazione, pubblicità mirata, scoring, prevenzione delle frodi, oggetti connessi.
«Larga scala» non si misura con un numero magico. Si valutano insieme il numero di persone interessate, il volume e la varietà dei dati, la durata del trattamento e la sua estensione geografica.
Un'attività apparentemente «di supporto» diventa un'attività principale nel momento in cui è esattamente il servizio che vendi.
Caso 3: tratti dati sensibili su larga scala
Dati sanitari, biometria, opinioni, appartenenza sindacale, orientamento sessuale, reati e condanne: se tratti queste categorie su larga scala e sono al centro della tua attività, la designazione è dovuta. Il livello di competenza e di sicurezza richiesto sale di un gradino.
Fuori da questi casi: facoltativo, ma raramente neutro
Se nessuno dei tre casi si applica, non sei obbligato. Molte aziende scelgono comunque di designare un DPO volontario, perché i loro trattamenti sono numerosi, complessi o sensibili. Attenzione a un punto poco noto: un DPO volontario è soggetto allo stesso regime di un DPO obbligatorio: indipendenza, risorse, assenza di conflitto di interessi, compiti previsti dalla normativa. Non si nomina un DPO «tanto per bellezza».
Il vero obbligo è averci riflettuto
Anche quando la risposta è «no», il GDPR si aspetta che tu sia in grado di dimostrarlo. La buona pratica sta in una pagina: una nota datata che descrive le tue attività, le categorie di dati, i meccanismi di monitoraggio, i volumi, e che conclude sull'obbligo, o sulla sua assenza.
Questa nota va rivista a ogni cambio di scala: un'acquisizione, un nuovo prodotto digitale, una piattaforma di IA, una centralizzazione dei dati, un'espansione internazionale. È lei che, il giorno di un controllo, dimostra che non hai ignorato la questione.
Una sola domanda, prima di tutto il resto
Poniti una sola domanda prima di tutto il resto: il monitoraggio delle persone o il trattamento di dati sensibili è al centro della mia attività, su larga scala? Se sì, la designazione non è un'opzione. Se no, scrivilo nero su bianco, datalo e archivia la nota insieme alle tue prove di conformità.
La domanda giusta non è «sono abbastanza grande?», ma «che cosa faccio, davvero, dei dati che raccolgo?»
