Una volta stabilito l'obbligo, arriva subito un'altra domanda: chi? Un dipendente interno, un consulente esterno, un DPO condiviso tra più entità? Non esiste una scelta giusta in assoluto: esiste una scelta adatta al tuo carico di lavoro reale e a una trappola che quasi tutti dimenticano.

Prima la trappola: il conflitto di interessi

Il DPO controlla la conformità dei trattamenti. Per questo non può essere la persona che decide su quei trattamenti. Un amministratore, un direttore dei sistemi informativi, un direttore marketing o un responsabile della sicurezza informatica (RSSI) con potere decisionale controllerebbe sé stesso, cosa che la giustizia europea ha escluso in modo esplicito.

Il cumulo di funzioni non è vietato in sé. Lo diventa nel momento in cui l'altro ruolo permette di stabilire le finalità o i mezzi di un trattamento. È il motivo più frequente per cui «affidiamolo al nostro responsabile IT» è una cattiva idea.

Non si può essere allo stesso tempo chi decide il trattamento e chi verifica che sia legale.

Interno: la vicinanza, se il carico la giustifica

Un DPO interno conosce a fondo l'organizzazione ed è disponibile ogni giorno. Ha senso per una media impresa, una grande azienda o un settore sensibile, con trattamenti continui. Il rischio: l'isolamento, una collocazione gerarchica inadeguata e un tempo davvero insufficiente quando il ruolo è part-time.

Esterno: competenza e indipendenza

Un DPO esterno porta competenze specialistiche e un'indipendenza organizzativa naturale. Per una PMI con un carico regolare ma limitato è spesso il miglior rapporto tra tutela e costo, a patto che il contratto garantisca disponibilità, una sostituzione in caso di assenza e una vera conoscenza dei tuoi processi. Una prestazione di poche ore all'anno non va bene per una piattaforma digitale o per un'azienda che gestisce dati sensibili.

Condiviso e ibrido: per le strutture con più entità

Un gruppo può designare un unico DPO, a condizione che sia facilmente raggiungibile da ogni sede. Il modello ibrido, con un DPO centrale, una rete di referenti interni ed esperti esterni, si adatta bene alle medie imprese e ai gruppi: il DPO mantiene l'indipendenza del controllo, i referenti raccolgono le informazioni e avviano le azioni.

Il criterio decisivo: il carico reale

Prima di confrontare i preventivi, stima il carico: numero di entità, dipendenti e clienti, volume di progetti, richieste di esercizio dei diritti, incidenti, valutazioni d'impatto, subfornitori, paesi coinvolti. È questo dato, non il prezzo esposto, a dirti se un forfait regge.

  • Pochi trattamenti, nessun dato sensibile → esterno condiviso, forfait con un minimo garantito.
  • Attività digitale, HR, sanità o pubblicità → esterno specializzato o interno con tempo significativo, sostituzione obbligatoria.
  • Più entità, governance comune → DPO centrale + referenti, linee di escalation formalizzate.

Il test del conflitto di interessi

Elenca le funzioni della persona che hai in mente e chiediti se una di esse le permette di decidere su un trattamento. Se sì, cerca altrove. Poi quantifica il carico annuale prima di guardare qualsiasi tariffa: è l'unica base onesta per scegliere un modello che regga nel tempo.

Un DPO scelto male costa meno di uno buono, fino al giorno del controllo.