Il Garante per la protezione dei dati personali italiano, con provvedimento n. 802 del 19 dicembre2024, ha ribadito l’incompatibilità del ruolo di DPO (o RPD in lingua italiana) con quello di rappresentante legale della società presso cui è designato.
Nel caso in esame, il Garante avviava, su segnalazione della Banca d’Italia, degli accertamenti ispettivi nei confronti di una società che si occupa principalmente di effettuare, per conto dei propri clienti, la cancellazione delle segnalazioni nelle centrali creditizie operate dalle banche.
Dallo svolgimento dell’attività istruttoria emergevano una pluralità di violazioni della normativa dettata in materia di trattamento di dati personali da parte della società stessa.
Tra le varie violazioni riscontrate, si rilevava che:
Inoltre, dalla documentazione acquisita, risultava altresì che la società avesse provveduto alla designazione del Responsabile per la protezione dei dati personali (RPD), individuando lo stesso nel rappresentante legale della società medesima.
Ai sensi degli articoli 37 e 38 del GDPR, il RPD è un soggetto di cui in determinati casi le società sono tenute a munirsi. Questo viene designato dal titolare del trattamento per assolvere, nei confronti dello stesso, a funzioni di supporto e di controllo, consultive, formative e informative relativamente all’applicazione della normativa in questione. Tale incarico, ai fini del corretto svolgimento, richiede la piena indipendenza ed autonomia del soggetto designato, in assenza di conflitti di interesse e senza che vi sia stata ricezione di istruzioni alcune in ordine all’esecuzione dei propri compiti, in merito ai quali riferisce direttamente al vertice gerarchico.
Il RPD può essere individuato, oltre che in un soggetto terzo che svolga la propria funzione in base ad un contratto di servizi, anche in un dipendente del titolare del trattamento, purché abbia la possibilità di svolgere il ruolo in maniera indipendente ed autonoma.
Ebbene, il Garante rilevava che, sebbene nel caso di specie la designazione fosse stata effettuata su base volontaria, visto quanto stabilito nelle “Linee Guida sui Responsabili della protezione dei dati”, i requisiti di cui agli articoli 37 e 38 avrebbero comunque dovuto trovare applicazione, come se la designazione fosse stata obbligatoria. Tuttavia, il soggetto designato in qualità di RPD dalla società risultava inadatto allo svolgimento di tale ruolo.
Difatti, come previsto dal considerando 97, i RPD dovrebbero poter adempiere alle proprie funzioni in maniera indipendente. Conseguentemente, il ruolo di RPD non può che risultare “del tutto incompatibile con quello di rappresentante legale della società presso la quale è designato, in quanto il medesimo soggetto che determina i mezzi e le finalità dei trattamenti non può avere la necessaria indipendenza per esercitare anche i compiti di sorveglianza, sull’osservanza della disciplina e sulle politiche del titolare in materia di protezione dei dati personali, previsti dall’art. 39, par. 1, lett. b), del Regolamento e affidati appunto a un soggetto (anche interno) a cui deve essere tuttavia assicurata una condizione di indipendenza”.
Coerentemente con quanto osservato dal Garante, infatti, l’articolo 38 del GDPR prevede che titolari e responsabili del trattamento si assicurino che il RPD non riceva alcuna istruzione riguardante l’esecuzione dei propri compiti.
Secondo quanto affermato dal Garante, la designazione di un soggetto incompatibile comporterebbe l’impossibilità del perfezionarsi della designazione; pertanto, nel caso di specie, la nomina a RPD effettuata nei confronti del legale rappresentante risulta affetta da nullità.
Alla luce di tutto quanto rilevato, viste le numerose violazioni registrate, il Garante ingiungeva alla società il pagamento di una sanzione amministrativa pecuniaria di 70 mila euro ed ordinava alla società l’implementazione di misure correttive.