Alcune aziende pensavano di potersela cavare nominando proprio DPO l'amministratore delegato, o il titolare, o un socio, dopo aergli fatto seguire un corso specifico. Ma invece non si può perché ci sarebbe conflitto di interessi. E l'articolo 38 del GDPR lo vieta esplicitamente.

Il responsabile della privacy aziendale (DPO, data protection officer) deve poter parlare in tutta libertà con un whistleblower interno all'azienda, deve poter rispondere francamente alle domande del garante della privacy, deve essere sempre a disposizione di tutti i dipendenti che hanno domande sulla privacy (il titolare raramente è accessibile sempre e comunque da tutti), eccetera.

Non è solo teoria, sono fioccate multe salate per questo. È stata comminata una multa di 575.000 euro a una azienda specializzata in commercio elettronico pochi mesi fa. Il garante della privacy responsabile, quello tedesco, ha commentato la vicenda con queste parole:

Un DPO non può da un lato monitorare il rispetto della legge sulla protezione dei dati e, dall'altro, avere voce in capitolo

Negli ultimi due anni abbiamo visto fioccare questi precisi pronunciamenti delle autorità:

• Il DPO non può essere un amministratore, titolare o socio. Neppure un membro del consiglio di amministrazione, vice-CEO o responsabile legale aziendale. Il DPO non può neppure essere un direttore amministrativo.
• Non può essere DPO chi nel contempo è amministratore delegato di società di servizi che trattano dati personali per conto della prima azienda.
• Il Garante della privacy del Belgio ha multato per 75 mila euro una banca che aveva nominato Dpo il dirigente dell'unità ispettiva interna.
• Infine, un comune italiano è stato multato per 26.000 euro per aver nominato DPO un avvocato che occasionalmente lo assisteva in giudizio.