Può un consigliere validare, con il proprio voto in Consiglio, le stesse scelte organizzative che, indossando i panni del DPO, dovrebbe poi supervisionare con occhio indipendente? È la domanda, tutt’altro che teorica, che si è posto di recente il Consiglio Nazionale dei Dottori Commercialisti.
Uno degli aspetti meno esplorati, ma tutt’altro che marginale, della disciplina sul Responsabile della Protezione dei Dati riguarda la sua collocazione all’interno della governance dell’ente che lo designa. Un recente chiarimento del Consiglio Nazionale dei Dottori Commercialisti e degli Esperti Contabili, reso attraverso un apposito quesito di prassi, offre lo spunto per una riflessione più ampia, che travalica il perimetro degli Ordini professionali e riguarda, in generale, qualunque organizzazione dotata di organi collegiali di indirizzo.
Il quesito e la cornice normativa
Il quesito posto al Consiglio Nazionale era, nella sua formulazione, semplice: l’assunzione della carica di consigliere di un Ordine territoriale è compatibile con lo svolgimento, presso il medesimo Ordine, dell’incarico di DPO?
La risposta richiede di muoversi lungo il crinale tracciato dagli articoli 37, 38 e 39 del GDPR, che disciplinano rispettivamente la designazione, la posizione e i compiti del Responsabile della Protezione dei Dati.
Va anzitutto ricordato che gli Ordini professionali, in quanto enti pubblici non economici a carattere associativo, rientrano tra i soggetti tenuti alla designazione obbligatoria del DPO ai sensi dell’articolo 37, paragrafo 1, lettera a), del Regolamento.
Il GDPR, tuttavia, non individua cause di incompatibilità tipizzate poiché si limita a richiedere, quale condizione per il legittimo svolgimento dell’incarico, l’assenza di conflitti di interesse, un requisito che va apprezzato caso per caso, alla luce delle indicazioni fornite a suo tempo dal Gruppo di lavoro “Articolo 29”, oggi confluito nel Comitato Europeo per la Protezione dei Dati, nelle Linee guida sui responsabili della protezione dei dati, e degli orientamenti successivamente diffusi dal Garante italiano.
Il principio cardine: l’incompatibilità funzionale
Il nucleo della questione, ben sintetizzato dalle richiamate Linee guida, è il seguente.
Un DPO può legittimamente svolgere altre funzioni all’interno dell’organizzazione, ma solo a condizione che tali funzioni non comportino, per lui, la determinazione delle finalità o delle modalità del trattamento dei dati personali.
È proprio questo il punto critico quando il DPO siede in un organo collegiale con funzioni di indirizzo, come il Consiglio di un Ordine professionale, ciascun componente di tale organo è chiamato, per definizione, ad assumere decisioni che incidono sull’assetto organizzativo dell’ente e, di riflesso, sulle modalità e sulle finalità del trattamento dei dati personali delle diverse categorie di interessati, iscritti, dipendenti, utenti dei servizi dell’Ordine.
In linea di principio, dunque, la partecipazione all’organo di indirizzo genera una conflittualità strutturale con l’incarico di DPO. Ma, ed è qui che il ragionamento del Consiglio Nazionale, in linea con la posizione del Garante, introduce un elemento di flessibilità operativa, questa conflittualità non si traduce in un’incompatibilità assoluta e insuperabile.
Le misure di prevenzione come via d’uscita
La soluzione individuata è quella, ben nota a chi si occupa di conflitti di interesse in ambito societario e associativo, della dichiarazione e dell’astensione. Il componente dell’organo collegiale che ritenga di trovarsi, su un determinato punto all’ordine del giorno, in una situazione di potenziale conflitto in ragione del proprio incarico di DPO, è tenuto a dichiararlo e ad astenersi sia dalla discussione sia dalla deliberazione. A condizione che tali misure siano effettivamente presenti e rigorosamente rispettate, il componente dell’organo collegiale investito dell’incarico di DPO non versa, per ciò solo, in una situazione di conflitto di interessi ostativa alla nomina.
Occorre però un passaggio ulteriore, che è poi quello su cui si è concentrata l’attenzione più recente del Garante. Non basta che le misure di prevenzione esistano in astratto, occorre che l’ente, quale titolare del trattamento, dimostri, con idonea documentazione (delibere, verbali, regolamenti, atti di nomina), di aver effettivamente svolto la valutazione caso per caso e di aver adottato misure organizzative coerenti con i suoi esiti. È il principio di accountability, sancito dagli articoli 5, paragrafo 2, e 24 del GDPR, applicato in concreto: non è sufficiente affermare l’assenza di conflitto, bisogna poterla dimostrare documentalmente.
Non è un dettaglio formale. Il Garante, occupandosi in un caso specifico proprio della nomina di un consigliere di un Ordine professionale a DPO del medesimo Ordine, ha ritenuto non conforme il conferimento dell’incarico proprio per l’assenza di comprovata adozione di adeguate misure di prevenzione del conflitto, a dimostrazione che è l’assenza di documentazione, più che l’esistenza in sé del doppio ruolo, a esporre l’ente al rischio sanzionatorio.
Una questione che va oltre gli Ordini professionali
Il principio affermato in questo contesto ha una portata evidentemente generale, che interessa qualunque organizzazione, societaria, associativa, pubblica, dotata di un organo collegiale di indirizzo: consiglio di amministrazione, comitato direttivo, giunta. Ogniqualvolta si valuti di designare quale DPO un soggetto che sieda in un simile organo, occorre condurre una valutazione strutturata che tenga conto delle dimensioni dell’ente, delle risorse a disposizione, della complessità organizzativa, delle tipologie e della quantità dei trattamenti svolti, e, soprattutto, occorre formalizzare tale valutazione e le misure di prevenzione conseguenti in atti che possano essere esibiti in caso di verifica.
Il valore aggiunto dell’indipendenza strutturale
Proprio queste difficoltà spiegano perché, nella prassi, molte organizzazioni preferiscano affidare l’incarico di DPO a un professionista esterno, privo di qualunque ruolo decisionale nella determinazione delle finalità e delle modalità del trattamento. Una simile scelta non elimina la necessità di una valutazione accurata, l’indipendenza va comunque verificata anche rispetto a eventuali altri incarichi che il professionista esterno svolga per il medesimo ente, ma riduce sensibilmente il rischio strutturale di conflitto che l’appartenenza a un organo di indirizzo comporta, e consente di concentrare l’accountability documentale sul solo profilo dell’assenza di conflitti derivanti da altri rapporti professionali, anziché su un conflitto potenzialmente radicato nella stessa architettura di governance dell’ente.
Conclusioni
Il chiarimento del Consiglio Nazionale dei Commercialisti conferma un principio che meriterebbe maggiore diffusione presso gli enti che si affacciano, spesso per la prima volta, alla designazione di un DPO interno. La compatibilità tra cariche non si presume né si esclude in astratto, ma va costruita, e soprattutto documentata, caso per caso.
