Funzione Dpo: ove si assegni ad una persona giuridica, il “referente” non deve essere necessariamente un dipendente della Società

18 Giu, 2020 by Redazione

Print this article Font size -16+

Ove si assegni ad una persona giuridica la funzione di “Data Protection Officer” (Dpo) il “referente” designato a svolgere le attività, non deve essere necessariamente un dipendente della Società. E’ quanto specificato dal Garante per la protezione dei dati personali ha specificato tale regola in una con una nota di chiarimenti (Protocollo n. 16763 del 6 maggio 2020) rivolta a una azienda sanitaria locale piemontese ma applicabile in tutti gli affidamenti di servizi di Dpo.

La vicenda nell’ambito della quale è stato formulato il chiarimento è la seguente.

Una Asl piemontese ha indetto una gara per l’affidamento del servizio di Responsabile della Protezione dei Dati – Rpd (Data Protecion Officer – Dpo) di cui all’art. 37 del Gdpr.  Nel corso della procedura la Asl ha escluso una società partecipante la quale ha indicato un avvocato come designato a svolgere le relative funzioni.

L’esclusione deriva dal fatto che la Stazione appaltante, la Asl, ha interpretato l’art. 37 del Gdpr nel senso che il rapporto intercorrente tra la persona giuridica nominata Dpo e la persona fisica designata dovesse essere necessariamente un rapporto di lavoro subordinato mentre nel caso in questione, anche alla luce degli obblighi gravanti sugli avvocati liberi professionisti, era stato sottoscritto un contratto di consulenza.

La società concorrente esclusa ha inviato una segnalazione al Garante per la protezione dei dati, il quale nell’affermare il principio per cui il soggetto “referente” Dpo può non essere un dipendente della società a cui è stato affidato il servizio ha assunto una posizione valida per tutte le procedure di gara pubbliche per servizi analoghi.

Si ripercorrono, quindi, i ragionamenti che stanno alla base della nota del Garante.

L’art. 37, par. 6, del Gdpr, consente al titolare di designare un Dpo “il responsabile della protezione dei dati può essere un dipendente … oppure assolvere i suoi compiti in base a un contratto di servizi”. Tale previsione deve essere letta alla luce delle “Linee guida” sui responsabili della protezione dei dati (WP243), adottate dal Gruppo di lavoro art. 29 (“WP29”) il 13 dicembre 2016 ed emendate il 5 aprile 2017, ai sensi delle quali l’incarico di Dpo può essere assolto anche da una persona giuridica, purché coloro che siano preposti a questi compiti siano dotati dei requisiti richiesti dal Regolamento e purché sia indicata una persona fisica che funga da referente della società presso il titolare che lo ha designato.

Il Garante rileva che nessuna disposizione del Regolamento richiede la sussistenza di un rapporto di subordinazione tra la persona giuridica designata quale Dpo e la persona fisica, che, per conto di tale società, funga da referente presso l’ente designante. Conferma di tale circostanza è che le “Linee-guida” si limitano a parlare di “appartenenza” della persona fisica alla persona giuridica, senza però dare, a tale concetto, alcuna precisa connotazione giuridica. Tale scelta appare coerente con il rispetto dei diversi assetti esistenti negli stati dell’Unione nella disciplina dei rapporti di lavoro.

Nello specifico, il Garante ha evidenziato che le Linee guida, nella versione originale in lingua inglese, fanno riferimento a “each member of the organisation exercising the functions of a Dpo” (ciascun membro dell’organizzazione che svolge la funzione di Dpo). Si tratta, quindi, di una espressione che rimanda ad un concetto di “coinvolgimento” delle persone fisiche preposte rispetto alla persona giuridica designata. Per questa ragione, il Garante non ritiene che si possa interpretare il concetto di appartenenza, secondo la traduzione italiana, quale un vincolo di dipendenza parificabile ad un rapporto di lavoro subordinato (come, ad esempio, quello di cui all’articolo 2094 Codice civile).

Tale ricostruzione dell’appartenenza come “coinvolgimento” della persona fisica nella struttura della persona giuridica e non come necessaria “subordinazione” appare condivisibile e idonea a garantire l’accesso alla “funzione” per i soggetti iscritti ad Albi, come quello degli Avvocati, ossia proprio quei soggetti che ai sensi dell’art. 37 del Gdpr, par. 5, (requisiti del Dpo) astrattamente possono possedere la “…conoscenza specialistica della normativa”. Diversamente, ammettendo solo il parametro della “subordinazione” si arriverebbe a dover escludere radicalmente … proprio gli avvocati del libero foro attesa l’incompatibilità di fondo tra la libera professione e il rapporto di lavoro dipendente.  

Così ricostruito il perimetro del “coinvolgimento” della persona fisica nella struttura della persona giuridica, l’ente committente potrà certamente (anzi, dovrà) richiedere alle Società candidate per l’incarico di Dpo adeguate informazioni, eventualmente comprovate da idonea documentazione, circa la persona fisica da indicare come referente (CV, certificati, etc.).

Inoltre, l’Ente potrà inserire nel contratto una clausola che obblighi la persona giuridica affidataria di comunicargli qualsiasi variazione, intervenuta in sede di esecuzione, riguardante la persona fisica referente previamente individuata.

di Flavio Corsinovi

Redazione

More articles by Redazione