Conflitto di interessi del DPO dopo guida CNIL

Come riconoscere e gestire il conflitto di interessi del DPO

Un responsabile della protezione dei dati può controllare la conformità di un trattamento che, attraverso un altro incarico, ha contribuito lui stesso a decidere?

È questa la domanda concreta dietro la guida pubblicata il 10 agosto 2026 dalla Commission nationale de l’informatique et des libertés, la CNIL francese, sui conflitti di interessi legati alla funzione del DPO. L’Autorità usa un’espressione particolarmente efficace: il DPO non deve diventare «juge et partie», giudice e parte.

Il problema non nasce da una nuova regola francese. È già contenuto nel Regolamento generale sulla protezione dei dati. L’articolo 38, paragrafo 6, consente infatti al responsabile della protezione dei dati di svolgere altri compiti e funzioni, ma impone al titolare o al responsabile del trattamento di assicurarsi che questi incarichi non provochino un conflitto di interessi.

La difficoltà comincia quando si deve trasformare questa formula in una decisione organizzativa. Essere contemporaneamente DPO e responsabile di un’altra funzione è sempre vietato? Esistono incarichi automaticamente incompatibili? Basta modificare l’organigramma oppure bisogna guardare a ciò che quella persona decide realmente?

La guida francese è interessante soprattutto perché prova a rispondere a queste domande prima che il conflitto emerga.

Il problema non è il secondo incarico, ma il potere di decidere

Il GDPR non richiede che il DPO svolga esclusivamente quella funzione. Anche le linee guida del Gruppo di lavoro Articolo 29 sui responsabili della protezione dei dati, successivamente fatte proprie dal Comitato europeo per la protezione dei dati, ammettono il cumulo di incarichi.

Il limite compare quando l’altra funzione porta la stessa persona a determinare le finalità o i mezzi di un trattamento che, come DPO, dovrebbe poi controllare in posizione indipendente.

È il criterio che la Corte di giustizia dell’Unione europea ha chiarito nella sentenza X-FAB del 9 febbraio 2023, causa C-453/21. La Corte non ha stabilito che determinati incarichi siano incompatibili in assoluto. Ha affermato che un conflitto di interessi può esistere quando gli altri compiti affidati al DPO lo portano a determinare finalità e mezzi dei trattamenti e che la verifica deve essere effettuata caso per caso, considerando tutte le circostanze rilevanti, compresa la struttura organizzativa del titolare o del responsabile.

Questa precisazione è essenziale. Il conflitto non dipende soltanto dal nome scritto sul biglietto da visita.

Un direttore delle risorse umane, un responsabile dei sistemi informativi o un dirigente amministrativo possono trovarsi in una posizione incompatibile con quella di DPO perché normalmente assumono decisioni che incidono sui trattamenti. Ma anche una funzione collocata più in basso nell’organizzazione può creare lo stesso problema se attribuisce un effettivo potere decisionale.

La CNIL segue esattamente questa logica. Considera generalmente incompatibili le funzioni dirigenziali superiori, ma invita a verificare anche ruoli formalmente meno elevati quando consentono al DPO di determinare finalità o mezzi del trattamento. Per un responsabile della sicurezza informatica, ad esempio, non conta soltanto il titolo: bisogna capire se decida tempi di conservazione dei log, misure di sicurezza o modalità di accesso ai dati.

La lista delle incompatibilità non basta

Una lista di ruoli vietati sarebbe semplice da applicare, ma sarebbe anche giuridicamente imprecisa.

Lo dimostra bene il documento di indirizzo del Garante italiano del 29 aprile 2021 sulla designazione, posizione e compiti del responsabile della protezione dei dati nel settore pubblico. L’Autorità richiama funzioni particolarmente problematiche, tra cui direzione delle risorse umane, contabilità, responsabile IT e responsabile della prevenzione della corruzione e della trasparenza. Per le grandi amministrazioni, il Garante ritiene tali tipologie di incarichi incompatibili con quello di RPD quando l’ente dispone delle risorse necessarie per affidare la funzione a un soggetto esclusivamente dedicato o comunque non esposto al conflitto.

Ma lo stesso documento conserva la regola del caso concreto.

Per gli enti che, per dimensioni, risorse e organizzazione, hanno difficoltà oggettive a utilizzare una figura esclusivamente dedicata, il titolare deve svolgere una ponderazione specifica e documentare le proprie valutazioni secondo il principio di responsabilizzazione. Dimensioni dell’ente, complessità organizzativa, tipologie di trattamento, quantità e qualità dei dati sono elementi che possono cambiare il risultato dell’analisi.

Questo passaggio è particolarmente importante per Comuni di piccole dimensioni e organizzazioni con organici ridotti. La scarsità di risorse non elimina il requisito di indipendenza, ma rende ancora più importante dimostrare come sia stato analizzato e gestito il rischio di conflitto.

Non basta quindi affermare che due ruoli sono compatibili perché sono sempre stati affidati alla stessa persona. Allo stesso modo, non è corretto concludere che siano incompatibili soltanto perché compaiono in un elenco.

Bisogna osservare i poteri reali.

La verifica dovrebbe avvenire prima del problema

Uno degli aspetti più utili della nuova guida CNIL è proprio lo spostamento dell’analisi a monte.

L’Autorità francese raccomanda di verificare i possibili conflitti prima della designazione del DPO e ogni volta che gli vengono assegnati nuovi compiti. L’analisi dovrebbe considerare non soltanto le funzioni dirigenziali, ma anche l’effettivo potere decisionale sui trattamenti, la partecipazione a comitati che assumono decisioni rilevanti, eventuali incarichi di rappresentanza dei lavoratori e, nel caso di DPO esterni, rapporti professionali o organizzativi capaci di contrapporre gli interessi del professionista a quelli dell’organizzazione che lo ha designato.

Anche per il DPO esterno, dunque, l’indipendenza non può essere data per scontata.

La CNIL invita, ad esempio, a verificare se un avvocato che svolge la funzione di DPO abbia già rappresentato l’organizzazione in un contenzioso sulla protezione dei dati oppure se il DPO appartenga a un soggetto che ha interessi potenzialmente contrapposti a quelli del titolare, come un responsabile del trattamento o un contitolare.

Il criterio resta lo stesso: chi deve sorvegliare la conformità non dovrebbe essere posto nella condizione di valutare con indipendenza decisioni nelle quali è direttamente coinvolto.

Che cosa fare quando il conflitto esiste

Individuare il conflitto non basta. Occorre eliminarlo.

La CNIL indica anzitutto le due soluzioni più lineari: sostituire il DPO oppure sottrargli le funzioni ulteriori che generano il conflitto. A queste aggiunge la possibilità di adottare altre misure di rimedio, da scegliere in relazione alla natura e all’estensione del problema.

È qui che la guida introduce una soluzione particolarmente interessante per i DPO interni.

Quando il conflitto riguarda soltanto un determinato perimetro, la CNIL considera possibile che il DPO si astenga dall’intervenire su quell’ambito e che le sue funzioni siano esercitate da un’altra persona, definita DPO suppléant. Non si tratta, secondo l’Autorità francese, di una sostituzione meramente formale. Il supplente deve beneficiare delle garanzie previste dal GDPR, disporre dei mezzi necessari, essere effettivamente coinvolto nelle questioni di propria competenza e non trovarsi in una relazione di subordinazione rispetto al DPO principale nell’esercizio della funzione. Devono inoltre essere documentati il conflitto e la ripartizione delle rispettive responsabilità.

La CNIL aggiunge che questo DPO supplente non deve essere oggetto di una seconda comunicazione all’Autorità francese: il DPO formalmente designato rimane il punto di contatto della CNIL.

È una soluzione pragmatica, ma proprio qui il confronto con l’Italia richiede cautela.

Il DPO supplente francese e il problema dell’unicità in Italia

Il documento di indirizzo del Garante italiano del 2021 afferma, con riferimento alle amministrazioni pubbliche, che l’unicità della figura del RPD deve essere sempre assicurata per evitare sovrapposizioni e incertezze sulle responsabilità. Anche nelle organizzazioni particolarmente complesse deve essere individuato un solo RPD quale punto di contatto per l’Autorità e per gli interessati, eventualmente assistito da referenti e collaboratori.

Le due impostazioni non sono necessariamente incompatibili.

Anche nel modello francese esiste un solo DPO formalmente comunicato alla CNIL, mentre il supplente interviene soltanto nel perimetro interessato dal conflitto. Ma dalle fonti italiane esaminate non emerge un’indicazione del Garante che abbia espressamente riconosciuto questa particolare forma di sostituzione funzionale come rimedio al conflitto di interessi.

Per questo sarebbe eccessivo trasformare la soluzione della CNIL in una regola già utilizzabile senza cautele anche nelle amministrazioni italiane.

Il principio sottostante è invece pienamente trasferibile: quando il DPO non può intervenire indipendentemente su una determinata questione, il titolare deve eliminare il conflitto con una soluzione effettiva e documentabile. Quale architettura organizzativa sia sufficiente dipende poi dal contesto e, nel settore pubblico italiano, deve essere confrontata anche con il principio di unicità dell’RPD indicato dal Garante.

Anche il DPO esterno può trovarsi da entrambe le parti

Un’altra soluzione della CNIL richiede una delimitazione altrettanto precisa.

L’Autorità affronta il caso in cui lo stesso DPO esterno, costituito come persona giuridica, sia stato designato contemporaneamente da un titolare e dal suo responsabile del trattamento. In questa specifica situazione considera possibile affidare l’esercizio effettivo della funzione a collaboratori diversi all’interno della stessa organizzazione che presta il servizio di DPO, purché siano garantiti riservatezza, indipendenza, assenza di subordinazione e rispetto effettivo degli articoli da 37 a 39 del GDPR.

Non si tratta quindi di una soluzione generale per qualsiasi conflitto di un DPO esterno. È una risposta a una configurazione precisa, nella quale la stessa organizzazione svolge la funzione per soggetti collocati sui due lati di un rapporto tra titolare e responsabile del trattamento.

Anche questo esempio mostra perché la gestione del conflitto non può ridursi alla struttura formale del contratto. Bisogna verificare chi svolga concretamente l’attività, a chi risponda e quali interessi sia chiamato a controllare.

Una verifica che dovrebbe lasciare traccia

Per un’organizzazione italiana, la guida francese è quindi soprattutto un buon modello di metodo.

Prima della nomina del DPO, al momento del rinnovo e quando cambiano le sue funzioni, sarebbe opportuno documentare almeno questi passaggi:

individuare tutti gli incarichi ulteriori ricoperti dal DPO;
verificare se da tali incarichi derivino poteri decisionali su finalità o mezzi dei trattamenti;
considerare non soltanto la posizione gerarchica, ma le attività realmente svolte;
verificare se il DPO sarebbe chiamato a controllare trattamenti o decisioni cui ha partecipato in altra veste;
per i DPO esterni, analizzare anche rapporti professionali, contrattuali e organizzativi capaci di compromettere l’indipendenza;
motivare la conclusione raggiunta e conservare la relativa documentazione;
se emerge un conflitto, eliminarlo modificando gli incarichi, sostituendo il DPO o adottando una diversa misura effettiva la cui compatibilità con il quadro italiano sia stata verificata.

Questo approccio ha anche una conseguenza meno evidente. La verifica del conflitto non dovrebbe essere considerata conclusa il giorno della designazione.

Un’organizzazione cambia, vengono attribuite nuove deleghe, si modificano i sistemi informativi, nascono nuovi trattamenti e un dipendente può assumere responsabilità che prima non aveva. Una situazione inizialmente compatibile può quindi diventare problematica nel tempo.

Ruoli e situazioni a maggior rischio di conflitto di interessi per DPO/RPD

Ambito	Ruoli o situazioni da verificare	Criterio	Fonte
Criterio generale, pubblico e privato	funzioni apicali come direzione generale, operativa, finanziaria, risorse umane, marketing, IT; anche ruoli inferiori se dotati di effettivo potere decisionale sui trattamenti	il conflitto emerge quando l’altro incarico porta il DPO a determinare finalità o mezzi del trattamento che dovrebbe poi sorvegliare	WP29, WP243 rev.01; CNIL
Enti pubblici italiani	direzione risorse umane o contabilità; responsabile IT; responsabile della prevenzione della corruzione e della trasparenza; responsabile dei sistemi informativi; ufficio statistica; altri incarichi monocratici con poteri decisionali sui trattamenti	valutazione caso per caso; per le grandi amministrazioni il Garante considera incompatibili alcune di queste tipologie di incarico	Garante, Documento di indirizzo 29 aprile 2021
DPO interni	funzioni dirigenziali; poteri decisionali sui trattamenti; partecipazione a comitati etici o deontologici; rappresentanza del personale o incarichi sindacali quando comportano decisioni rilevanti sui trattamenti	verificare se il DPO possa trovarsi a controllare decisioni alle quali ha partecipato in altra veste	CNIL, 10 agosto 2026
DPO esterni	precedente rappresentanza dell’organizzazione in contenziosi privacy; appartenenza a soggetti con interessi potenzialmente contrapposti; incarichi contemporanei presso soggetti tra loro contrapposti	verificare l’indipendenza effettiva rispetto agli interessi coinvolti	CNIL, 10 agosto 2026

Fonte: elaborazione su CNIL, 10 agosto 2026; WP29, WP243 rev.01, avallate dall’EDPB; Garante per la protezione dei dati personali, Documento di indirizzo del 29 aprile 2021.

Checklist operativa per la gestione del conflitto di interessi

Fase	Cosa fare
1. Prima della nomina, del rinnovo o dell’attribuzione di nuovi compiti	Analizzare e documentare gli altri incarichi del DPO, verificando in particolare se comportino poteri decisionali sulle finalità o sui mezzi dei trattamenti o la partecipazione a decisioni che il DPO dovrebbe successivamente controllare.
2. Se emerge un conflitto	Eliminare il conflitto modificando i compiti incompatibili oppure sostituendo il DPO; valutare eventuali altre misure soltanto se garantiscono effettivamente indipendenza e assenza del conflitto.
3. DPO interno con conflitto circoscritto	La CNIL considera possibile l’astensione del DPO sul perimetro interessato e l’intervento di un DPO suppléant, con garanzie equivalenti a quelle previste dagli artt. 37-39 GDPR; per l’utilizzo di questo modello in Italia, soprattutto nel settore pubblico, va verificata la compatibilità con le indicazioni nazionali sull’organizzazione della funzione.
4. Medesimo DPO esterno persona giuridica designato da titolare e responsabile	La CNIL ammette che l’esercizio effettivo della funzione sia affidato a collaboratori distinti, purché siano garantiti indipendenza, riservatezza, assenza di subordinazione e rispetto effettivo delle garanzie previste dal GDPR.
5. In ogni caso	Documentare il conflitto individuato, la valutazione effettuata, la soluzione prescelta e la sua effettività; riesaminare la situazione quando cambiano incarichi, responsabilità o organizzazione.

Fonte: elaborazione sulla guida CNIL “Délégué à la protection des données: identifier et gérer les conflits d’intérêts liés à la fonction de DPO”, 10 agosto 2026; per il quadro italiano, Garante per la protezione dei dati personali, Documento di indirizzo del 29 aprile 2021.

L’indipendenza non si dichiara nell’organigramma

La guida della CNIL non cambia il GDPR e non crea una nuova categoria di ruoli vietati. Fa qualcosa di forse più utile: costringe a guardare dentro le organizzazioni.

La domanda non è soltanto quale incarico ricopra formalmente il DPO, ma quali decisioni assuma realmente, quali trattamenti contribuisca a progettare e se, quando arriva il momento di controllarne la conformità, possa farlo senza dover giudicare il proprio operato.

Per le grandi organizzazioni, separare le funzioni è normalmente più semplice. Nei piccoli enti e nelle PMI la concentrazione degli incarichi può invece essere quasi inevitabile. Proprio per questo il criterio del caso concreto non deve trasformarsi in una scorciatoia.

Se mancano risorse per separare completamente i ruoli, cresce il valore della valutazione preventiva, della documentazione e delle misure organizzative che rendono effettiva l’indipendenza.

Perché l’indipendenza del DPO non dipende da ciò che l’organigramma dichiara. Dipende da ciò che il DPO può davvero decidere e, soprattutto, da ciò che può davvero controllare.

Fonti e riferimenti

Regolamento (UE) 2016/679, in particolare artt. 37-39 e art. 38, par. 6.
CNIL, Délégué à la protection des données : identifier et gérer les conflits d’intérêts liés à la fonction de DPO, 10 agosto 2026.
Gruppo di lavoro Articolo 29, Guidelines on Data Protection Officers (‘DPOs’), WP243 rev.01, versione rivista e adottata il 5 aprile 2017, successivamente avallata dall’EDPB.
Corte di giustizia dell’Unione europea, sentenza 9 febbraio 2023, X-FAB Dresden GmbH & Co. KG contro FC, causa C-453/21, ECLI:EU:C:2023:79.
Garante per la protezione dei dati personali, provvedimento n. 186 del 29 aprile 2021, Documento di indirizzo su designazione, posizione e compiti del Responsabile della protezione dei dati (RPD) in ambito pubblico, doc. web n. 9589104.

Enrico Capirone – Presidente iSimply srl, DPO

Nota volontaria di trasparenza sull’uso dell’intelligenza artificiale. Questo contenuto è stato predisposto con il supporto di strumenti di IA generativa ed è stato sottoposto a revisione umana sostanziale, verifica delle fonti ufficiali e controllo editoriale. iSimply srl detiene la responsabilità editoriale della pubblicazione. L’articolo 50, paragrafo 4, del Regolamento (UE) 2024/1689 disciplina, tra l’altro, la trasparenza relativa a testi generati o manipolati da sistemi di IA pubblicati allo scopo di informare il pubblico su questioni di interesse pubblico e prevede un’eccezione quando il contenuto è stato sottoposto a revisione umana o controllo editoriale e una persona fisica o giuridica detiene la responsabilità editoriale. iSimply sceglie comunque di rendere trasparente l’impiego di strumenti di IA nel processo redazionale.