Decreto legislativo - 30/06/2003 - n. 196 art. 2 quaterdecies - Attribuzione di funzioni e compiti a soggetti designati 1

Quale ruolo per l'Organismo e Vigilanza e i componenti di organi sociali

Con l'avvento del Regolamento, e in particolare del suo articolo 28 in materia di designazione di responsabili del trattamento – dalla cui lettera si evince ormai l'obiettiva impossibilità di qualificare come responsabile un soggetto interno alla struttura del titolare (a differenza di quanto avveniva sotto la previgente disciplina a norma dell'art. 29 ormai abrogato del codice privacy) – ci si è posti il dubbio sul corretto inquadramento di figure, quali i componenti di Organismi di Vigilanza (OdV) e organi sociali, in ottica privacy. Non potendo più considerare l'OdV suscettibile di designazione come responsabile esterno del trattamento, unica strada ammessa dal nuovo art. 28 del Regolamento – cosa che contraddirebbe frontalmente la ratio esplicitata dal legislatore, il quale accompagnò il d.lgs. n. 231/2001 con l'espressa previsione di non collocabilità all'esterno dell'ente di tale organismo (si veda in proposito la relazione accompagnatoria illustrativa al d.lgs. n. 231/2001) – non resta che interrogarsi su altre possibili soluzioni. Una strada, confortata dall'interpretazione di autorevoli studiosi (tra tutti: Rosario e Riccardo Imperiali) è quella che porta a considerare l'OdV come autonomo titolare del trattamento, pur facente parte interna dell'azienda. Tale interpretazione non presenta criticità concettuali e giuridiche particolari (un titolare può ben essere una parte interna di un ente, per esempio un suo organo dotato di autonomia decisionale o a cui si imputi ex lege una qualche funzione autonoma), ma certamente conduce, nella pratica, a comportare una serie di incombenze e di adempimenti, in capo all'OdV, potenzialmente gravosi. Si pensi all'obbligo, per un titolare del trattamento, di rendere l'informativa agli interessati, così come ai numerosi ulteriori adempimenti riferibili al centro di imputazione giuridica titolare del trattamento.

Una lettura alternativa del ruolo dell'OdV e dei suoi componenti è quella di chi vede in essi un “organo sociale”, anziché una mera funzione/struttura interna all'azienda.

Da questa interpretazione, taluni studiosi (tra gli altri, Antonetto e Pizzetti in un articolo intitolato “Sulla qualificazione soggettiva dell'Organismo di Vigilanza ai fini privacy”, pubblicato dall'Associazione dei Componenti degli Organismi di Vigilanza exd.lgs. n. 231/2001 nella primavera del 2019) desumono che, semplicemente, l'OdV e i suoi membri “siano” l'ente per il quale svolgono il ruolo, non dovendosi differenziare in chiave privacy all'interno di esso. In sostanza, per un effetto di immedesimazione organica dei componenti e dell'organismo stesso nell'ente, ogni qualificazione giuridica in materia di protezione di dati personali dei medesimi soggetti si porrebbe come superflua, poiché essi “sono” il titolare o responsabile sul quale vigilano.

La suggestiva ricostruzione teorica, sopra sinteticamente richiamata e interpretata dallo scrivente, appare tuttavia del tutto incondivisibile. Non solo non convince l'inquadramento dell'OdV come organo sociale, anziché come funzione/struttura interna, ma, anche ove si volesse sposare la teoria dell'OdV-organo sociale, al pari di un consiglio di amministrazione o di un collegio sindacale, la strada semplificatoria del “non-ruolo privacy per immedesimazione organica” non reggerebbe alla prova dello spirito generale del Regolamento e del principio di responsabilizzazione in esso scolpito. Come evidente, la normativa in materia di protezione dei dati personali si pone l'obiettivo della tutela sostanziale dei diritti e delle libertà delle persone fisiche, con riguardo al trattamento di informazioni a loro riferibili, e dunque della difesa, ancora, sostanziale da pericoli e rischi per tali diritti e libertà. Abbracciare, pur con eleganza di pensiero astratto, la fictio giuridica per la quale una persona che tratta dati di altre persone non debba essere responsabilizzata individualmente all'interno dell'organizzazione dell'ente – e vincolata al rispetto di istruzioni e misure tecniche e organizzative di sicurezza adeguate – equivale a negare che quella persona esista nel mondo anche a prescindere dall'organismo stesso e comporti, quindi, potenziali rischi di deviazione nel trattamento di dati.

In altre parole, la disciplina privacy non guarda – come invece la disciplina exd.lgs. n. 231/2001 – unicamente agli illeciti che siano commessi a vantaggio o nell'interesse dell'ente, mentre mira, viceversa, a proteggere effettivamente gli interessati e a vincolare efficacemente i soggetti attivi del trattamento anche rispetto a rischi violativi del tutto estranei al contesto istituzionale, professionale, aziendale nel quale il dato sia originariamente raccolto ed elaborato. Per tale ragione, convince maggiormente la strada di un'autorizzazione di ciascun componente dell'OdV, così come di qualsiasi organo sociale, a trattare i dati per lo svolgimento dei propri compiti. Un'autorizzazione da parte del titolare, ex art. 29 del Regolamento ed ex art. 2-quaterdecies comma 2 del codice privacy, se del caso integrata da alcune espresse previsioni che escludano rischi di compressione dell'autonomia e indipendenza del componente autorizzato a causa delle istruzioni contenute nell'autorizzazione stessa (ad esempio, non dovrebbe essere possibile subordinare, nelle istruzioni contenute in tale autorizzazione, il trattamento di taluni dati da parte dell'OdV, necessari all'esecuzione di controlli tipici del suo ruolo, a previe verifiche e placet del responsabile della protezione dei dati).

E infatti questa configurazione è stata confermata dallo stesso Garante per la protezione dei dati personali nel parere sulla qualificazione soggettiva dell'Organismo di Vigilanza, reso nel maggio 2020 a seguito di un'espressa richiesta di chiarimenti presentata dall'Associazione dei Componenti degli Organismi di Vigilanza exd.lgs. n. 231/2001, ove si conferma che “l'OdV, nel suo complesso, a prescindere dalla circostanza che i membri che lo compongano siano interni o esterni, debba essere considerato “parte dell'ente”. Il Garante infatti sottolinea che nel caso dell'OdV i compiti di iniziativa e controllo, per quanto siano svolti in autonomia, non sono determinati dall'Organismo bensì dalla legge e dal vertice aziendale, mediante il Modello di Organizzazione, gestione e controllo, che ne definisce anche il funzionamento e le risorse. Inoltre l'Odv non ha alcun potere impeditivo o disciplinare nei confronti di eventuali autori di reati, la cui responsabilità rimane in capo all'ente. Pertanto, non può essere considerato un titolare del trattamento. Nel contempo, tuttavia, non può nemmeno essere considerato un responsabile ai sensi dell'art. 28 GDPR, posto che non si tratta di un organismo giuridicamente distinto dal titolare del trattamento, ma è parte dello stesso. Il Garante conclude quindi evidenziando che “Il suo ruolo – che si esplica nell'esercizio dei compiti che gli sono attribuiti dalla legge, attraverso il riconoscimento di “autonomi poteri di iniziativa e controllo” – si svolge nell'ambito dell'organizzazione dell'ente, titolare del trattamento, che, attraverso la predisposizione dei modelli di organizzazione e di gestione, definisce il perimetro e le modalità di esercizio di tali compiti. Tale posizione si intende ricoperta dall'OdV nella sua collegialità, tuttavia, non può prescindersi dalla necessità di definire anche il ruolo che, in base alla disciplina in materia di protezione dei dati personali, deve essere previsto per i singoli membri che lo compongono. Lo stesso ente, in ragione del trattamento dei dati personali che l'esercizio dei compiti e delle funzioni affidate all'OdV comporta (ad esempio, l'accesso alle informazioni acquisite attraverso flussi informativi), designerà – nell'ambito delle misure tecniche e organizzative da porre in essere in linea con il principio di accountability (art. 24 del Regolamento) – i singoli membri dell'OdV quali soggetti autorizzati (artt. 4, n. 10, 29, 32 par. 4 Regolamento; v. anche art. 2-quaterdecies del Codice). Tali soggetti, in relazione al trattamento dei dati degli interessati, dovranno attenersi alle istruzioni impartite dal titolare affinché il trattamento avvenga in conformità ai principi stabiliti dall'art. 5 del Regolamento”. Spetterà comunque al titolare del trattamento adottare misure tecniche e organizzative che siano in grado di garantire la protezione dei dati personali trattati e al contempo l'autonomia e indipendenza dell'OdV rispetto ai vertici societari nell'adempimento dei propri compiti (GPDP, p. 5).