DPO in Albania: chi deve nominarlo, chi può ricoprire il ruolo e cosa fa concretamente

La domanda che mi viene posta più spesso dagli amministratori di società italiane con attività in Albania, da quando il Commissario ha iniziato a irrogare sanzioni, è semplice: "Ci serve un DPO?" La risposta dipende da tre articoli della legge n. 124/2024 "Sulla protezione dei dati personali", approvata il 19.12.2024 e in vigore dall'inizio del 2025. Questo articolo li spiega come li applico nella pratica, da avvocato e da Data Protection Officer di società albanesi e italiane dal 2014.

1. Quando il DPO è obbligatorio

L'articolo 33, comma 1, prevede tre casi. Il titolare e il responsabile del trattamento, quindi anche la società che tratta dati per conto dei propri clienti, nominano un DPO quando:

• a) il trattamento è svolto da un'autorità o da un organismo pubblico, esclusi i tribunali nell'esercizio della funzione giurisdizionale;
• b) le attività principali richiedono un monitoraggio regolare e sistematico degli interessati su larga scala;
• c) le attività principali comportano il trattamento su larga scala di dati sensibili o di dati penali.

La legge non indica soglie numeriche. Le parole chiave sono "attività principali" e "larga scala", interpretate secondo le linee guida europee sul DPO (WP 243), che il Commissario segue. In pratica, la lettera "b" riguarda i call center e le società di televendita, le piattaforme online e le app che tracciano il comportamento degli utenti, le assicurazioni e gli istituti finanziari, gli operatori di telecomunicazioni, le società con sistemi estesi di videosorveglianza o di geolocalizzazione della flotta. La lettera "c" riguarda ospedali, cliniche, laboratori, scuole private, assicurazioni sanitarie e sulla vita e ogni impresa che tratta dati sanitari o biometrici come parte della propria attività.

Un gruppo di società può nominare un unico DPO, purché sia facilmente raggiungibile da ciascun membro del gruppo (articolo 33, comma 2). È la soluzione che adottano di norma i gruppi italiani con società controllate in Albania: lo stesso DPO per la casa madre e per la sede albanese.

Due precisazioni che evitano gli errori più comuni. La prima: l'esenzione per le società con meno di 250 dipendenti, spesso citata, riguarda il registro delle attività di trattamento (articolo 27, comma 4), non il DPO; una clinica con 15 dipendenti può avere l'obbligo del DPO. La seconda: chi nomina il DPO volontariamente (articolo 33, comma 3) è soggetto alle stesse regole sulla posizione e sull'indipendenza, come se la nomina fosse obbligatoria.

2. Chi può essere DPO

L'articolo 34, comma 2, richiede tre cose: capacità professionali certificate, buona conoscenza della legge e delle prassi di protezione dei dati e capacità di svolgere i compiti dell'articolo 34. La legge ammette espressamente due modelli:

• DPO interno, una persona dipendente del titolare o del responsabile;
• DPO esterno, una persona con cui viene stipulato un contratto di servizio.

Il punto delicato è il conflitto di interessi. Il DPO può svolgere altri compiti, ma il titolare deve assicurare che non siano in contrasto con il ruolo. La prassi europea, seguita dal Commissario, esclude dal ruolo chi decide finalità e mezzi del trattamento: l'amministratore, il direttore IT, il direttore delle risorse umane, il direttore marketing. In una società albanese di medie dimensioni, la figura interna priva di conflitti spesso non esiste, ed è questa la ragione pratica per cui il DPO esterno è diventato il modello prevalente.

La legge non richiede che il DPO risieda in Albania. Richiede che sia raggiungibile dagli interessati e dal Commissario, che conosca la legge albanese e la prassi del Commissario e che comunichi nella lingua dei dipendenti e dei clienti. Per una società italiana con sede a Tirana, un DPO che lavora in entrambe le lingue e in entrambi i regimi (GDPR e legge 124/2024) assolve insieme l'obbligo albanese e quello europeo.

3. Cosa fa il DPO e cosa gli deve la società

I compiti sono elencati nell'articolo 34, comma 1: consiglia gli organi direttivi, partecipa alle valutazioni d'impatto (DPIA) ai sensi dell'articolo 31, informa e forma il personale, sorveglia l'osservanza della legge e delle politiche interne, audit compresi, e funge da punto di contatto per il Commissario.

La parte che gli amministratori sottovalutano sono gli obblighi della società verso il DPO:

1. Pubblicazione dei contatti del DPO e notifica al Commissario della nomina (articolo 34, comma 3). Senza notifica, per il Commissario il DPO non esiste.
2. Coinvolgimento tempestivo in ogni questione relativa ai dati e risorse adeguate (comma 4). Un DPO che viene a sapere di un nuovo progetto dopo l'avvio non svolge la sua funzione.
3. Indipendenza (comma 5): il DPO non riceve istruzioni sull'esercizio dei compiti, non viene rimosso né penalizzato a causa di essi e riferisce direttamente al vertice.
4. Riservatezza del DPO su tutto ciò che apprende nell'esercizio delle funzioni (comma 4).

Cosa si rischia senza DPO

Gli articoli 33 e 34 fanno parte del capitolo III della parte II della legge. La violazione degli obblighi di questo capitolo è punita dall'articolo 94, comma 1, con una sanzione fino a 1.000.000.000 di lek (circa 10 milioni di euro) o, per le società, fino al 2% del fatturato annuo globale, se superiore. La misura concreta dipende dalle circostanze dell'articolo 93: natura e durata della violazione, cooperazione con il Commissario, precedenti. Come ho spiegato nell'articolo sulle prime decisioni con sanzione, la mancanza del DPO raramente emerge da sola; compare insieme all'assenza del registro, dell'informativa e dei contratti con i responsabili, e aggrava il quadro complessivo.

Cinque passi per farlo correttamente

1. Valutazione scritta se ricorre uno dei tre casi dell'articolo 33. Anche la conclusione "non abbiamo l'obbligo" va documentata, perché il Commissario la chiede.
2. Decisione dell'amministratore di nomina del DPO, con nome, contatti e descrizione della posizione.
3. Contratto di servizio per il DPO esterno, o integrazione del contratto di lavoro per quello interno, con le garanzie di indipendenza dell'articolo 34.
4. Notifica al Commissario e pubblicazione dei contatti del DPO nella privacy policy e nelle informative a dipendenti e clienti.
5. Coinvolgimento del DPO nel registro dei trattamenti, nelle DPIA e nella procedura di data breach, perché il ruolo non resti sulla carta.

Tre domande ricorrenti

L'avvocato della società può essere anche DPO? Sì, se non decide le finalità del trattamento e se la rappresentanza in altre questioni non crea conflitto con la sorveglianza della conformità. In pratica, l'avvocato esterno con formazione in protezione dei dati è uno dei profili più adatti, proprio perché non fa parte della struttura direttiva.

Un DPO può seguire più società? Sì, sia per i gruppi (articolo 33, comma 2) sia per società non collegate con contratti di servizio distinti, purché abbia tempo e risorse reali per ciascuna.

Cosa succede quando il DPO lascia l'incarico? Se ne nomina un altro senza ritardo, si notifica nuovamente il Commissario e si aggiornano i contatti pubblicati. Il periodo senza DPO è un periodo di violazione.

OnLaw Office e ITAKA7, la società specializzata in privacy che ho co-fondato, offrono il servizio di DPO esterno a società albanesi e italiane, dalla valutazione iniziale alla notifica al Commissario e alla sorveglianza continua, in italiano. Contattateci se volete sapere, per iscritto e in pochi giorni, se la vostra società ha l'obbligo.