DPO e conflitto di interessi

A distanza di poco più di una anno dalla pubblicazione del Provvedimento sanzionatorio emanato nei confronti di un Comune che aveva affidato al proprio Data Protection Officer (anche avvocato) il compito della propria difesa in un giudizio relativo ad una presunta violazione dei dati personali degli interessati, il Garante privacy ammonisce un’altra amministrazione territoriale per aver nominato RPD una persona in posizione di conflitto di interessi: il direttore amministrativo della società che forniva al Comune servizi di assistenza e consulenza informatica in qualità di responsabile del trattamento.

Nel Documento di indirizzo su designazione, posizione e compiti del Responsabile della protezione dei dati (RPD) in ambito pubblico, pubblicato nell’aprile 2021 (ed emanato ai sensi dell’art. 57, par. 1, lett. b) e d), del Regolamento, concernente il potere di adottare linee guida di indirizzo riguardanti le misure organizzative e tecniche di attuazione dei principi del Regolamento), il Garante si occupa specificamente di questa casistica, stabilendo che non dovrebbe essere nominata DPO “una persona fisica che – per il ruolo ricoperto all’interno di una società che fornisce servizi IT a pubbliche amministrazioni, in qualità di Responsabile del trattamento – sia in grado di adottare decisioni che influiscano sulla fornitura dei servizi, che quindi impattino sui trattamenti di dati personali effettuati per conto dell’amministrazione Titolare“. Ciò poiché la “sovrapposizione delle figure di RPD e di responsabile IT rende impossibile, di fatto, la sorveglianza, con la necessaria imparzialità, sulla validità e sull’adeguatezza delle soluzioni e delle misure, tecniche e organizzative, adottate, dato che i ruoli di controllore e controllato confluirebbero in capo al medesimo soggetto, ingenerando così un evidente conflitto permanente nello svolgimento delle proprie funzioni“.