# DPO esterno con più clienti: seguire il GDPR di tutti senza affondare
URL: https://pulsaiq.com/it/guide/dpo-esterno-piu-clienti/
Ultima revisione: 2026-10-23
Lingua: it
Base giuridica: GDPR, artt. da 37 a 39
Una routine per chi lavora come DPO esterno, il responsabile della protezione dei dati di più organizzazioni allo stesso tempo: cosa chiede la legge, dove finisce il vostro ruolo e come organizzare clienti, scadenze e prove per arrivare al venerdì in pari.
## In due minuti
- **Potete essere DPO di più organizzazioni.** Il GDPR prevede espressamente un DPO legato da un contratto di servizi. La condizione è avere tempo e mezzi sufficienti per ogni cliente, e le autorità hanno cominciato a verificarlo.
- **Il DPO consiglia e sorveglia; il cliente decide.** Se siete voi a stabilire finalità e mezzi, o a svolgere da soli le valutazioni d’impatto sulla protezione dei dati (DPIA), la vostra indipendenza è a rischio.
- **Le scadenze sono del cliente, non vostre.** Le 72 ore di un data breach decorrono da quando il cliente ne viene a conoscenza, e il mese per rispondere a una richiesta di accesso decorre dal giorno in cui arriva, anche se nessuno l’ha letta. Per questo lo smistamento parte sempre da lì.
- **Si cresce con un unico metodo.** Classificate i clienti per rischio, usate la stessa struttura di cartelle e lo stesso formato di registro per tutti, seguite un calendario annuale e annotate ogni parere che date.
## Per chi è questa guida: DPO esterni e consulenti
Pensata per
I DPO esterni, i consulenti e i piccoli team che seguono da cinque a qualche decina di organizzazioni.
Utile anche, in parte
Se siete il DPO interno di una sola azienda, le parti sull’indipendenza e sulle prove vi serviranno; il resto, forse no.
## Quattordici clienti, quattordici modi di organizzarsi
Inês apre la posta con il primo caffè. Niente di tutto questo è straordinario. Il problema è che tutti i clienti sembrano urgenti e ognuno ha il suo sistema.
La casella di posta di Inês
3messaggi con oggetto «è un data breach?», due di clienti diversi
2richieste di accesso inoltrate dalla reception, una di nove giorni fa
1relazione annuale per il consiglio di amministrazione di una cooperativa agricola, da consegnare giovedì
14cartelle condivise, ognuna organizzata come ha voluto chi l’ha creata
Inês non ha bisogno di lavorare più ore; ha bisogno di un unico modo di lavorare con tutti. Questa routine è ciò che descrive la guida.
Inês, l’Oficina Rocha e gli altri clienti sono fittizi. Inês lavora in Portogallo; segnaliamo cosa cambia in Italia.
## Cosa permette, e cosa chiede, la legge a un DPO con più clienti
Il GDPR lo dice chiaramente: il DPO può essere un dipendente dell’organizzazione oppure assolvere i suoi compiti «in base a un contratto di servizi». In Italia il Garante per la protezione dei dati personali lo conferma nelle sue FAQ sul responsabile della protezione dei dati (RPD o DPO) in ambito privato: il DPO può essere interno o esterno, persona fisica o persona giuridica, e più organizzazioni possono condividerlo. Non servono attestati formali né l’iscrizione a un albo. Le certificazioni volontarie possono aiutare a dimostrare le competenze, ma non equivalgono a un’abilitazione. In Portogallo, dove lavora Inês, la legge 58/2019 aggiunge che il DPO agisce con autonomia tecnica, qualunque sia il rapporto giuridico, e non ha bisogno di una certificazione professionale.
Art. 37, paragrafo 6, del GDPR; [Garante, FAQ sull’RPD in ambito privato](https://www.garanteprivacy.it/faq-sul-responsabile-della-protezione-dei-dati-rpd-in-ambito-privato); legge 58/2019, art. 9
Essere esterni non cambia gli obblighi di chi vi incarica. Ogni cliente deve sempre:
- coinvolgervi, tempestivamente e adeguatamente, in tutte le questioni di protezione dei dati;
- fornirvi le risorse necessarie, compreso l’accesso ai dati personali e ai trattamenti;
- non darvi istruzioni sull’esecuzione dei vostri compiti, e permettervi di riferire direttamente al vertice gerarchico;
- pubblicare i vostri dati di contatto e comunicarli all’autorità di controllo. In Italia la comunicazione al Garante si fa online, con la sua [procedura telematica](https://www.garanteprivacy.it/regolamentoue/rpd/faq-relative-alla-procedura-telematica-per-la-comunicazione-dei-dati), e ogni organizzazione la fa per conto suo. In Portogallo si comunica alla CNPD (l’autorità portoghese per la protezione dei dati), con il suo modulo.
Art. 37, paragrafo 7, e art. 38, paragrafi da 1 a 3, del GDPR; [CNPD, Encarregado de proteção de dados](https://www.cnpd.pt/organizacoes/outras-obrigacoes/encarregado-de-protecao-de-dados/) (in portoghese)
Dal vostro lato, tre regole pesano di più quando i clienti sono tanti. Siete tenuti al segreto o alla riservatezza, che continua dopo la fine dell’incarico. Potete svolgere altri compiti, purché non diano luogo a un conflitto di interessi. E dovete considerare debitamente i rischi inerenti al trattamento, il che in pratica significa dare la priorità a ciò che è più rischioso, senza trascurare il resto.
Art. 38, paragrafi 5 e 6, e art. 39, paragrafo 2, del GDPR
Il GDPR vi protegge anche: non potete essere rimossi né penalizzati per l’adempimento dei vostri compiti (art. 38, paragrafo 3). E gli interessati possono contattarvi direttamente per tutte le questioni relative al trattamento dei loro dati e all’esercizio dei loro diritti (art. 38, paragrafo 4). Questo conta per lo smistamento: quei messaggi arrivano spesso con un termine che sta già correndo. In Portogallo, la legge 58/2019 affida inoltre al DPO gli audit, la sensibilizzazione per individuare gli incidenti e il rapporto con gli interessati (art. 11).
[Legge 58/2019, art. 11](https://files.diariodarepublica.pt/1s/2019/08/15100/0000300040.pdf) (Diário da República, in portoghese)
Se lavorate in team, le linee guida europee sui DPO ammettono che un gruppo di persone svolga la funzione, ma raccomandano una regola semplice: una persona indicata come contatto principale e responsabile per ogni cliente. Per il cliente non dovrebbe mai essere «il team».
Linee guida WP243 sui responsabili della protezione dei dati, sezione 2.5 (fatte proprie dal Comitato europeo per la protezione dei dati, EDPB)
## Cosa hanno trovato le autorità
Nel 2023, 25 autorità europee, tra cui il Garante, hanno condotto un’azione coordinata sulla designazione e sulla posizione dei DPO. La relazione dell’EDPB, pubblicata a gennaio 2024, descrive la quotidianità di chi legge questa guida.
Risposte raccolte (organizzazioni e DPO)17.490È il ritratto più completo della professione in Europa.
Risposte in cui il DPO prepara e svolge le DPIA≈ 1 su 3La valutazione d’impatto spetta al titolare. Se la svolgete voi, non potete più sorvegliarla in modo imparziale.
Frequenza più comune delle relazioni alla direzione1–2 l’annoUna relazione annuale è il minimo. In quattro paesi, il 30% o più ha risposto che non era prevista nemmeno quella.
Formazione annuale dei DPO≤ 24 hLa maggior parte resta sotto. Pianificate la vostra formazione come pianificate quella dei clienti.
Fonte: EDPB, relazione sull’azione coordinata 2023 sulla designazione e sulla posizione dei DPO (valori mediani tra le autorità).
Due conclusioni riguardano direttamente il DPO esterno. Diverse autorità hanno avvertito che un DPO che lavora per molti clienti rischia di «disperdersi troppo». E l’EDPB raccomanda che, quando incarica un DPO esterno, l’organizzazione verifichi quanti clienti segue, per assicurarsi che abbia tempo e capacità sufficienti. Raccomanda anche che compiti e condizioni siano scritti in una lettera di incarico.
Non esiste un numero massimo di clienti, né nella legge né nella relazione. Quello che ci si aspetta da voi è poter dimostrare che il tempo basta. Il passo 4 spiega come.
[EDPB, relazione sull’azione coordinata 2023 sulla designazione e sulla posizione dei DPO](https://www.edpb.europa.eu/system/files/2024-01/edpb_report_20240116_cef_dpo_en.pdf), sezioni da 4.2 a 4.6 (in inglese)
## Dove finisce il vostro ruolo
Più un cliente si fida di voi, più è forte la tentazione di decidere al suo posto. È lì che l’indipendenza si perde, quasi sempre per buona volontà.
La scena · martedì, 15:20
«Mettiamo il riconoscimento facciale all’ingresso. Facci tu la valutazione d’impatto e firmala, ci fidiamo di te.»La direttrice di uno studio dentistico, al telefono
Inês propone un’altra cosa: lo studio svolge la valutazione con un modello che lei fornisce, lei dà per iscritto il suo parere sul metodo e sulle conclusioni, e la decisione finale viene registrata come decisione della direzione.
Scena fittizia.
Le linee guida europee sono dirette: è il titolare del trattamento, non il DPO, a svolgere la valutazione d’impatto quando è necessaria. Il DPO consiglia se farla, quale metodo seguire e se le conclusioni sono conformi al GDPR.
Art. 35, paragrafo 2, e art. 39, paragrafo 1, lettera c, del GDPR; WP243, sezione 4.2
Sui conflitti di interessi, la Corte di giustizia dell’Unione europea (CGUE) ha stabilito nella causa X-FAB che c’è conflitto quando il DPO svolge altri compiti che lo portano a determinare le finalità e i mezzi del trattamento, e che va valutato caso per caso. Le linee guida europee danno un esempio che interessa i consulenti: c’è conflitto se si chiede al DPO esterno di rappresentare il cliente in giudizio in una causa di protezione dei dati.
[CGUE, C-453/21, X-FAB Dresden](https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:62021CJ0453); WP243, sezione 3.5
In pratica, tre abitudini vi proteggono:
- Date i vostri pareri per iscritto, anche brevi.
- Quando il cliente non segue il vostro parere, chiedetegli di registrare il perché. Le linee guida europee lo indicano come buona prassi, e la valutazione d’impatto deve motivare perché il parere non è stato seguito.
- Rifiutate i compiti che vi mettono dalla parte di chi decide, come approvare campagne, scegliere fornitori o firmare a nome del cliente.
WP243, sezioni 3.1 e 4.2; art. 38, paragrafo 6, del GDPR
## Classificate i clienti per rischio, non per compenso
Il cliente che paga di più non è per forza quello che ha più bisogno di attenzione. Il GDPR chiede al DPO di considerare i rischi inerenti al trattamento, ed è questo che fissa la frequenza di contatto con ciascuno. Un modello semplice, con sei criteri valutati da 0 a 2:
0 punti1 punto2 punti
Numero di interessatiMeno di 1.000Da 1.000 a 50.000Più di 50.000
Categorie particolari o dati giudiziari (artt. 9 e 10)NoOccasionalmenteAttività principale
Trasferimenti fuori dal SEENoCon decisione di adeguatezzaCon altre garanzie
Violazioni o reclami negli ultimi 12 mesiNessunoUnoDue o più
Cambiamento in corso (nuovo sistema, fusione, nuovo prodotto)NoPiccoloImportante
Modello di lavoro proposto da Pulsaiq, basato sull’art. 39, paragrafo 2, del GDPR. Non è un criterio di legge: adattatelo al vostro portafoglio di clienti.
Livello A8–12 punti
Riunione mensile, revisione trimestrale del registro8 h al mese
Livello B4–7 punti
Riunione trimestrale, revisione semestrale del registro4 h al mese
Livello C0–3 punti
Riunione semestrale, revisione annuale del registro2 h al mese
Ore al mese come punto di partenza.
Il calcolo di Inês3 clienti A · 6 B · 5 C
A 24 h · B 24 h · C 10 hmargine 12 h70 h disponibili
Le ore servono a un calcolo che conviene fare prima di accettare un cliente in più. Inês ha 3 clienti di livello A, 6 di livello B e 5 di livello C: 24 + 24 + 10 = 58 ore al mese di attività prevista, prima di violazioni, richieste e imprevisti. Se ha solo 70 ore al mese per questo lavoro, il margine è stretto. È esattamente la verifica che l’EDPB raccomanda ai clienti, ed è meglio farla prima voi.
Rivedete la classificazione una volta l’anno e ogni volta che si verifica un evento dell’ultimo criterio.
## Lo stesso kit di ingresso per tutti i clienti
Il tempo si perde soprattutto cambiando contesto: ogni cliente si organizza a modo suo. Risolvetelo dal primo giorno, con quattro elementi.
È la raccomandazione dell’EDPB, ed è anche la vostra protezione. Deve indicare almeno:
i compiti del DPO (art. 39 del GDPR) e ciò che non fate, come prendere decisioni o redigere valutazioni d’impatto;
il tempo previsto al mese e cosa succede quando viene superato;
a chi riferite, al vertice gerarchico, e con quale frequenza;
che non ricevete istruzioni sull’esecuzione dei vostri compiti;
l’accesso che avrete a persone, sistemi e documenti;
l’impegno del cliente ad avvisarvi il giorno stesso di ogni incidente e di ogni richiesta o reclamo di un interessato;
chi comunica i dati del DPO all’autorità di controllo, e quando.
2. Questionario iniziale
Un’unica lista di domande per tutti. Le risposte alimentano la classificazione per rischio e la prima versione del registro delle attività di trattamento.
attivitàsistemifornitori che trattano dati personalitrasferimentivideosorveglianzaincidenti passatidocumentazione esistente
3. La stessa struttura di cartelle
Nome_Cliente/
01_Designazione_e_contrattolettera, comunicazione al Garante02_Registro_attivitaun formato per tutti03_DPIAvalutazioni e pareri04_Violazioniregistro dell’art. 33, paragrafo 505_Richieste_interessatiregistro e risposte06_Responsabili_trattamentocontratti dell’art. 2807_Formazionepresenze e materiali08_Relazioni_direzionerelazione annuale09_Pareri_e_proveregistro delle prove
Aprire la cartella 04 di qualsiasi cliente e sapere subito dove si trova il registro delle violazioni fa guadagnare minuti ogni giorno. In un anno, giorni.
4. Referenti con nome e cognome
Per ogni cliente, una persona per gli incidenti e un’altra per le richieste degli interessati, con un sostituto. E un indirizzo di contatto del DPO che non sia la vostra e-mail personale, perché nessuna richiesta si perda in una casella che guardate solo il venerdì.
## Il calendario annuale
Con lo stesso calendario per tutti, il lavoro ricorrente smette di dipendere dalla memoria. Ogni cliente ha questi compiti negli stessi mesi; il livello di rischio fissa solo la frequenza delle revisioni e delle riunioni.
Tutti i clientiSolo i livelli indicati
GennaioRelazione annuale alla direzione
Febbraio—
MarzoRevisione del registro delle attività
AprileFormazione e sensibilizzazione
MaggioRevisione dei responsabili del trattamento (art. 28)
GiugnoRevisione del registro · solo A
LuglioAudit interno
AgostoVuoto di proposito
SettembreRevisione del registro · A e BRevisione della classificazione per rischio
OttobreFormazione e sensibilizzazione
NovembreEsercitazione su un data breach
DicembreRevisione del registro · solo A
Proposta di Pulsaiq; la legge non fissa queste date.
Agosto resta vuoto di proposito. Gli incidenti non vanno in ferie, ma i vostri clienti sì, e le riunioni di quel mese raramente si fanno.
## Lo smistamento: quando arriva tutto insieme
Torniamo al lunedì di Inês. L’ordine non dipende da chi grida più forte, ma dall’orologio che corre.
1
Possibili violazioni dei dati
72 ore
Il titolare ha 72 ore, da quando ne è venuto a conoscenza, per notificare l’autorità di controllo (il Garante in Italia, la CNPD in Portogallo), a meno che sia improbabile che la violazione presenti un rischio. L’orologio è del cliente e sta già correndo. Se il cliente è responsabile del trattamento, deve informare il titolare senza ingiustificato ritardo. E ogni violazione va documentata, anche quelle che non si notificano.
Un mese dal ricevimento, prorogabile di altri due se la richiesta è complessa o le richieste sono molte, purché si informi l’interessato entro il primo mese. La richiesta di nove giorni fa che ha Inês ha già consumato quasi un terzo del termine.
Richieste di informazioni dell’autorità di controllo, seguiti di un’ispezione del Garante, reclami trasmessi dall’autorità, riunioni della direzione, lanci di prodotti.
4
Tutto il resto
In calendario
Va in calendario, con una data, invece di restare nella casella di posta.
15min
I primi 15 minuti di ogni giorno
Scorrete le caselle di contatto di tutti i clienti cercando solo due cose: incidenti e richieste degli interessati. Annotatele subito: la data e l’ora in cui il cliente ne è venuto a conoscenza, per le violazioni, e la data di arrivo, per le richieste. È questo registro che dimostra poi che i termini sono stati rispettati.
## Un registro delle prove che dimostra il lavoro
Il principio di responsabilizzazione obbliga il cliente a rispettare il GDPR e a poterlo dimostrare. Gran parte di questa dimostrazione poggia sul vostro lavoro: pareri, formazione, revisioni. Se non è scritto, in caso di ispezione è come se non fosse mai successo.
Art. 5, paragrafo 2, e art. 24 del GDPR
Basta una riga per intervento, in un unico registro per tutti i clienti:
ParereDPIA obbligatoria; propone un’alternativa con badge
Decisione del clienteSvolgere la DPIA e decidere a novembre
Seguito?Sì
Prossimo passoRileggere la DPIA entro il 2026-11-10
Oficina Rocha · E-mail con dati dei clienti inviata per errore2026-10-16
ParereNotificare la CNPD entro 72 h (il rischio non si può escludere); per ora non contattare i clienti; rivalutare se emergono segni di uso illecito
Decisione del clienteNotificato il 19/10 alle 9:30; informazione integrativa inviata
Seguito?Sì
Prossimo passoFormazione sull’invio di allegati
Coop. Vale Verde · Conservazione dei CV dei candidati2026-10-16
ParereCancellare dopo 12 mesi salvo consenso
Decisione del clienteConservare 3 anni
Seguito?No motivo registrato dalla direzione
Prossimo passoDa inserire nella relazione annuale
Esempi fittizi. Nella pratica, aggiungete una colonna con il link al documento nella cartella 09 del cliente.
Questo registro fa tre cose insieme
Mostra cosa avete fatto per ogni cliente.
Vi scrive metà della relazione annuale.
Vi protegge se un giorno qualcuno chiede perché il vostro parere non è stato seguito.
## Fogli di calcolo o software?
Tutto ciò che descrive questa guida funziona con fogli di calcolo e una buona struttura di cartelle. Per molti DPO con pochi clienti, basta. I problemi arrivano con la scala, e quasi sempre negli stessi punti:
| Dove si inceppa | Con i fogli di calcolo | Cosa dovrebbe risolvere uno strumento dedicato |
|----------------------------|--------------------------------------------------------------|---------------------------------------------------------------------------|
| Versioni | «Registro_v4_finale_rivisto.xlsx» in tre posti | Una sola versione, con lo storico delle modifiche |
| Scadenze | Promemoria nel vostro calendario personale, creati a mano | Termini di 72 ore e di un mese calcolati all’apertura della pratica |
| Visione d’insieme | Aprire 14 file per sapere a che punto è ciascuno | Un cruscotto con tutti i clienti e ciò che è in ritardo |
| Prove | Copiare i pareri dalle e-mail al registro | Pareri, decisioni e documenti collegati tra loro |
| Condivisione con il cliente| Allegati con dati personali | Accesso controllato a uno spazio dedicato per ogni cliente |
Qualunque sia la vostra scelta, il metodo viene prima. Uno strumento non sistema un portafoglio senza classificazione per rischio né un cliente che non segnala i suoi incidenti.
Aggiornato il 21 ottobre 2026
### Cosa potrebbe cambiare
Due proposte dell’UE in corso modificano il GDPR. Nessuna tocca il cuore di questa guida: i compiti e la posizione del DPO. Ma cambiano il lavoro che fate per i clienti.
- **Registro delle attività di trattamento (Omnibus IV).** La Commissione ha proposto di estendere l’esenzione dal registro alle organizzazioni con meno di 750 dipendenti. Nell’accordo provvisorio del 26 giugno 2026, Consiglio e Parlamento hanno alzato la soglia a meno di 1.000 persone, mantenendo il registro obbligatorio per le attività ad alto rischio, per quelle che richiedono un DPO e per gli enti pubblici. Il voto in plenaria è previsto il 23 novembre 2026. Alcuni clienti di livello C potrebbero non essere più tenuti al registro, ma dovranno comunque conoscere i loro dati per rispondere alle richieste e dimostrare la conformità.
- **Violazioni e richieste (Digital Omnibus).** La proposta di novembre 2025 farebbe notificare all’autorità solo le violazioni a rischio elevato, porterebbe il termine a 96 ore, creerebbe un punto di accesso unico dell’UE per le notifiche e chiarirebbe quando una richiesta di accesso è abusiva. Prevede anche elenchi comuni dell’UE dei trattamenti che richiedono, o non richiedono, una valutazione d’impatto. L’EDPB e il Garante europeo della protezione dei dati (GEPD) sostengono diverse di queste misure, con riserve. Gli ambasciatori degli Stati membri discutevano il mandato negoziale del Consiglio il 21 ottobre 2026.
**Finché le nuove regole non sono pubblicate nella Gazzetta ufficiale e applicabili, valgono le regole attuali:** 72 ore, notifica ogni volta che c’è un rischio, e il registro con l’esenzione attuale dell’art. 30, paragrafo 5.
Spieghiamo cosa cambia il Digital Omnibus per i data breach e le richieste di accesso nel nostro articolo sul Digital Omnibus.
[Procedura 2025/0130(COD)](https://oeil.europarl.europa.eu/oeil/en/procedure-file?reference=2025%2F0130%28COD%29); [COM(2025) 837](https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=celex:52025PC0837); [parere congiunto EDPB-GEPD 2/2026](https://www.edpb.europa.eu/system/files/documents/2026-02/edpb_edps_jointopinion_202602_digitalomnibus_en.pdf); [ordine del giorno del Coreper, 21 ott 2026](https://data.consilium.europa.eu/doc/document/ST-14633-2026-INIT/en/pdf)
## Checklist del DPO esterno con più clienti
0 su 11 spuntati
Designazione
Portafoglio e capacità
Metodo comune
Routine e indipendenza
## Domande frequenti
### Quanti clienti può avere un DPO esterno?
La legge non fissa un massimo, e nemmeno la relazione dell’EDPB. Ci si aspetta che possiate dimostrare di avere tempo e mezzi per ogni cliente, e l’EDPB raccomanda alle organizzazioni di verificarlo prima di incaricarvi. Il foglio Capacità del kit del DPO con più clienti fa questo calcolo per voi.
### Un DPO esterno può svolgere la valutazione d’impatto del cliente?
Non dovrebbe. La valutazione d’impatto spetta al titolare del trattamento (art. 35, paragrafo 2). Il DPO consiglia se è necessaria, quale metodo seguire e se le conclusioni sono conformi al GDPR (art. 39, paragrafo 1, lettera c). Può fornire il modello, ma la decisione viene registrata come decisione del cliente.
### In Italia un DPO deve essere certificato?
No, non è obbligatorio. Il Garante chiarisce che non servono attestati formali né l’iscrizione a un albo, e che le certificazioni volontarie non equivalgono a un’abilitazione. Ciò che chiede il GDPR è che il DPO sia designato in funzione delle qualità professionali e, in particolare, della conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati (art. 37, paragrafo 5).
### Chi comunica al Garante i dati del DPO?
Ogni cliente, per conto suo. L’organizzazione che designa il DPO pubblica i suoi dati di contatto e li comunica all’autorità di controllo (art. 37, paragrafo 7). In Italia si fa online, con la procedura telematica del Garante. La lettera di incarico deve dire chi se ne occupa e quando.
### E se il cliente non segue il parere del DPO?
Chiedete che il motivo venga registrato. Il parere scritto e la decisione del cliente vanno nel registro delle prove, e una valutazione d’impatto deve motivare perché il parere non è stato seguito. Così la decisione resta nelle mani di chi l’ha presa, e il vostro lavoro è documentato.
## Fonti
### Legislazione e giurisprudenza
- [Regolamento (UE) 2016/679 (GDPR)](https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:32016R0679), artt. 5, 12, 24, 33, 35 e da 37 a 39 (EUR-Lex)
- [Legge portoghese n. 58/2019 dell’8 agosto 2019](https://files.diariodarepublica.pt/1s/2019/08/15100/0000300040.pdf), artt. da 9 a 11 (Diário da República, in portoghese)
- [CGUE, sentenza del 9 febbraio 2023, C-453/21, X-FAB Dresden](https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:62021CJ0453)
### EDPB e autorità nazionali
- [Garante, FAQ sul responsabile della protezione dei dati (RPD) in ambito privato](https://www.garanteprivacy.it/faq-sul-responsabile-della-protezione-dei-dati-rpd-in-ambito-privato)
- [Garante, FAQ sulla procedura telematica per la comunicazione dei dati dell’RPD](https://www.garanteprivacy.it/regolamentoue/rpd/faq-relative-alla-procedura-telematica-per-la-comunicazione-dei-dati)
- [EDPB, azione coordinata 2023: designazione e posizione dei DPO](https://www.edpb.europa.eu/system/files/2024-01/edpb_report_20240116_cef_dpo_en.pdf) (gennaio 2024, in inglese)
- [CNPD (Portogallo), Encarregado de proteção de dados](https://www.cnpd.pt/organizacoes/outras-obrigacoes/encarregado-de-protecao-de-dados/) (in portoghese)
### Cambiamenti in corso
- [Parlamento europeo, procedura 2025/0130(COD)](https://oeil.europarl.europa.eu/oeil/en/procedure-file?reference=2025%2F0130%28COD%29) (Omnibus IV)
- [COM(2025) 837, proposta Digital Omnibus](https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=celex:52025PC0837)
- [Parere congiunto EDPB-GEPD 2/2026 sul Digital Omnibus](https://www.edpb.europa.eu/system/files/documents/2026-02/edpb_edps_jointopinion_202602_digitalomnibus_en.pdf) (in inglese)
- [Consiglio dell’UE, ordine del giorno del Coreper del 21 ottobre 2026](https://data.consilium.europa.eu/doc/document/ST-14633-2026-INIT/en/pdf) (in inglese)
**Ultima revisione:** 21 ottobre 2026. Rivediamo questa guida ogni volta che cambiano la legge o gli orientamenti delle autorità.
Questa guida è un’informazione generale e non sostituisce una consulenza legale su un caso specifico. Le persone, le aziende e le situazioni delle scene sono fittizie.