Rappresentante UE vs DPO: qual è la differenza?

Il Rappresentante UE e il Responsabile della Protezione dei Dati sono due dei ruoli più frequentemente confusi nell'ambito del GDPR, in parte perché entrambi prevedono un contatto nominativo ed entrambi toccano la conformità in materia di protezione dei dati. Ma rispondono a domande giuridiche diverse, sono disciplinati da articoli diversi e sono attivati da presupposti diversi. Il rappresentante ai sensi dell'Article 27 riguarda la tua presenza fisica nell'UE quando hai sede al di fuori di essa; il DPO ai sensi degli Article 37-39 riguarda la natura e la portata del tuo trattamento dei dati, ovunque tu sia stabilito. Questa guida illustra esattamente cosa sia ciascun ruolo, chi ha bisogno di quale, se la stessa società possa ricoprirli entrambi e quando servono entrambi contemporaneamente.

Due ruoli, due articoli: cosa è davvero ciascuno

Le due funzioni si collocano in parti diverse del GDPR ed esistono per ragioni diverse.

• Rappresentante UE (Article 27). Una persona fisica o giuridica stabilita nell'UE o nel SEE, designata per iscritto da un titolare o responsabile del trattamento con sede al di fuori dell'Unione. Agisce come punto di contatto locale per le autorità di controllo e gli interessati, ed è incaricata di essere interpellata in aggiunta a (o in sostituzione di) l'azienda su tutte le questioni di conformità. Contribuisce inoltre a tenere il registro delle attività di trattamento previsto dall'Article 30.
• Responsabile della Protezione dei Dati (Article 37-39). Un esperto che assiste l'organizzazione sui suoi obblighi GDPR, sorveglia la conformità interna e funge da punto di contatto con le autorità di controllo e l'EDPB.

Il rappresentante riguarda dove ti trovi; il DPO riguarda cosa tratti.

Chi ha bisogno di quale — e quando servono entrambi

I presupposti sono distinti, quindi valuta ciascuno in modo indipendente.

Domanda	Rappresentante UE	DPO
Articolo di riferimento	Article 27	Article 37-39
Cosa lo attiva	Nessuno stabilimento UE/SEE e rivolgi la tua offerta o monitori persone nell'UE	Autorità pubblica; monitoraggio regolare e sistematico su larga scala; oppure dati di categorie particolari su larga scala
Funzione principale	Contatto locale e casella postale per autorità e singoli individui	Consulente indipendente e supervisore della conformità
Indipendenza	Agisce sulla base delle istruzioni dell'azienda	Deve agire in modo indipendente; nessuna istruzione sui compiti

Una SaaS US o canadese che rivolge la propria offerta all'UE di solito ha bisogno di un rappresentante. Se profila anche gli utenti su larga scala, ne ha bisogno di entrambi. Gli obblighi sono cumulativi.

La stessa società può ricoprire entrambi i ruoli? Le confusioni più comuni

È qui che la maggior parte delle aziende sbaglia. L'EDPB ha affermato chiaramente, nelle sue Linee guida 3/2018 sull'ambito di applicazione territoriale, che la stessa persona non può essere al contempo il tuo Rappresentante UE e il tuo DPO. La ragione è strutturale: un rappresentante agisce sulla base delle istruzioni dell'azienda, mentre un DPO deve agire in modo indipendente e non ricevere istruzioni nello svolgimento dei propri compiti. Ricoprire entrambi i ruoli genererebbe un conflitto di interessi, soprattutto in un contesto di applicazione delle norme.

• Confusione 1: presumere che un DPO elimini la necessità di un rappresentante — non è così.
• Confusione 2: pensare che il rappresentante assorba la tua responsabilità — la designazione non trasferisce la responsabilità propria del titolare o del responsabile del trattamento.
• Confusione 3: credere che un rappresentante UK copra l'UE — non è così, e viceversa.

Una stessa organizzazione può fornire entrambi i servizi tramite persone distinte e una chiara governance.

Domande frequenti

Nominare un Rappresentante UE significa che non ho più bisogno di un DPO?

No. I due obblighi sono indipendenti e cumulativi. Il rappresentante copre la tua mancanza di uno stabilimento nell'UE ai sensi dell'Article 27, mentre l'obbligo del DPO ai sensi degli Article 37-39 dipende dalla natura e dalla portata del tuo trattamento. Potresti aver bisogno dell'uno, dell'altro o di entrambi.

La stessa persona può agire sia come mio Rappresentante UE sia come mio DPO?

No. L'EDPB conferma nelle sue Linee guida 3/2018 che i ruoli sono incompatibili, perché un rappresentante agisce sulla base delle istruzioni dell'azienda mentre un DPO deve essere indipendente e non ricevere istruzioni sui propri compiti. Una stessa società può fornire entrambi i servizi, ma devono essere persone diverse.

Sono un'azienda US senza ufficio nell'UE — di quale ho bisogno?

Se offri beni o servizi a persone nell'UE, o ne monitori il comportamento, quasi certamente hai bisogno di un Rappresentante UE ai sensi dell'Article 27. Hai inoltre bisogno di un DPO solo se il tuo trattamento soddisfa una delle soglie dell'Article 37, come il monitoraggio su larga scala o il trattamento su larga scala di dati di categorie particolari.