Il fac-simile di nomina DPO è il documento con cui un’organizzazione formalizza la designazione del Responsabile della protezione dei dati, indicato anche come RPD o DPO. Serve a identificare in modo chiaro il soggetto incaricato, a precisarne i recapiti, a definire l’ambito dell’incarico e a richiamare i compiti essenziali connessi al ruolo.
Può essere utile sia quando la nomina è richiesta dall’assetto dei trattamenti svolti, sia quando l’organizzazione decide di affidare comunque l’incarico per ragioni di ordine interno, governance o presidio della privacy. Il documento va compilato con attenzione, perché i dati inseriti, le dichiarazioni rese e i riferimenti organizzativi devono essere coerenti con la struttura reale dell’ente o dell’impresa e con il soggetto scelto come DPO. Un testo impostato in modo impreciso può creare ambiguità sul perimetro dell’incarico, sui contatti da utilizzare, sulle funzioni effettivamente svolte e sulle eventuali interferenze con altri ruoli interni o esterni. Per questo il modello va adattato al caso concreto, verificando sempre la correttezza dei riferimenti, la chiarezza delle firme e la presenza degli allegati realmente necessari.
Indice
Come scrivere una nomina DPO
La nomina del Responsabile della protezione dei dati deve essere redatta come un atto formale e coerente con l’organizzazione che la emette. Il primo elemento da curare è l’identificazione del soggetto che procede alla designazione: non basta indicare il nome commerciale o una sigla, perché nel documento devono comparire la denominazione completa, la forma giuridica, i dati fiscali e, quando pertinenti, la sede legale e l’eventuale sede operativa rilevante. Se l’ente appartiene a un gruppo societario, il riferimento può essere utile solo se serve a chiarire il perimetro dell’incarico, senza creare confusioni tra società diverse. Anche l’indicazione del legale rappresentante pro tempore va compilata con precisione, perché è il dato che consente di collegare l’atto alla persona autorizzata a firmarlo.
Accanto ai dati dell’organizzazione occorre descrivere la sua posizione rispetto al trattamento. In molti casi il soggetto che nomina il DPO è il titolare del trattamento, ma il fac-simile può essere usato anche da un responsabile del trattamento, se coerente con la struttura concreta del rapporto. Questa informazione non è meramente formale, perché incide sul tipo di incarico, sulla catena delle responsabilità e sull’individuazione dei destinatari dei flussi informativi. Se il documento viene predisposto in un contesto in cui la nomina è stata valutata internamente, può essere opportuno richiamare in premessa la decisione che ha portato alla designazione, oppure il contratto di servizi se il DPO è esterno. In questa parte è preferibile essere descrittivi e sobri, evitando formule generiche che non chiariscano il motivo dell’atto.
La sezione centrale del documento deve identificare senza ambiguità il DPO. Se il soggetto è una persona fisica, vanno indicati nome, cognome, qualifica professionale, indirizzo professionale, e-mail dedicata, numero telefonico ed eventuale PEC. Se invece l’incarico è affidato a una società o a un fornitore esterno, il testo dovrebbe distinguere con cura la denominazione della società da quella della persona fisica che svolge concretamente il ruolo all’interno della struttura del fornitore. Questa distinzione è importante perché il punto di contatto operativo deve essere reale, monitorato e idoneo a ricevere richieste da interessati, autorità di controllo e soggetti interni autorizzati. Un indirizzo aziendale generico, non presidiato, rischia di essere insufficiente se non è organizzato come canale effettivo di gestione delle comunicazioni.
Nel formulare l’oggetto della designazione conviene usare una scrittura netta: il soggetto indicato è designato quale Responsabile della protezione dei dati per l’organizzazione o per l’insieme delle entità espressamente richiamate nel documento. Qui è utile precisare l’ambito organizzativo dell’incarico, le sedi coinvolte, le eventuali società comprese e il territorio di operatività, specie quando il servizio riguarda più unità o più soggetti dello stesso gruppo. Se si tratta di una nomina comune per più organizzazioni, il fac-simile deve dirlo chiaramente, oppure rinviare a un allegato che elenchi le entità interessate. L’ambiguità su questo punto è uno degli errori più comuni, perché rende difficile capire chi sia effettivamente coperto dall’incarico e chi invece resti escluso.
La decorrenza e la durata devono essere indicate in modo preciso. È preferibile inserire una data di inizio completa e, se prevista, una data di scadenza o una durata determinata; in alternativa, se il rapporto è continuativo, il testo deve dirlo senza formule incerte. Anche quando il documento è collegato a un contratto di servizi o a una decisione interna, la data deve restare leggibile nel corpo della nomina, così da evitare dubbi sul momento in cui l’incarico produce effetti. Se esiste una continuità automatica o una previsione di rinnovo, la clausola va scritta con cautela e in coerenza con il resto dell’impianto documentale, perché una formulazione poco chiara può creare problemi di ricostruzione della titolarità del ruolo nel tempo.
Un’altra parte essenziale riguarda i compiti del DPO. Il testo non dovrebbe limitarsi a un richiamo astratto alla normativa, ma deve ricordare le funzioni fondamentali del ruolo: informare e fornire consulenza, sorvegliare l’osservanza delle regole e delle politiche interne, fornire un parere sulle valutazioni d’impatto quando richiesto, cooperare con l’autorità di controllo e fungere da punto di contatto. Questa sezione va scritta in modo da descrivere il contenuto dell’incarico senza trasformare il DPO in un soggetto operativo che decide finalità e mezzi del trattamento o che assume responsabilità gestionali incompatibili con la sua funzione di controllo. Il linguaggio, quindi, deve essere preciso ma prudente, evitando attribuzioni improprie di poteri decisionali o compiti esecutivi che potrebbero generare un conflitto con il ruolo di garanzia.
Il documento dovrebbe poi chiarire la posizione del DPO all’interno dell’organizzazione. È opportuno inserire una formula che esprima autonomia e indipendenza nello svolgimento dei compiti, precisando che non riceve istruzioni in merito all’esecuzione delle attività connesse al ruolo. La nomina deve anche prevedere che il DPO disponga del necessario supporto, dell’accesso alle informazioni e delle risorse utili a svolgere l’incarico. Se esistono referenti interni, canali di accesso documentale o periodicità dei confronti con il vertice, è utile richiamarli, purché il testo non riduca il DPO a un ufficio subordinato a istruzioni operative incompatibili con la sua indipendenza. La chiarezza su questo punto tutela sia l’organizzazione sia il soggetto designato.
La riservatezza merita una clausola autonoma. Il fac-simile può richiamare l’obbligo del DPO di mantenere la riservatezza o il segreto rispetto alle informazioni conosciute nell’esercizio delle funzioni, nei limiti previsti dalla disciplina applicabile e dagli eventuali obblighi professionali. Se il soggetto designato è un professionista esterno o una società fornitrice, è possibile aggiungere ulteriori impegni di riservatezza, purché non svuotino il contenuto del ruolo né introducano condizioni incoerenti con la funzione di controllo. Anche la parte sui conflitti di interesse va gestita con attenzione. Non è sufficiente una dichiarazione stereotipata di assenza di conflitti: il testo dovrebbe prevedere che il soggetto designato comunichi eventuali incarichi o rapporti che possano incidere sull’indipendenza, e l’organizzazione dovrebbe valutare se siano necessarie misure organizzative ulteriori. Ruoli di vertice, funzioni decisionali su trattamenti, incarichi in area IT, risorse umane, compliance o sicurezza possono richiedere una verifica concreta, perché la compatibilità non si presume in modo automatico.
L’accettazione dell’incarico è un passaggio che non andrebbe trascurato. Il fac-simile dovrebbe contenere una formula con cui il soggetto nominato dichiara di accettare il ruolo alle condizioni indicate e di impegnarsi allo svolgimento dei compiti previsti. Se vi sono riserve, note o precisazioni, è utile inserirle nello stesso documento o in un allegato, evitando però formulazioni ambigue che possano mettere in dubbio la presa d’atto dell’incarico. In presenza di un DPO esterno, può essere opportuno richiamare anche il contratto di servizi o la delibera interna che supporta la designazione, così da mantenere allineati documento di nomina, rapporto contrattuale e struttura organizzativa.
La chiusura deve riportare luogo e data, nonché le firme necessarie. È buona regola prevedere la firma del soggetto che nomina per conto dell’organizzazione e la firma per accettazione del DPO; se interviene una società fornitrice del servizio, può essere utile anche la firma del suo rappresentante. Le firme non vanno trattate come un mero formalismo, perché servono a rendere leggibile chi assume l’iniziativa, chi accetta il ruolo e chi, eventualmente, rappresenta il fornitore. Se il documento è predisposto in un sistema di gestione documentale, conviene indicare anche numero documento, versione e data di revisione, così da distinguere il testo vigente da eventuali versioni precedenti.
Gli allegati vanno indicati solo se realmente necessari e pertinenti. Possono essere utili il contratto di servizi, la delibera o decisione interna, l’elenco delle entità comprese nell’incarico, un profilo professionale sintetico o una procedura interna per i contatti con il DPO. Non è necessario appesantire il fascicolo con documenti eccedenti rispetto alla finalità della nomina. In generale è preferibile evitare dati non indispensabili, come documenti di identità o informazioni personali ulteriori, salvo che una specifica procedura interna li richieda davvero. La copia firmata dovrebbe essere conservata secondo le regole documentali interne, in modo da poter dimostrare in ogni momento chi è stato designato, con quali funzioni e da quando decorre l’incarico.
Un supporto professionale può essere utile quando non è chiaro se la nomina sia obbligatoria, quando l’organizzazione tratta dati sensibili o su larga scala, quando il DPO è interno ma ricopre altri ruoli delicati, oppure quando il servizio è affidato a una società esterna e occorre coordinare correttamente nomina, contratto e comunicazioni. La stessa cautela è opportuna se il documento viene usato in un gruppo societario, in un ente pubblico o in una situazione di sostituzione del DPO precedente. In questi casi il fac-simile resta una base di lavoro, ma il testo finale dovrebbe essere verificato da un consulente, da un ufficio competente o da un professionista che possa valutare coerenza organizzativa, conflitti di interesse, ambito dell’incarico e correttezza formale della documentazione.
Esempio nomina DPO
NOMINA DEL RESPONSABILE DELLA PROTEZIONE DEI DATI
L’organizzazione ___________
forma giuridica _________
codice fiscale _________
partita IVA _________
sede legale _________
eventuale sede operativa rilevante _________
numero REA, se pertinente _________
nella persona del legale rappresentante pro tempore _________
qualifica del legale rappresentante _________
ruolo dell’organizzazione rispetto al trattamento _________
eventuale appartenenza a gruppo societario _________
PREMESSO CHE
l’organizzazione sopra indicata svolge trattamenti di dati personali nell’ambito delle proprie attività;
la designazione del Responsabile della protezione dei dati è effettuata in conformità al Regolamento (UE) 2016/679 e alla normativa applicabile;
la presente nomina è disposta in relazione a _________
eventuale riferimento alla verifica sull’obbligatorietà della nomina _________
eventuale riferimento alla delibera, decisione interna o contratto di servizi _________
SI NOMINA
quale Responsabile della protezione dei dati, anche indicato come RPD o DPO,
nome e cognome, se persona fisica _________
denominazione sociale, se soggetto esterno o società fornitrice _________
codice fiscale o partita IVA, se pertinente _________
qualifica o ruolo _________
indirizzo professionale _________
indirizzo e-mail dedicato _________
numero telefonico _________
indirizzo PEC, se pertinente _________
nominativo della persona fisica incaricata all’interno della società fornitrice, se applicabile _________
OGGETTO DELL’INCARICO
Il soggetto sopra indicato è designato quale Responsabile della protezione dei dati per _________
ambito organizzativo dell’incarico _________
entità comprese nell’incarico _________
sedi comprese nell’incarico _________
territorio di operatività _________
eventuale riferimento a più organizzazioni o società del gruppo _________
DECORRENZA E DURATA
La presente designazione decorre dal _________
la durata dell’incarico è _________
eventuale data di scadenza _________
eventuale previsione di rinnovo o continuità dell’incarico _________
RECAPITI PER IL CONTATTO
Il DPO potrà essere contattato ai seguenti recapiti
e-mail _________
PEC _________
telefono _________
indirizzo professionale _________
I recapiti indicati sono destinati a essere utilizzati da interessati, autorità di controllo e soggetti interni autorizzati secondo le procedure dell’organizzazione.
COMPITI DEL DPO
Il DPO svolge i compiti previsti dalla normativa applicabile, tra cui
informare e fornire consulenza al titolare del trattamento o al responsabile del trattamento, nonché ai dipendenti che eseguono il trattamento, in merito agli obblighi derivanti dalla normativa in materia di protezione dei dati personali;
sorvegliare l’osservanza della normativa applicabile, delle politiche dell’organizzazione in materia di protezione dei dati personali e dell’eventuale attribuzione delle responsabilità, della sensibilizzazione e della formazione del personale coinvolto nei trattamenti, nonché delle attività di audit;
fornire, se richiesto, un parere in merito alla valutazione d’impatto sulla protezione dei dati e sorvegliarne lo svolgimento;
cooperare con l’autorità di controllo;
fungere da punto di contatto per l’autorità di controllo per questioni connesse al trattamento, compresa la consultazione preventiva, ed effettuare, se del caso, consultazioni su qualunque altra questione.
POSIZIONE, INDIPENDENZA E RISORSE
Il DPO opera in autonomia e indipendenza nello svolgimento dei compiti previsti dalla normativa applicabile.
Il DPO non riceve istruzioni per quanto riguarda l’esecuzione di tali compiti.
L’organizzazione assicura al DPO il necessario supporto, le risorse adeguate e l’accesso alle informazioni, ai dati, alle persone e alle strutture necessari per lo svolgimento dell’incarico.
Il DPO riferisce direttamente al vertice dell’organizzazione.
Eventuali referenti interni di supporto _________
modalità di accesso alle informazioni e alle risorse _________
periodicità dei report o degli incontri con il vertice _________
RISERVATEZZA
Il DPO è tenuto alla riservatezza o al segreto in relazione all’esercizio dei propri compiti, nei limiti previsti dalla normativa applicabile e dagli obblighi professionali eventualmente applicabili.
eventuali ulteriori impegni di riservatezza _________
CONFLITTI DI INTERESSE
Il soggetto designato dichiara di aver comunicato all’organizzazione eventuali incarichi, funzioni o rapporti che possano incidere sulla piena indipendenza nello svolgimento del ruolo.
dichiarazione sull’assenza di conflitti di interesse, formulata con cautela _________
eventuali altri incarichi ricoperti _________
eventuali misure organizzative adottate per prevenire conflitti di interesse _________
ACCETTAZIONE DELL’INCARICO
Il soggetto designato dichiara di accettare l’incarico di Responsabile della protezione dei dati alle condizioni sopra indicate e di impegnarsi allo svolgimento dei compiti previsti dalla normativa applicabile.
eventuali riserve o note di accettazione _________
ALLEGATI
eventuale contratto di servizi _________
eventuale delibera o decisione interna _________
eventuale elenco delle entità comprese nell’incarico _________
eventuale profilo professionale o nota competenze _________
eventuale procedura interna per i contatti con il DPO _________
eventuale altro allegato _________
GESTIONE DOCUMENTALE
numero documento _________
versione _________
data di revisione _________
luogo _________
data _________
FIRME
Per l’organizzazione
nome e cognome _________
qualifica _________
firma _________
Per accettazione del DPO
nome e cognome o denominazione _________
qualifica _________
firma _________
Per la società fornitrice del servizio, se applicabile
nome e cognome del firmatario _________
qualifica _________
ragione sociale _________
firma ___________
Fac simile nomina DPO Word
Il fac-simile nomina DPO in formato Word può essere scaricato, aperto e modificato con facilità. Il file è pensato per essere compilato con i dati corretti dell’organizzazione, del soggetto designato e dell’ambito dell’incarico, così da adattarlo al caso concreto senza lasciare campi equivoci o informazioni incoerenti.
Prima di utilizzare il documento è opportuno verificare che le parti compilate corrispondano alla struttura reale dell’ente o dell’impresa e che le clausole richiamate siano compatibili con il rapporto interno o con il servizio esterno affidato al DPO. Quando la nomina incide su assetti aziendali, organizzativi o contrattuali, può essere utile far controllare il testo da un professionista o dall’ufficio competente.
Di seguito è disponibile il modello Word da scaricare.
