Privacy dal 25 maggio: il T.U. sarà sostituito dal Regolamento UE 679/2016
Dal 25 maggio il codice privacy (D. Lgs. 196/2003) — il Testo Unico sulla privacy che ha disciplinato il trattamento dei dati personali in Italia per oltre un decennio — lascia il posto al Regolamento UE 679/2016 (GDPR), dopo che il Consiglio dei Ministri ha approvato in via preliminare un decreto legislativo ad hoc. La domanda che imprese, professionisti e pubbliche amministrazioni si pongono è concreta: cosa cambia davvero, e come adeguarsi senza incorrere nelle pesanti sanzioni previste dalla nuova disciplina?
A partire da tale data le nuove regole sulla privacy convivranno con le vecchie norme, a patto che queste ultime siano ritenute compatibili con la normativa europea. In pratica, dal 25 maggio non ci sarà più il testo unico sulla privacy come riferimento esclusivo: occorrerà fare riferimento congiuntamente al decreto legislativo di adeguamento e al Regolamento UE. Per evitare confusione tra le due normative — quella interna e quella europea — tutte le norme saranno armonizzate da un provvedimento attuativo.
Perché il T.U. sulla privacy viene sostituito dal Regolamento UE
Il Regolamento UE 679/2016 è uno strumento di diritto derivato dell’Unione direttamente applicabile in tutti gli Stati membri, senza necessità di recepimento nazionale. Questo significa che, a differenza delle direttive, il GDPR non lascia agli Stati la facoltà di modellarne il contenuto: stabilisce un quadro uniforme di protezione dei dati personali valido in tutta l’Unione europea. Il T.U. privacy italiano (D. Lgs. 196/2003), nato in attuazione della previgente Direttiva 95/46/CE, risulta pertanto strutturalmente incompatibile con il nuovo impianto regolatorio e deve cedere il passo.
La sostituzione non è meramente formale. Il GDPR introduce un cambio di paradigma: si passa da un sistema basato su adempimenti formali predeterminati (notifiche, autorizzazioni, misure minime di sicurezza) a un approccio fondato sul principio di accountability, che richiede al titolare del trattamento di dimostrare — in modo proattivo e documentato — la conformità alle regole. Comprendere questa transizione è il primo passo per una corretta gestione del rischio privacy.
Le principali novità per le imprese
Tra le novità che arriveranno per le imprese con la sostituzione del T.U. da parte del Regolamento UE, spicca fra tutte la nuova figura del responsabile della protezione dei dati (RPD), meglio noto con l’acronimo inglese DPO (Data Protection Officer). Tale soggetto potrà essere individuato sia all’interno dell’azienda che all’esterno (può trattarsi anche di una persona giuridica).
Il Garante della privacy è intervenuto con alcuni chiarimenti (FAQ) forniti proprio per aiutare i privati — società, imprenditori, sindacati, liberi professionisti, banche, fondazioni, partiti politici, Caf, ecc. — a individuare il DPO, ma anche a comprendere chi sarà tenuto a prevedere tale figura professionale e chi no.
La figura del responsabile privacy avrà un ruolo molto importante, perché funzionale al nuovo concetto di privacy che avrà valenza unica per tutti i Paesi dell’Unione. Il DPO dovrà possedere un’adeguata conoscenza dei processi di gestione delle informazioni e, in piena autonomia, dovrà agire per garantire il rispetto — da parte dell’azienda o della struttura in cui opera — del Regolamento europeo e di tutta la normativa ad esso connessa, con la predisposizione altresì di misure adeguate di protezione per evitare tutti i rischi connessi alla privacy.
Al riguardo il Garante ha precisato che il DPO non dovrà possedere particolari abilitazioni, titoli di studio o certificazioni ad hoc. Si stima che nel prossimo futuro sarà una figura particolarmente richiesta: ne serviranno nel nostro Paese circa 40.000 tra settore privato e pubblica amministrazione.
Le FAQ del Garante sul Responsabile della Protezione dei Dati (RPD/DPO) in ambito privato
Riportiamo di seguito le risposte fornite dal Garante della privacy sul Responsabile della Protezione dei Dati in ambito privato.
1. Chi è il responsabile della protezione dei dati personali (RPD) e quali sono i suoi compiti?
Il responsabile della protezione dei dati personali (anche conosciuto con la dizione in lingua inglese data protection officer – DPO) è una figura prevista dall’art. 37 del Regolamento (UE) 2016/679. Si tratta di un soggetto designato dal titolare o dal responsabile del trattamento per assolvere a funzioni di supporto e controllo, consultive, formative e informative relativamente all’applicazione del Regolamento medesimo. Coopera con l’Autorità (e proprio per questo, il suo nominativo va comunicato al Garante; v. FAQ 6) e costituisce il punto di contatto, anche rispetto agli interessati, per le questioni connesse al trattamento dei dati personali (artt. 38 e 39 del Regolamento).
→ Leggi anche: Diritto alla privacy del lavoratore vs controllo aziendale: bilanciamento dopo la sentenza della Corte Costituzionale 2025
2. Quali requisiti deve possedere il responsabile della protezione dei dati personali?
Il responsabile della protezione dei dati personali, al quale non sono richieste specifiche attestazioni formali o l’iscrizione in appositi albi, deve possedere un’approfondita conoscenza della normativa e delle prassi in materia di privacy, nonché delle norme e delle procedure amministrative che caratterizzano lo specifico settore di riferimento.
Deve poter offrire, con il grado di professionalità adeguato alla complessità del compito da svolgere, la consulenza necessaria per progettare, verificare e mantenere un sistema organizzato di gestione dei dati personali, coadiuvando il titolare nell’adozione di un complesso di misure (anche di sicurezza) e garanzie adeguate al contesto in cui è chiamato a operare. Deve inoltre agire in piena indipendenza (considerando 97 del Regolamento UE 2016/679) e autonomia, senza ricevere istruzioni e riferendo direttamente ai vertici.
Il responsabile della protezione dei dati personali deve poter disporre, infine, di risorse (personale, locali, attrezzature, ecc.) necessarie per l’espletamento dei propri compiti.
3. Chi sono i soggetti privati obbligati alla sua designazione?
Sono tenuti alla designazione del responsabile della protezione dei dati personali il titolare e il responsabile del trattamento che rientrino nei casi previsti dall’art. 37, par. 1, lett. b) e c), del Regolamento (UE) 2016/679. Si tratta di soggetti le cui principali attività (in primis, le attività c.d. di “core business”) consistono in trattamenti che richiedono il monitoraggio regolare e sistematico degli interessati su larga scala o in trattamenti su larga scala di categorie particolari di dati personali o di dati relative a condanne penali e a reati (per quanto attiene alle nozioni di “monitoraggio regolare e sistematico” e di “larga scala”, v. le Linee-guida sui responsabili della protezione dei dati del 5 aprile 2017, WP 243). Il diritto dell’Unione o degli Stati membri può prevedere ulteriori casi di designazione obbligatoria del responsabile del trattamento dei dati personali (art. 37, par. 4).
Ricorrendo i suddetti presupposti, sono tenuti alla nomina, a titolo esemplificativo e non esaustivo: istituti di credito; imprese assicurative; sistemi di informazione creditizia; società finanziarie; società di informazioni commerciali; società di revisione contabile; società di recupero crediti; istituti di vigilanza; partiti e movimenti politici; sindacati; caf e patronati; società operanti nel settore delle “utilities” (telecomunicazioni, distribuzione di energia elettrica o gas); imprese di somministrazione di lavoro e ricerca del personale; società operanti nel settore della cura della salute, della prevenzione/diagnostica sanitaria quali ospedali privati, terme, laboratori di analisi mediche e centri di riabilitazione; società di call center; società che forniscono servizi informatici; società che erogano servizi televisivi a pagamento.
4. Chi sono i soggetti per i quali non è obbligatoria la designazione del responsabile della protezione dei dati personali?
Nei casi diversi da quelli previsti dall’art. 37, par. 1, lett. b) e c), del Regolamento (UE) 2016/679, la designazione del responsabile del trattamento non è obbligatoria (ad esempio, in relazione a trattamenti effettuati da liberi professionisti operanti in forma individuale; agenti, rappresentanti e mediatori operanti non su larga scala; imprese individuali o familiari; piccole e medie imprese, con riferimento ai trattamenti dei dati personali connessi alla gestione corrente dei rapporti con fornitori e dipendenti: v. anche considerando 97 del Regolamento, in relazione alla definizione di attività “accessoria”).
In ogni caso, resta comunque raccomandata, anche alla luce del principio di “accountability” che permea il Regolamento, la designazione di tale figura (v., in proposito, le menzionate Linee-guida sui responsabili della protezione dei dati del 5 aprile 2017, WP 243), i cui criteri di nomina, in tale evenienza, rimangono gli stessi sopra indicati.
5. È possibile nominare un unico responsabile della protezione dei dati personali nell’ambito di un gruppo imprenditoriale?
Il Regolamento (UE) 2016/679 prevede che un gruppo imprenditoriale (v. definizione di cui all’art. 4, n. 19) possa designare un unico responsabile della protezione dei dati personali, purché tale responsabile sia facilmente raggiungibile da ciascuno stabilimento (sul concetto di “raggiungibilità”, v. punto 2.3 delle linee guida in precedenza menzionate). Inoltre, dovrà essere in grado di comunicare in modo efficace con gli interessati e di collaborare con le autorità di controllo.
6. Il responsabile della protezione dei dati personali deve essere un soggetto interno o può essere anche un soggetto esterno? Quali sono le modalità per la sua designazione?
Il ruolo di responsabile della protezione dei dati personali può essere ricoperto da un dipendente del titolare o del responsabile (non in conflitto di interessi) che conosca la realtà operativa in cui avvengono i trattamenti; l’incarico può essere anche affidato a soggetti esterni, a condizione che garantiscano l’effettivo assolvimento dei compiti che il Regolamento (UE) 2016/679 assegna a tale figura. Il responsabile della protezione dei dati scelto all’interno andrà nominato mediante specifico atto di designazione, mentre quello scelto all’esterno, che dovrà avere le medesime prerogative e tutele di quello interno, dovrà operare in base a un contratto di servizi. Tali atti, da redigere in forma scritta, dovranno indicare espressamente i compiti attribuiti, le risorse assegnate per il loro svolgimento, nonché ogni altra utile informazione in rapporto al contesto di riferimento.
Nell’esecuzione dei propri compiti, il responsabile della protezione dei dati personali (interno o esterno) dovrà ricevere supporto adeguato in termini di risorse finanziarie, infrastrutturali e, ove opportuno, di personale. Il titolare o il responsabile del trattamento che abbia designato un responsabile per la protezione dei dati personali resta comunque pienamente responsabile dell’osservanza della normativa in materia di protezione dei dati e deve essere in grado di dimostrarla (art. 5, par. 2, del Regolamento; v. anche i punti 3.2 e 3.3. delle linee guida sopra richiamate).
→ Leggi anche: Telelavoro e controllo del datore di lavoro: i limiti della videosorveglianza secondo la giurisprudenza italiana 2025-2026
I dati di contatto del responsabile designato dovranno essere infine pubblicati dal titolare o responsabile del trattamento. Non è necessario — anche se potrebbe rappresentare una buona prassi — pubblicare anche il nominativo del responsabile della protezione dei dati: spetta al titolare o al responsabile e allo stesso responsabile della protezione dei dati valutare se, in base alle specifiche circostanze, possa trattarsi di un’informazione utile o necessaria. Il nominativo del responsabile della protezione dei dati e i relativi dati di contatto vanno invece comunicati all’Autorità di controllo. A tal fine, allo stato, è possibile utilizzare il Modello comunicazione al Garante dei dati dell’RPD.
7. Il ruolo di responsabile della protezione dei dati personali è compatibile con altri incarichi?
Sì, a condizione che non sia in conflitto di interessi. In tale prospettiva, appare preferibile evitare di assegnare il ruolo di responsabile della protezione dei dati personali a soggetti con incarichi di alta direzione (amministratore delegato; membro del consiglio di amministrazione; direttore generale; ecc.), ovvero nell’ambito di strutture aventi potere decisionale in ordine alle finalità e alle modalità del trattamento (direzione risorse umane, direzione marketing, direzione finanziaria, responsabile IT ecc.). Da valutare, in assenza di conflitti di interesse e in base al contesto di riferimento, l’eventuale assegnazione di tale incarico ai responsabili delle funzioni di staff (ad esempio, il responsabile della funzione legale).
8. Il responsabile della protezione dei dati personali è una persona fisica o può essere anche un soggetto diverso?
Il Regolamento (UE) 2016/679 prevede espressamente che il responsabile della protezione dei dati personali possa essere un “dipendente” del titolare o del responsabile del trattamento (art. 37, par. 6, del Regolamento); ovviamente, nelle realtà organizzative di medie e grandi dimensioni, il responsabile della protezione dei dati personali, da individuarsi comunque in una persona fisica, potrà essere supportato anche da un apposito ufficio dotato delle competenze necessarie ai fini dell’assolvimento dei propri compiti.
Qualora il responsabile della protezione dei dati personali sia individuato in un soggetto esterno, quest’ultimo potrà essere anche una persona giuridica (v. il punto 2.4 delle suddette Linee guida).
Si raccomanda, in ogni caso, di procedere a una chiara ripartizione di competenze, individuando una sola persona fisica atta a fungere da punto di contatto con gli interessati e l’Autorità di controllo.
T.U. privacy e Regolamento UE a confronto: le differenze operative principali
Per i pratici del diritto e per i responsabili aziendali, è utile riepilogare in modo sintetico le differenze operative più rilevanti tra il vecchio Testo Unico sulla privacy e il nuovo Regolamento UE 679/2016 che lo sostituisce dal 25 maggio.
- Notifiche al Garante: il T.U. prevedeva l’obbligo di notifica preventiva per determinate categorie di trattamenti; il GDPR elimina tale obbligo e lo sostituisce con il registro delle attività di trattamento, tenuto internamente dal titolare.
- Misure minime di sicurezza: il vecchio codice elencava misure minime tassative (Allegato B); il GDPR adotta un approccio flessibile basato sul rischio, richiedendo misure «adeguate» al contesto.
- Informativa e consenso: i requisiti si fanno più stringenti: l’informativa deve essere concisa, trasparente e facilmente accessibile; il consenso deve essere inequivocabile e liberamente revocabile.
- Sanzioni: le sanzioni amministrative previste dal GDPR sono significativamente più elevate rispetto a quelle del T.U., potendo raggiungere fino al 4% del fatturato mondiale annuo o 20 milioni di euro.
- Diritti degli interessati: il GDPR introduce nuovi diritti, tra cui il diritto alla portabilità dei dati e il diritto all’oblio, ampliando il catalogo già previsto dal T.U.
Domande frequenti (FAQ) sulla sostituzione del T.U. privacy con il Regolamento UE
Il D. Lgs. 196/2003 è stato completamente abrogato?
Non integralmente. Il decreto legislativo di adeguamento ha abrogato le disposizioni del D. Lgs. 196/2003 incompatibili con il GDPR, mantenendo in vigore quelle compatibili e integrandole con le specificità nazionali consentite dal Regolamento (c.d. clausole di apertura). Il risultato è un corpus normativo ibrido, in cui il GDPR costituisce la fonte primaria e il decreto legislativo nazionale funge da complemento.
Chi controlla il rispetto del Regolamento UE in Italia?
Il Garante per la protezione dei dati personali rimane l’autorità di controllo nazionale competente. Nell’ambito del meccanismo di cooperazione previsto dal GDPR, il Garante italiano collabora con le omologhe autorità degli altri Stati membri attraverso il Comitato europeo per la protezione dei dati (EDPB).
Le PMI sono esonerate dagli obblighi del GDPR?
No. Le piccole e medie imprese sono soggette al GDPR al pari delle grandi aziende, sebbene alcune semplificazioni siano previste — ad esempio, l’esonero dall’obbligo di tenuta del registro delle attività di trattamento per le imprese con meno di 250 dipendenti, salvo eccezioni. In ogni caso, tutti i principi fondamentali del Regolamento si applicano indipendentemente dalle dimensioni del titolare del trattamento.
La nomina del DPO è sempre obbligatoria?
No. Come chiarito nelle FAQ del Garante riportate sopra, la nomina del DPO è obbligatoria solo per i soggetti che rientrano nelle ipotesi di cui all’art. 37, par. 1, lett. b) e c) del GDPR. Per tutti gli altri, la designazione è facoltativa ma raccomandata alla luce del principio di accountability.
Questo articolo è stato realizzato con il supporto dell'AI e sottoposto a revisione editoriale.
