Prescrizioni del Garante n. 363 del 31/08/2023

Comune dell'Aquila: ammonimento per nomina del RPD in conflitto di interessi e mancata comunicazione dei dati di contatto

Il provvedimento riguarda il Comune dell'Aquila e la designazione del Responsabile della protezione dei dati, effettuata in un contesto in cui la società in house S.E.D. S.p.A. svolgeva già, per conto del Comune, trattamenti come responsabile del trattamento ai sensi dell'art. 28 GDPR. L'istruttoria prende avvio da una segnalazione che evidenziava il possibile conflitto di interessi derivante dalla nomina a RPD di un soggetto che rivestiva anche un incarico apicale nella medesima società.

Fatti e avvio del procedimento

Dagli atti emerge che il decreto sindacale di nomina del RPD aveva designato un soggetto che era direttore amministrativo della società partecipata S.E.D. S.p.A., affidataria di servizi informatici, gestione banche dati e attività di supporto per l'osservanza del GDPR. Il decreto conteneva inoltre una clausola che attribuiva alla società la facoltà di procedere all'individuazione di un soggetto esterno da designarsi, con successivo provvedimento sindacale, quale RPD del Comune.

A seguito di richiesta di informazioni ai sensi dell'art. 157 del Codice, il Comune ha sostenuto che non vi fosse conflitto di interessi, valorizzando la diversa soggettività giuridica della società e il fatto che il dirigente designato non fosse amministratore. Ha inoltre chiarito che l'eventuale apporto della società nella scelta del DPO doveva intendersi come supporto nella programmazione e definizione dei requisiti, non come scelta del nominativo.

Sulla base degli elementi acquisiti, l'Ufficio ha notificato l'avvio del procedimento contestando:

• la violazione dell'art. 38, par. 6, GDPR, in connessione con gli artt. 28, 29 e 38, par. 3, e con il considerando 97;
• la violazione dell'art. 37 GDPR, per l'assetto che consentiva al responsabile del trattamento di incidere sull'individuazione del RPD;
• la violazione dell'art. 37, par. 7, GDPR, per la mancata comunicazione dei dati di contatto del nuovo RPD.

Quadro normativo richiamato dal Garante

Il Garante richiama il principio per cui il RPD deve essere designato dal titolare quando il trattamento è effettuato da un'autorità pubblica o da un organismo pubblico e i suoi dati di contatto devono essere comunicati all'Autorità. Sottolinea inoltre che il RPD non deve ricevere istruzioni e che, pur potendo svolgere altri compiti, tali compiti non devono dar luogo a conflitti di interessi.

Sono richiamate le funzioni del RPD di informazione e consulenza, sorveglianza dell'osservanza del Regolamento, cooperazione con l'Autorità e punto di contatto con la stessa. L'Autorità richiama anche le linee guida del Gruppo art. 29 sul DPO, in particolare sui requisiti di indipendenza e sull'impossibilità per il RPD di assumere ruoli che determinino le finalità o le modalità del trattamento. Viene altresì richiamato il Documento di indirizzo del Garante del 29 aprile 2021, che segnala le criticità quando il RPD coincida con una figura apicale della società responsabile del trattamento.

Valutazione sulla nomina del RPD e sul conflitto di interessi

Il Garante accerta che il soggetto designato come RPD del Comune si trovava in una situazione di conflitto di interessi ai sensi dell'art. 38, par. 6, GDPR. La ragione è che egli rivestiva, contemporaneamente, l'incarico di direttore amministrativo della società S.E.D. S.p.A., la quale era responsabile del trattamento per il Comune e svolgeva anche attività di supporto al rispetto del GDPR.

Secondo il Garante, tale posizione rendeva il soggetto idoneo a concorrere ad assumere decisioni rilevanti sui trattamenti affidati alla società, in un contesto in cui la società e le persone che agivano sotto la sua autorità ricevevano istruzioni dal titolare ai sensi dell'art. 28 e dell'art. 29 GDPR. Ciò comprometteva l'indipendenza del RPD e poteva incidere anche sul divieto di ricevere istruzioni di cui all'art. 38, par. 3.

Il Comune aveva sostenuto che la società fosse giuridicamente autonoma e che il soggetto designato non fosse amministratore, ma il Garante ritiene tali argomenti insufficienti a superare il rilievo del conflitto di interessi, alla luce del ruolo concreto svolto all'interno della società.

Clausola del decreto sulla possibile individuazione del futuro RPD

L'Autorità osserva che la clausola del decreto che attribuiva alla società la facoltà di individuare un soggetto esterno da designare come RPD era suscettibile di incidere sull'autonomia decisionale del titolare, prerogativa che l'art. 37 GDPR riserva al Comune. La criticità appariva accentuata dal fatto che il supporto all'individuazione sarebbe provenuto da un responsabile del trattamento il cui direttore amministrativo era proprio il RPD in carica.

Tuttavia, il Garante rileva che, nel caso specifico, non è stato accertato che la successiva designazione del nuovo RPD sia avvenuta su indicazione della società o in violazione dell'autonomia del titolare. Poiché la nuova nomina è intervenuta dopo l'avvio dell'istruttoria e il Comune ha dichiarato di aver agito in piena autonomia, la contestazione relativa a questo profilo viene archiviata.

Mancata comunicazione dei dati di contatto del RPD

Diverso l'esito sulla violazione dell'art. 37, par. 7, GDPR. Il Comune aveva iniziato la procedura online per comunicare i dati di contatto del nuovo RPD, ma non ne aveva completato l'invio; aveva inoltre ricevuto una comunicazione di rigetto della variazione. Il Garante ritiene che l'inerzia integri l'inadempimento dell'obbligo di comunicazione, posto a tutela della reperibilità del RPD effettivamente in carica.

Valutazione finale, ammonimento e pubblicazione

Nel bilanciamento complessivo, il Garante evidenzia che il Comune non aveva precedenti violazioni, aveva già designato un RPD esterno alla società e aveva poi comunicato i nuovi dati di contatto. Per queste ragioni, e in considerazione del fatto che la condotta aveva esaurito i propri effetti, la vicenda viene qualificata come violazione minore ai sensi del considerando 148 GDPR e delle linee guida WP 253.

Non viene irrogata una sanzione pecuniaria. Il Garante applica invece l'ammonimento ai sensi dell'art. 58, par. 2, lett. b), GDPR, dispone la pubblicazione del provvedimento sul sito istituzionale e l'annotazione nel registro interno dell'Autorità. Il provvedimento è impugnabile davanti all'autorità giudiziaria ordinaria nei termini di cui agli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. 150/2011.