Organizzare un Ufficio Privacy efficace: oltre il DPO, il modello multidisciplinare 2025. Spunti di riflessione.

L’Ufficio Privacy nel 2025: il DPO non basta più, serve un team multidisciplinare

Negli ultimi anni la gestione della privacy e della protezione dei dati personali ha subito una profonda evoluzione, spinta non solo dall’introduzione del Regolamento Generale sulla Protezione dei Dati (GDPR – Reg. UE 2016/679), ma anche da un contesto normativo sempre più complesso, tecnologicamente sfidante e interconnesso. Se fino a poco tempo fa la figura del Data Protection Officer (DPO) poteva rappresentare il perno intorno al quale ruotava la governance della privacy aziendale, oggi la realtà è ben diversa: la tutela dei dati richiede un approccio sinergico che coinvolga competenze giuridiche, tecniche, organizzative e scientifiche.

La centralità del DPO… ma con nuovi confini

Il DPO, come definito dall’art. 37 e ss. del GDPR, resta una figura chiave per assicurare la conformità normativa dell’organizzazione in tema di protezione dei dati personali. Le sue competenze devono essere ampie e comprendere:

• profonda conoscenza del diritto europeo e nazionale in materia di privacy;
• capacità di valutare i rischi connessi al trattamento;
• consapevolezza delle implicazioni tecnologiche e organizzative dei trattamenti, anche alla luce delle recenti evoluzioni nel campo dell’intelligenza artificiale e della cybersecurity.

Tuttavia, il contesto normativo europeo sta espandendo significativamente il perimetro delle responsabilità connesse alla gestione dei dati e della sicurezza delle informazioni.

La spinta normativa: oltre il GDPR

Oggi, accanto al GDPR, le aziende si confrontano con numerosi altri regolamenti e direttive che impattano direttamente sulle attività di trattamento e gestione dei dati:

• Direttiva NIS2 (UE 2022/2555): introduce obblighi stringenti in tema di sicurezza informatica e gestione degli incidenti cyber, richiedendo alle organizzazioni una capacità di valutazione del rischio ICT, resilienza e prontezza operativa;
• Regolamento DORA (UE 2022/2554): applicabile principalmente ai soggetti finanziari, impone test di resilienza operativa, gestione dei fornitori ICT critici, monitoraggio continuo delle minacce cyber e piani di continuità operativa;
• AI Act (Regolamento UE sull’intelligenza artificiale, in corso di finalizzazione): introduce requisiti rigorosi per i sistemi di intelligenza artificiale ad alto rischio, imponendo valutazioni d’impatto sui dati di training, trasparenza sugli algoritmi, governance dei bias e misure di accountability.

Come evidenziato anche dal NIST AI Risk Management Framework 1.0, la gestione del rischio AI introduce dimensioni nuove di rischio tecnico, organizzativo e sociale che vanno ben oltre le tradizionali logiche di compliance normativa.

Il Privacy Manager: il ponte tra norma e prassi operativa

Di fronte a questa crescente complessità, sta emergendo in modo sempre più netto la figura del Privacy Manager che si distingue dal DPO per il suo ruolo prettamente operativo. Il Privacy Manager:

• traduce le prescrizioni normative in procedure aziendali concrete;
• collabora trasversalmente con IT, legale, risorse umane, marketing e tutte le funzioni aziendali che trattano dati personali;
• supporta il DPO nella gestione quotidiana dei trattamenti e nel monitoraggio dei rischi emergenti.

Questa figura si sta progressivamente affermando come anello essenziale per la concreta efficacia del sistema di gestione privacy, specie nelle organizzazioni complesse e multinazionali.

Privacy e sicurezza: un gioco di squadra multidisciplinare

Se immaginiamo un tradizionale ufficio privacy composto esclusivamente da giuristi, alle prese con scenari sempre più frequenti – un attacco ransomware, una richiesta di audit da parte del CISO, l’introduzione di un nuovo sistema AI – risulta evidente come nessuna competenza, da sola, sia sufficiente.

Occorre, invece, un vero ecosistema integrato di professionalità, in cui il DPO e il Privacy Manager interagiscono stabilmente con:

• Cybersecurity specialist: per la protezione tecnica delle infrastrutture e la gestione degli incidenti di sicurezza;
• IT & DevOps: per implementare misure di sicurezza sin dalla progettazione tecnica (security by design e by default – art. 25 GDPR);
• Data scientist ed esperti AI: per validare dataset, gestire rischi di bias algoritmico, prevenire fenomeni di model inversion o membership inference.

La privacy, oggi, è dunque materia intrinsecamente multidisciplinare. Questo approccio integrato è del resto coerente con i moderni frameworks di gestione del rischio (ad es. ISO 31000 e NIST CSF 2.0), che sottolineano l’importanza di integrare governance, gestione tecnica, resilienza operativa e cultura organizzativa.

La responsabilità dell’impresa e il ruolo dello studio legale

Per le imprese, questo scenario comporta la necessità non solo di costruire strutture interne adeguate, ma anche di dotarsi di consulenti legali in grado di:

• leggere e interpretare la normativa privacy alla luce degli sviluppi tecnologici;
• integrare gli adempimenti privacy con le policies di cybersecurity e continuità operativa;
• supportare la governance aziendale nelle valutazioni di rischio e nella definizione del proprio risk appetite.

In questo contesto, lo studio legale specializzato in privacy e cybersecurity assume un ruolo cruciale quale partner strategico nel processo di adeguamento, non solo sotto il profilo documentale, ma soprattutto nella definizione dei modelli organizzativi idonei a rispondere alle sfide normative e tecnologiche in continua evoluzione.