L’art. 37 del GDPR prevede che il Data Protection Officer deve essere obbligatoriamente nominato quando: il titolare del trattamento è un’autorità pubblica oppure un organismo di diritto pubblico; ovvero quando le attività principali consistono in trattamenti che richiedono regolari e sistematici monitoraggi, o i trattamenti dei dati avvengono su larga scala; [...]