Tra la persona fisica e la persona giuridica affidataria del servizio deve sussistere un legame formale al fine di poter svolgere le funzioni di “Dpo” (Data Protection Officer o “Rpd”, Responsabile protezione dati).
E’ quanto affermato dal Tar Puglia, Sezione III – Lecce, con la Sentenza n. 1468/2019, nella quale il Giudice amministrativo è stato chiamato a dirimere una importante questione che coinvolge in larga parte gli Enti Locali, sulla legittimità della designazione del Responsabile della protezione dei dati così come previsto dal Regolamento europeo sulla protezione dei dati personali n. 2016/679 “Gdpr”.
Nel caso di specie, la contestazione del ricorrente verteva sulla designazione come “Rpd” da parte di un Ente Locale (a seguito di una procedura mediante Avviso pubblico), di una persona giuridica dalla cui domanda, secondo le motivazioni del ricorrente, non risultava evidenziato il legame fra la persona giuridica designata ed il professionista incaricato di svolgere l’attività oggetto dell’Avviso.
Il Tar, ai fini della decisione della controversa, ha richiamato quanto disposto nelle “Linee guida sui responsabili della protezione dati” 13 dicembre 2016, le quali delineano, attraverso un’interpretazione autentica, quali siano le norme comunitarie che indicano le necessarie conoscenze e qualità professionali che un soggetto deve possedere per essere designato come Responsabile protezione dati (“Rpd”) oltre che la sua posizione all’interno della persona giuridica designata a svolgere la funzione di “Rpd”. In particolare, le “Linee-guida” precisano che, “qualora la funzione di ‘Rpd’ sia svolta da una persona giuridica, è indispensabile che ciascun soggetto ‘appartenente’ alla persona giuridica incaricato della funzione di ‘Rpd’ soddisfi tutti i requisiti applicabili come fissati dal come fissati nella Sezione 4 del Gdpr”,con ciò ponendo, come condizione indispensabile, che il soggetto (persona fisica) operante come “Rpd” deve essere “appartenente” alla persona giuridica.
Dagli atti prodotti dalla Società designata, relativamente ai propri rapporti con l’incaricato (persona fisica) individuato per lo svolgimento della funzione di “Rpd”, risultava la sola presenza di una proposta di incarico al predetto che tuttavia appariva viziata dalla mancata registrazione e non allegata alla domanda di partecipazione presentata al Comune e, dunque, non atta a dare piena prova del fatto che la persona fisica designata a svolgere l’incarico fosse, a qualche titolo, “appartenente” alla persona giuridica designata.
Il Collegio pertanto ha accolto il ricorso, ritenendo non sussistente, nella fattispecie, l’elemento necessario dell’appartenenza della persona fisica svolgente le funzioni di “Rpd” alla persona giuridica affidataria del Servizio.
