Nuove linee guida dal versante Garante per la protezione dati europeo (EDPS) volte a proteggere l’indipendenza del DPO all’interno di tutte le istituzioni della UE, laddove la sua presenza è obbligatoria secondo il Regolamento (UE) 2018/1725 cd EUDPR.
Di qui, a distanza di 8 anni, l’EDPS elabora il documento in parola teso a proteggere l’indipendenza del DPO e rafforzane ulteriormente il ruolo.
Indice degli argomenti
DPO nelle istituzioni UE: l’importanza della guida di EDPS
Verso la fine dell’anno scorso, il 18 dicembre 2025, l’EDPS ha pubblicato delle Linee guida sul ruolo del DPO nelle istituzioni della UE (IUE). Si tratta, per l’appunto, di una guida in cui si evince l’interpretazione del Garante europeo per la protezione dei dati sul ruolo, posizione e compiti del DPO obbligatorio in tali istituzioni.
L’obiettivo è chiaro: supportare gli IUE al fine di garantire l’applicazione efficace, indipendente e coerente della normativa dell’Unione in materia di protezione dei dati (Reg. 2018/1725), rafforzando al contempo il ruolo del DPO, quale garante interno fondamentale per la protezione dei dati personali.
Il leitmotiv è dunque sempre lo stesso: la centralità di tale figura a garanzia di una “privacy” robusta, concreta, reale in accezione attuale ed evoluta.
La Guida fornisce, inoltre, indicazioni pratiche e aggiornate sulla designazione del DPO, sul suo posizionamento istituzionale, nonché sulle garanzie di indipendenza connaturate alla funzione e non di meno sulla responsabilità a lui affidata.
Il DPO nelle istituzioni UE: una figura centrale e le buone prassi
La guida in parola rafforza il ruolo del DPO nelle istituzioni europee rendendolo una figura chiave, di assoluta centralità e della quale le stesse non ne possono fare a meno.
Vediamo in che termini.
La designazione obbligatoria e il DPO “condiviso”
Il DPO deve essere obbligatoriamente designato in forza dell’art. 43 dell’EUDPR e deve essere “nominato per un mandato minimo obbligatorio e la sua designazione deve essere notificata all’EDPS”.
Nomina che deve rispettare i caratteri della trasparenza. Può essere anche uno soltanto per più enti.
In questi casi, è da intendersi un “DPO condiviso”, previo accordo, ove fattibile.
Naturalmente, in questa modalità va immaginato uno staff fatto di un assistente DPO e altri collaboratori a seconda della dimensione dell’incarico sulla base delle istituzioni interessate.
Si apprende dalla guida che la “disponibilità è essenziale” per garantire che gli interessati possano contattare il DPO. Di qui, va garantito un livello minimo di presenza fisica per costruire fiducia con i titolari”.
Ancora, lato istituzioni, come buona prassi, le istituzioni dovrebbero richiedere l’opinione dell’EDPS prima di decidere di nominare un DPO condiviso.
Servono solide competenze e capacità sul campo
Il DPO va designato sulla base delle qualità professionali, della conoscenza esperta del diritto in materia di protezione dati, e non di meno delle capacità di svolgere i propri compiti. Non solo in teoria, ma anche in pratica dovendo avere “una solida comprensione dell’organizzazione, della struttura e del funzionamento delle istituzioni”.
Competenza che include anche conoscenze di gestone e analisi del rischio, tecnologia dell’informazione e sistemi algoritmici, si ha modo di apprendere nelle linee in guida in commento.
Il DPO deve poi avere anche “risorse adeguate” tra cui la formazione continua.
Può essere interno o esterno attraverso la stipula di un contratto di servizio, purché l’affidamento avvenga a persona fisica e non giuridica.
Deve avere una casella di posta elettronica ad hoc, naturalmente.
Importante il coinvolgimento attivo, precoce e sistematico
Il DPO deve essere sempre tempestivamente coinvolto in tutte le questioni concernenti la protezione dei dati personali. Si tratta di un obbligo che riflette uno degli aspetti fondanti la cultura della data protection. Il coinvolgimento “precoce e sistematico” del DPO facilita evidentemente la conformità con l’EUDPR e promuove, ad un tempo, la protezione dei dati sia in progettazione che in default.
In altri termini, il DPO va consultato ogniqualvolta debbono prendersi decisioni con implicazioni sulla protezione dei dati, indipendentemente dal livello gerarchico.
Abbiamo accennato che il DPO deve avere “risorse necessarie” in che termini? É semplice: materiali, pratici circa l’accesso ai dati, e fisici necessitando di un supporto adeguato.
Se poi sia meglio avere un DPO a full o a part time, ecco che dipende dalla dimensione della istituzione coinvolta. Suggerisce il GEPD che sia “buona prassi stabilire una percentuale di tempo per la funzione DPO quando non è svolta a tempo pieno. Per il calcolo di questa percentuale, devono essere presi in considerazione i giorni lavorativi, inclusi i tempi di viaggio e la preparazione, per le riunioni della rete DPO e delle EDPS-DPO”.
Un’indipendenza acclarata e indispensabile
L’indipendenza del DPO è una “pietra angolare” di una governance efficace della protezione dei dati, intimamente connessa all’esercizio dei compiti del DPO, richiedendo che il DPO operi libero da istruzioni, indebite influenze o pressioni, pur godendo di un accesso diretto e senza ostacoli al titolare.
Sicché attraverso tale autonomia il DPO è in grado di formare ed esprimere le proprie opinioni, fornire consulenza imparziale e svolgere le proprie responsabilità senza interferenza alcuna.
D’altra parte, per il ruolo che ricoprono, e la guida in parola ne irrobustisce l’impianto anche in termini di efficacia, i DPO sono tenuti a riferire direttamente ai vertici.
Il DPO nelle istituzioni UE: una funzione strategica
Da ultimo ma non ultimo, il DPO ben ricoprendo un ruolo strategico, è chiamato anche in questi contesti, a informare e sensibilizzare oltre che a svolgere una funzione cooperativa e consultiva, fornendo pareri di varia complessità.
Come buona pratica, alcuni DPO tendono a raccogliere e monitorare “metriche interne di protezione dei dati (numero di consultazioni, violazioni dei dati personali, reclami EDPS, richieste degli interessati, ecc.)”.
Il tutto contribuisce ad avere un quadro circa l’efficacia dell’implementazione della protezione dei dati all’interno delle istituzioni coinvolte, supportando e agevolando la rendicontazione delle attività del DPO.
Il DPO nelle istituzioni UE: le regole da adottare istituzionalmente
Le istituzioni di respiro europeo sono tenute ad adottare regole di attuazione circa il ruolo e le funzioni del DPO. Si tratta di regole che, con tutta evidenza, rappresentano uno strumento importante per rafforzarne il coinvolgimento, la posizione e l’efficacia.
Tali regole riguardano:
- il termine di designazione del DPO;
- l’autorità di nomina e la linea di riferimento per l’esecuzione dei compiti DPO;
- i meccanismi che garantiscono la rendicontazione dire\a al più alto livello di gestione;
- disposizioni per la valutazione del DPO, inclusa una chiara separazione tra la valutazione dei compiti del DPO e altre funzioni, ove presenti;
- se il DPO è supportato da un vice, assistente o team, e l’organizzazione di tale supporto;
- misure che garantiscano la continuità della funzione DPO in casi di assenza temporanea o incapacità;
- l’istituzione, designazione e ruolo dei Coordinatori per la protezione dei dati e la loro interazione con il DPO;
- misure per la prevenzione e la gestione dei conflitti di interesse;
- l’esercizio pratico dei poteri investigativi del DPO.
Non meno importante è la collaborazione fattiva tra DPO e GEPD, di assoluta necessità all’occorrenza, si pensi in caso di violazione dati (data breach).
Il consenso preventivo dell’EDPS in caso di revoca del DPO
Altro elemento di novità dell’intero impianto, ed elemento distintivo rispetto alla nota impostazione del GDPR, riguarda il consenso preventivo dell’EDPS in caso di revoca del DPO designato.
Al riguardo, lo scorso 16 gennaio 2026, il GEPD ha adottato la Decisione 01/2026 stabilendo giust’appunto “norme vincolanti sull’applicazione del requisito del consenso preventivo dell’EDPS per la revoca dei RPD”.
Si tratta di norme che stabiliscono un quadro procedurale chiaro e uniforme che gli IUE devono seguire prima di revocare un DPO ovvero prima della scadenza del suo mandato.
Tale supervisione e per converso l’obbligo da parte delle istituzioni a coinvolgere l’EDPS dimostra ancora una volta l’importanza e la centralità del DPO, figura chiave e imprescindibile anche nelle istituzioni europee. Concludiamo riportando la dichiarazione di Wojciech Wiewiórowski, il Presidente dell’Autorità Garante privacy europea: “Dal 2002, i DPO sono un pilastro fondamentale di un’efficace governance della protezione dei dati all’interno degli IUE. Le Linee guida e le norme aggiornate sul consenso per la revoca del DPO mirano a rafforzarne il ruolo, garantendo l’applicazione indipendente, coerente ed efficace della normativa UE sulla protezione dei dati. Queste misure rafforzano la posizione del DPO come garanzia interna fondamentale per la protezione dei dati personali“; e abbiamo detto tutto.
