Gazzetta n. 132 del 4 giugno 2021 (vai al sommario) GARANTE PER LA PROTEZIONE DEI DATI PERSONALI DELIBERA 29 aprile 2021 Documento di indirizzo su designazione, posizione e compiti del Responsabile della protezione dei dati (RPD) in ambito pubblico. (Provvedimento n. 186). IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI Nella riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l'avv. Guido Scorza, componenti, e il cons. Fabio Mattei, segretario generale; Visto il regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonche' alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati) (di seguito, regolamento); Visto il decreto legislativo 30 giugno 2003, n. 196, recante il Codice in materia di protezione dei dati personali (di seguito, Codice); Viste le «Linee guida sui responsabili della protezione dei dati», adottate dal Gruppo di lavoro art. 29 (WP29) il 13 dicembre 2016 ed emendate il 5 aprile 2017; Viste le «Faq sul Responsabile della Protezione dei dati (RPD) in ambito pubblico», adottate dal Garante il 15 dicembre 2017 (reperibili su www.garanteprivacy.it doc. web n. 7322110); Visti, inoltre, la nota recante «Quesiti in materia di certificazione delle competenze ai fini della prestazione di consulenza in materia di protezione dei dati personali», del 28 luglio 2017 (doc. web n. 7057222), ed i «Chiarimenti sull'applicazione della disciplina per il trattamento dei dati relativi alla salute in ambito sanitario», emanati dal Garante il 7 marzo 2019 (doc. web n. 9091942); Visti i reclami, le segnalazioni ed i quesiti pervenuti all'Autorita' e, in generale, tutte le istruttorie condotte e in corso di svolgimento concernenti la figura del Responsabile per la protezione dei dati personali (di seguito, RPD) in ambito pubblico, nonche' i provvedimenti adottati dal Garante in proposito (cfr., a questo proposito, anche quanto riportato nelle relazioni annuali); Viste, altresi', le attivita' ispettive condotte tra il settembre 2019 e il gennaio 2020 con riferimento a societa' che forniscono il servizio di RPD nei confronti di enti pubblici, nonche' l'indagine comparativa svolta con le Autorita' degli altri Paesi UE sotto forma di assistenza reciproca volontaria di cui all'art. 61 del regolamento; Vista la campagna promossa dall'Autorita', nel corso del 2020, nei confronti dei soggetti pubblici (in particolare, i comuni) in relazione ai quali si sono registrate lacune ed inesattezze nella comunicazione dei dati di contatto del RPD, prevista dall'art. 37, par. 7, del regolamento, al fine ottenere la regolarizzazione di tale adempimento; Visti, infine, gli orientamenti emersi anche da parte di altri organismi pubblici che si sono pronunciati in tema di RPD (giurisprudenza, decisioni di altre autorita' indipendenti settoriali); Rilevato che, nel corso dei tre anni trascorsi dall'applicazione del regolamento, dal complesso delle attivita' effettuate nonche' dalle numerose occasioni nell'ambito delle quali l'Autorita' ha avuto modo di intrattenere contatti con RPD in ambito pubblico, anche con riferimento a specifiche istruttorie, sono emerse numerose incertezze nell'applicazione delle norme del regolamento concernenti la figura del RPD; Rilevato che, alla luce della citata attivita' svolta (e di quella in corso di svolgimento) da parte del Garante, si rende necessario correggere le distorsioni emerse e fornire chiarimenti su numerosi profili concernenti il ruolo, la posizione e i compiti del RPD in ambito pubblico, al fine di rafforzare la figura del RPD in un ampio e rilevante settore (quale quello pubblico) caratterizzato dall'obbligatorieta' della designazione ai sensi dell'art. 37, par. 1, lettera a), del regolamento, in modo che i titolari e i responsabili del trattamento, in attuazione del principio di accountability, si trovino nelle migliori condizioni per assicurare che il trattamento dei dati personali sia sempre conforme alla disciplina in materia; Considerato che il Garante ha il compito di promuovere la consapevolezza e la comprensione del pubblico, dei titolari e dei responsabili del trattamento riguardo a norme, obblighi, rischi, garanzie e diritti stabiliti dal regolamento (ai sensi dell'art. 57, par. 1, lettera b) e d), del regolamento) e, in quest'ottica, il potere di adottare linee guida di indirizzo riguardanti le misure organizzative e tecniche di attuazione dei principi del regolamento, anche per singoli settori e in applicazione dei principi di cui all'art. 25 del regolamento (ai sensi dell'art. 154-bis, comma 1, lettera a), del Codice); Ritenuto, pertanto, di dover adottare l'allegato «Documento di indirizzo su designazione, posizione e compiti del Responsabile della protezione dei dati (RPD) in ambito pubblico», volto a fornire i chiarimenti agli interrogativi di maggior rilievo che sono venuti finora all'attenzione dell'Autorita' con riferimento alla figura del RPD che opera in ambito pubblico, nonche' a suggerire delle misure ritenute adeguate al fine di rafforzare il ruolo del RPD nelle amministrazioni pubbliche, quale elemento centrale nella realizzazione delle tutele imposte dal regolamento in materia di protezione dei dati personali; Considerato che il citato Documento di indirizzo si rivolge sia a titolari e responsabili del trattamento in ambito pubblico, in ragione degli obblighi che il regolamento attribuisce loro ai fini dell'adozione delle misure necessarie per rendere i trattamenti conformi alla disciplina in materia di protezione dei dati personali, che agli stessi RPD, al fine di fornire loro indicazioni utili per l'assolvimento dei propri compiti di supporto e vigilanza nei confronti degli enti pubblici che li hanno designati; Considerato, in ogni caso, che la violazione degli obblighi stabiliti dal regolamento in materia di RPD (in particolare, articoli 37-39), una volta accertata dal Garante nell'esercizio dei propri compiti istituzionali, comporta l'applicazione dei poteri correttivi previsti dall'art. 58, par. 2, del regolamento nei confronti di titolari e responsabili del trattamento, compreso il potere di infliggere una sanzione pecuniaria ai sensi dell'art. 83 del medesimo regolamento; Vista la documentazione in atti; Viste le osservazioni formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000; Relatore la prof.ssa Ginevra Cerrina Feroni; Tutto cio' premesso, il Garante: a) adotta, ai sensi dell'art. 57, par. 1, lettera b) e d), del regolamento, e dell'art. 154-bis, comma 1, lettera a), del Codice, il «Documento di indirizzo su designazione, posizione e compiti del Responsabile della protezione dei dati (RPD) in ambito pubblico», contenuto nel documento allegato che forma parte integrante della presente deliberazione; b) dispone che copia del presente provvedimento sia trasmessa al Ministero della giustizia - Ufficio pubblicazione leggi e decreti, per la sua pubblicazione nella Gazzetta Ufficiale della Repubblica italiana. Roma, 29 aprile 2021 Il Presidente Stanzione Il relatore Cerrina Feroni Il segretario generale Mattei   Allegato Documento di indirizzo su designazione, posizione e compiti del Responsabile della protezione dei dati (RPD) in ambito pubblico Sommario: 1. Introduzione 2. Una considerazione preliminare: il RPD quale "punto di contatto" per l'Autorita' 3. Obbligo di designazione 3.1. Designazione di RPD interno nelle more della conclusione del procedimento di affidamento dell'incarico a RPD esterno 4. Designazione di un unico RPD per conto di piu' soggetti pubblici 4.1. Comunicazione dei dati di contatto da parte di ciascun titolare in presenza di un RPD selezionato da piu' titolari 5. Qualita' professionali e possesso di titoli 6. Questioni attinenti alla designazione di un RPD esterno 6.1. Allineamento tra contratto di servizi, atto di designazione e pubblicazione/comunicazione al Garante 6.2. Pluralita' di enti pubblici per conto dei quali viene svolto l'incarico e pluralita' di servizi forniti anche al medesimo titolare 6.3. Individuazione, all'interno del RPD persona giuridica, del referente persona fisica 6.4. Durata dell'incarico 6.5. Remunerazione 7. Pubblicazione e comunicazione all'Autorita' dei dati di contatto del RPD 8. Coinvolgimento da parte del titolare e svolgimento dei compiti da parte del RPD 9. Risorse messe a disposizione dal titolare e costituzione di un team di collaboratori del RPD 10. Incompatibilita' con altri incarichi e conflitto di interessi 10.1. RPD interno che ricopre incarichi per i quali partecipa all'adozione delle decisioni in materia di finalita' e modalita' del trattamento, o altre decisioni che impattano su trattamenti di dati personali 10.2. RPD esterno che fornisce servizi IT quale responsabile del trattamento 10.3. RPD esterno che rappresenta in giudizio il titolare 10.4. Inquadramento in caso di RPD interno. 1. Introduzione. Sin da prima che il regolamento (UE) 2016/679 iniziasse a dispiegare i suoi effetti (25 maggio 2018), l'Autorita' ha dedicato grande attenzione al tema del Responsabile della protezione dei dati (RPD) in ambito pubblico, ritenuto uno snodo fondamentale per l'acquisizione di un corretto approccio al trattamento dei dati personali, soprattutto all'interno di un panorama che vede le pubbliche amministrazioni sempre piu' sollecitate dalla sfida della c.d. «trasformazione digitale». Come noto, sul tema, il regolamento dedica gli artt. 37-39 (oltreche' il cons. 97). In proposito, il Gruppo di lavoro Articolo 29 (WP29) (poi divenuto Comitato europeo per la protezione dei dati) ha emanato le «Linee guida sui responsabili della protezione dei dati» (adottate il 13 dicembre 2016 ed emendate il 5 aprile 2017). Per fare fronte alle prime richieste di chiarimenti giunte nel settore pubblico, al fine di accompagnare il processo di progressivo adeguamento al nuovo quadro regolamentare europeo, il Garante ha successivamente adottato, il 15 dicembre 2017, le «Faq sul Responsabile della Protezione dei dati (RPD) in ambito pubblico» (reperibili su www.garanteprivacy.it doc. web n. 7322110). Al contempo, l'Autorita' ha promosso numerosi incontri di carattere divulgativo, che hanno riguardato specificamente la figura del RPD, al fine di raggiungere il maggior numero possibile di rappresentanti di enti pubblici. Inoltre, dal punto di vista piu' strettamente formativo, l'Autorita' si e' fatta parte attiva all'interno del progetto europeo T4DATA, culminato con la redazione di un Manuale operativo sul RPD (doc. web n. 9152344), la realizzazione di webinar formativi e lo svolgimento di eventi di carattere, locale, nazionale e transnazionale. Cio' premesso, dal 2018 ad oggi, pur a fronte di una maggiore sensibilita' al tema, si registrano ancora, nella realta' delle pubbliche amministrazioni, diverse incertezze che impediscono una compiuta realizzazione di questa importante figura e che rischiano di pregiudicare una piena adesione ai principi e alle regole della protezione dati, che costituiscono un necessario presupposto per assicurare la tutela dei diritti e delle liberta' fondamentali delle persone. Nel corso di questi anni l'Autorita' ha raccolto numerose istanze (reclami, segnalazioni e quesiti) in merito ad alcuni specifici profili relativi alla figura del RPD. Inoltre, la stessa interlocuzione - in frequenti casi, anche la mancata interlocuzione - con i RPD dei vari enti pubblici ha denotato significative problematicita' circa il coinvolgimento e l'apporto che questa figura puo' dare ai titolari del trattamento in ambito pubblico. E' stata anche promossa, nel corso del 2019-2020, un'intensa attivita' ispettiva volta ad indagare i fenomeni di affidamento dell'incarico di RPD a societa' esterne, con particolare riferimento agli aspetti della numerosita' degli incarichi accumulati da singole societa' e dei possibili conflitti di interessi dovuti alla sovrapposizione dei ruoli di RPD e di fornitori di servizi di carattere informatico. Nell'ambito della complessiva analisi dell'attuazione delle norme del regolamento dedicate al RPD, sono stati rivolti anche alcuni quesiti alle Autorita' degli altri Stati membri dell'Unione europea, sotto forma di assistenza reciproca volontaria (ai sensi dell'art. 61 del regolamento), al fine di comprendere se le medesime criticita' siano state riscontrate anche in altri Paesi e quali iniziative, in proposito, tali Autorita' abbiano intrapreso. Infine, l'Autorita', dopo aver registrato lacune ed inesattezze nella comunicazione dei dati di contatto del RPD, prevista dall'art. 37, par. 7, del regolamento effettuata in sede di prima applicazione della disposizione, ha altresi' avviato una campagna volta ad ottenere la regolarizzazione di tale adempimento, necessario per consentire all'Autorita', con la tempestivita' richiesta dalle singole circostanze, di stabilire un colloquio con i «punti di contatto» stabiliti presso le singole amministrazioni. A fronte dei tanti impulsi in tal modo emersi, il Garante ritiene necessario fornire dei chiarimenti, al fine di rendere piu' effettiva ed efficace l'attivita' del RPD e di mettere il titolare del trattamento nelle migliori condizioni per assicurare il corretto trattamento dei dati personali. In particolare, tale esigenza si rende necessaria per il settore pubblico, laddove la designazione del RPD rappresenta un obbligo, ai sensi dell'art. 37, par. 1, lett. a), del regolamento. Questa peculiarita' ha fatto si' che, in molte realta', tale onere generalizzato sia stato talvolta vissuto come un mero adempimento formale, senza comprendere adeguatamente l'importanza della figura in questione nel supporto e nella vigilanza sulla correttezza dei trattamenti di dati personali effettuati dal titolare. Cio' ha fatto si' che, una volta affidato l'incarico, in molte situazioni, non venisse prestata la dovuta attenzione ad aspetti quali il coinvolgimento del RPD, l'assegnazione di risorse sufficienti o l'attribuzione di ulteriori incarichi dalla dubbia compatibilita'. A distanza di circa tre anni dalla piena applicazione del regolamento occorre ora superare queste incertezze: per questo il Garante ha deciso di adottare il presente documento «Documento di indirizzo su designazione, posizione e compiti del Responsabile della protezione dei dati (RPD) in ambito pubblico», con il quale intende fornire i chiarimenti agli interrogativi di maggior rilievo che sono stati posti all'attenzione dell'Autorita' nel triennio appena trascorso e conseguentemente orientare i titolari del trattamento. Il Documento di indirizzo viene adottato ai sensi dell'art. 57, par. 1, lett. b) e d), del regolamento - concernenti, rispettivamente, i compiti di «[promuovere] la consapevolezza e [favorire] la comprensione del pubblico riguardo ai rischi, alle norme, alle garanzie e ai diritti in relazione al trattamento» e di «[promuovere] la consapevolezza dei titolari del trattamento e dei responsabili del trattamento riguardo agli obblighi imposti loro dal presente regolamento» - ma anche ai sensi dell'art. 154-bis, comma 1, lett. a), del Codice - concernente il potere di «adottare linee guida di indirizzo riguardanti le misure organizzative e tecniche di attuazione dei principi del regolamento, anche per singoli settori e in applicazione dei principi di cui all'articolo 25 del regolamento». A questo proposito, si precisa che il Documento di indirizzo recepisce, al suo interno, i chiarimenti gia' emanati con le citate «Faq sul Responsabile della protezione dei dati (RPD) in ambito pubblico» del 2017, che comunque rimangono anche quali indicazioni autonomamente reperibili. In relazione ai singoli profili oggetto di trattazione, il Documento di indirizzo non fornisce indicazioni circa le conseguenze delle violazioni delle disposizioni normative suscettibili di condurre all'avvio del procedimento volto all'adozione dei provvedimenti correttivi e sanzionatori, ai sensi dell'art. 166 del Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196). A questo proposito, resta fermo che l'accertamento di eventuali illiceita' nelle condotte di titolari e responsabili del trattamento sara' oggetto di valutazione caso per caso, a seconda degli elementi che di volta in volta emergeranno nel corso delle singole istruttorie, al fine di riscontrare l'eventuale violazione degli artt. 37, 38 e 39 del regolamento, oggetto di possibile applicazione della sanzione amministrativa ai sensi dell'art. 83, par. 4, lett. a), del medesimo regolamento. In ogni caso, le indicazioni contenute nel Documento di indirizzo sono rivolte anche ai RPD, in quanto li impegnano nell'esecuzione dei compiti demandati loro dal regolamento medesimo. Per quanto riguarda il settore privato, date le sensibili differenze rispetto al mondo delle pubbliche amministrazioni e tenuto conto delle peculiarita' che lo contraddistinguono - a partire dalla circostanza che, ai sensi dell'art. 37, par. 1, lett. b) e c), del regolamento la designazione del RPD diviene obbligatoria solo al ricorrere di alcune specifiche condizioni - si rinvia alle «Faq sul Responsabile della protezione dei dati (RPD) in ambito privato» (pubblicate inizialmente il 26 marzo 2018, doc. web n. 8036793), che sono state oggetto di aggiornamento, da parte dell'Autorita', a fronte dei primi anni di applicazione del regolamento e contestualmente all'adozione del presente provvedimento. 2. Una considerazione preliminare: il RPD quale «punto di contatto» per l'Autorita'. L'art. 39, par. 1, lett. d) ed e), del regolamento prevede che il RPD, tra i suoi compiti, cooperi con l'Autorita' e funga da punto di contatto per questioni connesse ai trattamenti. Come indicato nelle Linee guida del WP29, in questo modo il RPD svolge un ruolo di «facilitatore», in quanto facilita l'accesso, da parte dell'Autorita', ai documenti e alle informazioni necessarie «per l'adempimento dei compiti attribuitile dall'articolo 57 nonche' ai fini dell'esercizio dei poteri di indagine, correttivi, autorizzativi e consultivi di cui all'articolo 58» (par. 4.3, pp. 23-24). Questo delicato compito carica ancor di piu' di significato l'obbligo per il titolare/responsabile del trattamento, stabilito dall'art. 38, par. 1, del regolamento, di assicurarsi che il RPD sia «tempestivamente e adeguatamente» coinvolto in tutte le questioni riguardanti la protezione dei dati personali, (su questo specifico profilo, cfr. par. 8). Cio' significa che, nell'attivita' di acquisizione di elementi da parte dell'Autorita' nello svolgimento delle proprie funzioni, deve sempre essere garantito il supporto del RPD. Tale supporto e' necessario: - da un lato, al titolare/responsabile, al fine di individuare la documentazione e le informazioni corrette e pertinenti da fornire all'Autorita' (sul punto, cfr. le difficolta' emerse nell'istruttoria che ha condotto all'adozione del provv. 17 dicembre 2020, n. 280, doc. web n. 9524175); - dall'altro lato, all'Autorita' stessa, al fine di agevolare l'attivita' istruttoria e consentire il tempestivo accertamento della conformita' dei trattamenti indagati alla normativa in materia di protezione dei dati personali. Per queste ragioni, in sede di istruttoria preliminare, le richieste di informazioni saranno tendenzialmente indirizzate anche al RPD, pur rimanendo l'onere di fornire riscontro (e la conseguente responsabilita' dell'eventuale inadempimento) in capo al titolare/responsabile destinatario della comunicazione (cfr., ad esempio, l'art. 157 del Codice con riferimento alle richieste di informazioni, o l'art. 166, commi 5 e 6, del Codice con riferimento all'avvio del procedimento per l'adozione dei provvedimenti correttivi o sanzionatori). A questo fine, risulta quindi essenziale che il titolare/responsabile del trattamento comunichi tempestivamente all'Autorita' i dati esatti di contatto del RPD, ai sensi dell'art. 37, par. 7, del regolamento, provvedendo al loro tempestivo aggiornamento, anche in caso di modifica dei dati o di sostituzione del soggetto designato (in tema di comunicazione dei dati di contatto all'Autorita', cfr. par. 7). Peraltro, la presenza di dati non esatti o non aggiornati presso l'Autorita' potrebbe comportare l'inoltro di comunicazioni a soggetti che non sono (o non sono piu') RPD, mettendoli in questo modo (impropriamente) a parte di informazioni riservate connesse all'esercizio delle funzioni istituzionali. Infine, si invitano i titolari/responsabili in ambito pubblico a coinvolgere sistematicamente il proprio RPD anche in relazione ad altre attivita' espletate dall'Autorita' quali accertamenti ispettivi (cfr. art. 158 del Codice), audizioni (cfr. art. 166, comma 6, del Codice), richieste di parere (cfr. art. 36, par. 4, del regolamento, e art. 154, comma 5, del Codice) riunioni svolte a qualsiasi titolo. In questa sede, la presenza di una figura qualificata ed esperta in materia e che conosce nel dettaglio i trattamenti svolti presso il titolare/responsabile, e' in grado di assicurare una piu' corretta e completa rappresentazione delle questioni trattate e delle eventuali iniziative da suggerire - pur rimanendo il potere decisionale in capo al titolare del trattamento. Il medesimo invito a interpellare preliminarmente il proprio RPD vale, in modo particolare, in relazione a eventuali quesiti relativi a trattamenti posti sotto la loro gestione, in relazione ai quali il Garante, in generale, non e' dotato di compiti consultivi, al di fuori da quelli espressamente previsti dal regolamento o dalla legge. Cio' consentira', infatti, al RPD di poter esercitare i compiti affidatigli dal regolamento (a partire da quelli di consulenza di cui all'art. 39, par. 1, lett. a)), e all'amministrazione di trovare le risposte al proprio interno, nella massima valorizzazione dell'accountability di cui agli artt. 5, par. 2, e 24 del regolamento. Qualora, comunque, l'ente ritenesse di doversi rivolgere all'Autorita', sara' opportuno che lo faccia solo per il tramite del proprio RPD, e solo dopo averne comunque acquisito il relativo parere, che dovra' essere allegato alla richiesta. 3. Obbligo di designazione. Disposizione di riferimento del regolamento. Art. 37, par. 1: «Il titolare del trattamento e il responsabile del trattamento designano sistematicamente un responsabile della protezione dei dati ogniqualvolta: a) il trattamento e' effettuato da un'autorita' pubblica o da un organismo pubblico, eccettuate le autorita' giurisdizionali quando esercitano le loro funzioni giurisdizionali; b) le attivita' principali del titolare del trattamento o del responsabile del trattamento consistono in trattamenti che, per loro natura, ambito di applicazione e/o finalita', richiedono il monitoraggio regolare e sistematico degli interessati su larga scala; oppure c) le attivita' principali del titolare del trattamento o del responsabile del trattamento consistono nel trattamento, su larga scala, di categorie particolari di dati personali di cui all'articolo 9 o di dati relativi a condanne penali e a reati di cui all'articolo 10». Cons. 91: «[...] Il trattamento di dati personali non dovrebbe essere considerato un trattamento su larga scala qualora riguardi dati personali di pazienti o clienti da parte di un singolo medico, operatore sanitario o avvocato [...]». Riferimento nelle Linee guida del WP29: par. 2.1, pp. 6-12. Ulteriore disposizione prevista dal Codice. Art. 2-sexiesdecies: «Il responsabile della protezione dati e' designato, a norma delle disposizioni di cui alla sezione 4 del capo IV del regolamento, anche in relazione ai trattamenti di dati personali effettuati dalle autorita' giudiziarie nell'esercizio delle loro funzioni». Precedenti decisioni del Garante. «Faq sul Responsabile della protezione dei dati (RPD) in ambito pubblico», 15 dicembre 2017 (doc. web n. 7322110); provv. 7 marzo 2019, «Chiarimenti sull'applicazione della disciplina per il trattamento dei dati relativi alla salute in ambito sanitario» (doc. web n. 9091942); Relazione annuale 2019, par. 5.4 (pp. 89-91); provv. 17 dicembre 2020, n. 272 (doc. web n. 9557593); provv. 11 febbraio 2021, n. 54 (doc. web n. 9556625). Questioni emerse. Al di la' di autorita' pubbliche o organismi pubblici, in relazione ai quali l'obbligo di designazione e' stabilito in maniera chiara dalla lett. a) dell'art. 37, par. 1, del regolamento, si e' posto il dubbio circa i casi in cui tale designazione sia obbligatoria o meno, alla luce delle successive lett. b) e c), in relazione a soggetti privati che esercitano comunque compiti di interesse pubblico: e' il caso, ad esempio, dei concessionari di pubblici servizi, o delle strutture sanitarie private. Inoltre, per quanto concerne amministrazioni complesse (come i Ministeri), dotate di articolazioni territoriali oppure settoriali, ci si e' domandato se fosse possibile designare piu' di un RPD, magari assegnandone uno per ciascuna di tali articolazioni. Misure indicate. Preliminarmente, occorre ricordare che sussiste l'obbligo di designazione per tutti i soggetti pubblici, ai sensi della lett. a) dell'art. 37, par. 1, del regolamento, quali, ad esempio: le amministrazioni dello Stato, anche con ordinamento autonomo, compresi gli istituti scolastici; gli enti pubblici non economici nazionali, regionali e locali; le regioni e gli enti locali; le Universita'; le Camere di commercio, industria, artigianato e agricoltura; le Aziende del Servizio sanitario nazionale; le Autorita' indipendenti (cfr., a valenza meramente indicativa e non esaustiva, l'elenco di cui all'art. 1, comma 2, del decreto legislativo 30 marzo 2001, n. 165). Per quanto concerne, in generale, i soggetti privati che esercitano funzioni pubbliche, pur essendo l'obbligo di designazione del RPD rimesso a una valutazione che tenga conto degli elementi di cui alle lett. b) e c) dell'art. 37, par. 1, del regolamento, alla luce delle indicazioni contenute nelle Linee guida del WP29, e' comunque fortemente raccomandato individuare ed investire una figura dell'incarico di RPD, tenendo conto, tra le altre cose, che le caratteristiche dei trattamenti da costoro svolti sono assimilabili a quelli effettuati da soggetti propriamente pubblici, stante la medesima riconducibilita' a compiti di interesse pubblico. In ogni caso, e' altamente probabile che, in tali situazioni, i requisiti di cui alle lett. b) e c) dell'art. 37, par. 1, del regolamento tendenzialmente vengano soddisfatti, per cui si ricadrebbe conseguentemente nell'obbligo di designazione. E' il caso, ad esempio, delle societa' concessionarie dei servizi di trasporto pubblico locale, di gestione delle autolinee pubbliche o di raccolta dei rifiuti, allorche' utilizzano sistemi che comportano il trattamento, su larga scala, di dati di dipendenti e utenti, associato a un monitoraggio regolare o sistematico: si pensi ai dispositivi di geolocalizzazione dei veicoli impiegati nel servizio, alle forme di tracciamento dei titoli di viaggio o ai call center per la gestione delle telefonate dell'utenza. Per quanto concerne, nello specifico, il servizio di trasporto pubblico, si tenga peraltro conto che l'utenza e' composta anche da interessati caratterizzati da una particolare situazione di vulnerabilita' (come minori o persone disabili), con conseguente trattamento di categorie particolari di dati personali. Per quanto concerne lo specifico ambito sanitario, posto che le Aziende sanitarie appartenenti al Servizio sanitario nazionale sono obbligate alla designazione in quanto si tratta di organismi pubblici, anche ospedali privati, case di cura o Residenze sanitaria assistenziale (RSA) si devono ritenere, in via generale, sottoposti all'obbligo di designazione, trattando dati sulla salute su larga scala (art. 37, par. 1, lett. c), del regolamento). Quanto, poi, al singolo professionista sanitario che operi in regime di libera professione a titolo individuale, si fa presente che lo stesso non e' tenuto alla designazione di tale figura con riferimento allo svolgimento della propria attivita', in quanto, secondo quanto indicato nel cons. 91 del regolamento, i trattamenti dallo stesso effettuati non rientrano tra quelli su larga scala. Anche farmacie, parafarmacie, e aziende ortopediche e sanitarie, se non effettuano trattamenti di dati personali su larga scala, non sono obbligati a designare il RPD. Infine, per quanto concerne il «numero» di RPD di cui si puo' avvalere un'amministrazione, si rileva che l'unicita' della figura del RPD e' una condizione necessaria per evitare il rischio di sovrapposizioni o incertezze sulle responsabilita', sia con riferimento all'ambito interno all'ente, sia con riferimento a quello esterno, e pertanto occorre che questa sia sempre assicurata. Cio' significa che, presso amministrazioni particolarmente complesse, come i Ministeri, e' in ogni caso necessario che venga individuato un solo RPD, in corrispondenza dell'unicita' dell'ente quale titolare del trattamento, i cui dati di contatto dovranno essere pubblicati e comunicati all'Autorita' ai sensi dell'art. 37, par. 7, del regolamento, in quanto egli rappresenta il punto di contatto unico, sia per l'Autorita' che per gli interessati, pur potendosi avvalere di referenti allocati presso altre articolazioni che gli forniscano il supporto opportuno. 3.1. Designazione di RPD interno nelle more della conclusione del procedimento di affidamento dell'incarico a RPD esterno. Precedente decisione del Garante. Provv. 1° ottobre 2020, n. 173 (doc. web n. 9483375). Questione emersa. Si e' posta la questione se, a seguito della scadenza dell'incarico di un RPD (ad esempio, per cessazione del contratto con un RPD esterno o per collocamento a riposo di un RPD interno), e in attesa della conclusione della procedura di affidamento dell'incarico ad un nuovo RPD (perlopiu' esterno), l'ente pubblico possa attendere l'esito di tale procedura oppure, nelle more, sia tenuto a designare, anche temporaneamente, un RPD (eventualmente interno) per il tempo necessario a colmare questo periodo di vacatio. Misure indicate. In questi casi, nelle more della selezione del nuovo RPD esterno, in ossequio al principio generale di continuita' dell'azione amministrativa che e' strettamente correlato a quello di buon andamento dell'azione stessa, al fine di non violare l'art. 37, par. 1, del regolamento, l'amministrazione pubblica e' comunque tenuta a individuare temporaneamente, al proprio interno, un dirigente/funzionario da designare interinalmente in questo ruolo. Tale soggetto interno deve essere in possesso dei requisiti richiesti dal regolamento e, qualora questo abbia gia' un incarico dirigenziale all'interno dell'organizzazione del titolare, cio' non dovrebbe comportare la sottrazione del tempo necessario allo svolgimento dei compiti assegnati al RPD, ne' dovrebbe dare luogo a una situazione di conflitto di interessi, qualora ad esempio partecipi alla definizione delle finalita' o modalita' dei trattamenti di dati personali effettuati dal titolare. Posto, pertanto, l'obbligo per ogni ente pubblico di essere dotato di un RPD nel pieno delle sue funzioni, spetta a ciascun ente pubblico, in conformita' al principio di accountability, ogni valutazione in merito alla scelta della figura da individuare quale RPD, tenuto in ogni caso conto che tale particolare situazione di transitorieta' rappresenta un elemento utile nella valutazione della sussistenza di un effettivo rischio di conflitto di interessi in cui potrebbe incorrere la risorsa interna temporaneamente designata. Restano in ogni caso fermi gli obblighi di pubblicazione dei dati di contatto del RPD e di comunicazione degli stessi a questa Autorita', ai sensi dell'art. 37, par. 7, del regolamento, anche con riferimento alla figura nominata in via temporanea. 4. Designazione di un unico RPD per conto di piu' soggetti pubblici. Disposizione di riferimento del regolamento. Art. 37, par. 3: «Qualora il titolare del trattamento o il responsabile del trattamento sia un'autorita' pubblica o un organismo pubblico, un unico responsabile della protezione dei dati puo' essere designato per piu' autorita' pubbliche o organismi pubblici, tenuto conto della loro struttura organizzativa e dimensione». Riferimento nelle Linee guida del WP29: par. 2.3, pp. 13-14; par. 3.2, pp. 18-19. Precedenti decisioni del Garante. Relazione annuale 2018, par. 5.4.3 (pp. 84-85); provv. 7 marzo 2019, «Chiarimenti sull'applicazione della disciplina per il trattamento dei dati relativi alla salute in ambito sanitario» (doc. web n. 9091942). Questione emersa. In ambito pubblico, considerato che il titolare del trattamento puo' presentare una struttura organizzativa e una dimensione limitate, che incidono sulla sua concreta capacita' (soprattutto in termini di risorse) di dotarsi di una figura esclusivamente dedicata a svolgere l'incarico di RPD (si pensi ai tanti comuni con una popolazione numericamente ridotta, oppure agli Istituti scolastici), si riscontra un ampio ricorso alla semplificazione introdotta dall'art. 37, par. 3, del regolamento, che consente a questi soggetti di individuare, per il ruolo di RPD, una figura «in comune», in questo modo abbattendo i costi e semplificando le procedure di selezione. Lo svolgimento della funzione di RPD per conto di piu' titolari deve necessariamente tenere conto della possibilita' di consentire, alla figura incaricata, di prestare il necessario supporto a tutti i suddetti titolari (anche in termini di tempo e disponibilita' da dedicare loro) e di assolvere in maniera adeguata ai compiti assegnatigli dall'art. 39 del regolamento. Tale circostanza deve essere oggetto di valutazione particolarmente attenta nei seguenti casi: quando i trattamenti effettuati dai titolari hanno ad oggetto dati personali di particolare delicatezza, magari anche su larga scala (si pensi alle Aziende sanitarie, che trattano dati relativi alla salute riferiti a un numero significativo di assistiti, in un contesto tecnologico in continuo cambiamento); quando i titolari che si avvalgono del medesimo RPD operano in contesti molto differenti tra loro (ad es., comuni e istituti scolastici oppure anche soggetti privati), per cui anche i trattamenti effettuati differiscono in maniera rilevante tra loro, richiedendo al RPD un maggiore impegno nell'approfondimento delle diverse peculiarita'. Misure indicate. Qualora piu' soggetti pubblici intendano avvalersi di un unico RPD, occorre che, nel rispetto del principio di responsabilizzazione (artt. 5, par. 2, e 24 del regolamento), essi effettuino un'adeguata valutazione che tenga in considerazione tutte le implicazioni tecniche, giuridiche e pratiche di tale decisione. A questo proposito, al fine di prevenire le richiamate criticita', e quindi di assicurare l'efficace svolgimento dei propri compiti, i soggetti pubblici potrebbero: a) costituire un gruppo di collaboratori a supporto del RPD designato in comune; b) definire preventivamente la percentuale del tempo lavorativo destinata all'attivita' da svolgere nei confronti di ciascun titolare del trattamento che ha designato il medesimo RPD; c) individuare, per ciascun singolo titolare del trattamento, uno specifico referente cui il RPD possa rivolgersi; d) in sede di procedura di selezione, chiedere ai candidati all'incarico di RPD, quale elemento per verificare che non sussistano situazioni di potenziale incompatibilita', di specificare nei confronti di quanti altri titolari sia svolta gia' la medesima funzione, eventualmente indicando anche le tipologie di enti pubblici (ad es., quanti comuni, quanti istituti scolastici, quante Aziende fornitrici di servizi pubblici, ecc.). 4.1. Comunicazione dei dati di contatto da parte di ciascun titolare in presenza di un RPD selezionato da piu' titolari. Altra disposizione di riferimento del regolamento. Art. 37, par. 7: «Il titolare del trattamento o il responsabile del trattamento pubblica i dati di contatto del responsabile della protezione dei dati e li comunica all'autorita' di controllo». Riferimento nelle Linee guida del WP29: par. 2.6, pp. 16-17. Questione emersa. In alcuni casi in cui un unico RPD veniva selezionato, da parte di un organismo associativo, per conto dei titolari del trattamento associati tra di loro in ragione di dimensioni e risorse limitate, si e' riscontrato che la comunicazione dei dati di contatto del RPD all'Autorita' veniva effettuata solo da parte soggetto associato anziche' da ciascun singolo titolare del trattamento. Tale eventualita' si e' verificata di frequente nell'ipotesi di Unione di comuni, ove la richiamata comunicazione veniva effettuata da parte della sola Unione, anziche' da parte di ciascun singolo comune che la compone. Al contrario, si rileva che la comunicazione dei dati di contatto del RPD all'Autorita', come anche la loro pubblicazione, sono attivita' necessarie al fine di garantire all'Autorita' e agli interessati la possibilita' di contattare il RPD in modo facile e diretto: per tale motivo la citata disposizione, stante la possibilita' di selezione di un unico RPD per conto di una pluralita' di enti pubblici, non fa venire meno il dovere, da parte di ciascun titolare del trattamento, di pubblicare i dati e di comunicarli all'Autorita'. Peraltro, il soggetto pubblico che associa tali enti (nell'esempio richiamato, l'Unione di comuni) e' un soggetto autonomo che a sua volta puo' essere titolare di trattamenti, in base a quanto stabilito dalla legge (cfr., nel caso delle Unioni di comuni, l'art. 32 del d.lgs. 18 agosto 2000, n. 267), e per questo deve avere un suo RPD (eventualmente anche distinto da quello dei comuni che ne fanno parte). Misure indicate. In questi casi, dunque, ciascun ente pubblico che sia titolare del trattamento e' tenuto ad effettuare la comunicazione dei dati di contatto del RPD all'Autorita', nonche' la pubblicazione degli stessi sul proprio sito web. Pertanto nel caso di Unione di comuni che, per effetto del conferimento di tale funzione da parte dei comuni che la compongono, individui un RPD unico per i medesimi comuni, ciascuno di tali comuni e' tenuto a effettuare i richiamati adempimenti. Rimane fermo che il soggetto associativo, qualora sia a sua volta titolare di trattamenti di dati personali (ad esempio, l'Unione di comuni cui e' delegato l'esercizio di funzioni in forma associata), sara' tenuto a designare un proprio RPD e a svolgere i medesimi adempimenti (pubblicazione e comunicazione dei dati di contatto all'Autorita'). 5. Qualita' professionali e possesso di titoli. Disposizione di riferimento del regolamento. Art. 37, par. 5: «Il responsabile della protezione dei dati e' designato in funzione delle qualita' professionali, in particolare della conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati, e della capacita' di assolvere i compiti di cui all'articolo 39». Riferimento nelle Linee guida del WP29: par. 2.5, pp. 14-16. Precedenti decisioni del Garante. Nota del 28 luglio 2017, «Quesiti in materia di certificazione delle competenze ai fini della prestazione di consulenza in materia di protezione dei dati personali» (doc. web n. 7057222); «Faq sul Responsabile della protezione dei dati (RPD) in ambito pubblico», 15 dicembre 2017 (doc. web n. 7322110). Decisioni di altri organismi: sentenza del Tar Friuli-Venezia Giulia, sez. I, del 13 settembre 2018, n. 287; atto di segnalazione dell'Autorita' garante della concorrenza e del mercato AS1636 del 2 gennaio 2020. Questione emersa. In alcuni casi, e' stato riscontrato che, in ambito pubblico, il titolare del trattamento, per selezionare una figura dotata delle competenze necessarie, ha richiesto che il candidato fosse in possesso di titoli specifici, come ad esempio uno specifico titolo di studio (perlopiu' la laurea in giurisprudenza), l'iscrizione ad un determinato albo professionale (spesso quello di avvocato) o particolari tipologie di certificazione (come le cc.dd. certificazioni volontarie). I requisiti in tal modo richiesti non sono stabiliti dal regolamento o da altre disposizioni normative, e il loro eventuale possesso non equivale, di per se', a un'abilitazione allo svolgimento del ruolo del RPD, ne' puo' sostituire in toto la valutazione del soggetto pubblico nell'analisi del possesso dei requisiti del RPD necessari per lo svolgimento dei suoi compiti. Pertanto, escludere alcuni candidati solo perche' privi di determinati titoli potrebbe apparire sproporzionato e discriminatorio, tenuto conto che tali requisiti, di per se', non sono necessariamente in grado di dimostrare il possesso delle competenze tecniche per lo svolgimento adeguato della funzione di RPD (ad esempio, l'avvocato che non si e' mai occupato di protezione dei dati personali), potendo, invece, escludere in modo ingiustificato dalla competizione soggetti ugualmente esperti della materia, come potrebbero esserlo soggetti non iscritti all'albo degli avvocati che dimostrino di aver completato la propria preparazione anche sul versante giuridico o di avere una comprovata esperienza in materia di protezione dei dati personali. Misure indicate. Preliminarmente, si rende necessario che l'ente pubblico valuti le qualita' professionali, le conoscenze specialistiche e l'esperienza in materia di protezione dei dati personali in capo alla figura da incaricare quale RPD, tenendo conto dei trattamenti che effettua, prestando particolare cura, ad esempio, alla complessita' dei trattamenti stessi, alla qualita' e quantita' di dati personali trattati, all'esistenza di trasferimenti sistematici ovvero occasionali di dati personali al di fuori dell'Unione europea. Cio' comporta che, in ambito pubblico, il RPD debba certamente conoscere la normativa e le prassi nazionali ed europee in materia di protezione dei dati (a partire da un'approfondita conoscenza del regolamento), nonche' possedere un'adeguata conoscenza anche delle norme e procedure amministrative che caratterizzano lo specifico settore, in quanto la liceita' del trattamento dei dati personali in questo ambito dipende dalla corretta applicazione delle regole di volta in volta previste dalla disciplina di settore. Per quanto concerne la conoscenza di norme e prassi in materia di protezione dei dati personali, essa puo' essere dimostrata, in primo luogo, attraverso una documentata esperienza professionale e/o anche attraverso la partecipazione ad attivita' formative specialistiche (ad esempio, master, corsi di studio e professionali, specie se risulta documentato il livello di acquisizione delle conoscenze). Rientra in questo contesto anche la certificazione volontaria acquisita sulla base della norma tecnica italiana UNI 11697 «Attivita' professionali non regolamentate - Profili professionali relativi al trattamento e alla protezione dei dati personali - Requisiti di conoscenza, abilita' e competenza», che puo' rappresentare un elemento utile di valutazione della preparazione del candidato, ma non un'abilitazione di per se' aprioristica. Analogamente, la conoscenza specialistica sara' dimostrata dalle attivita', dalle esperienze lavorative e professionali svolte, risultanti, ad esempio, dal curriculum e dalle autocertificazioni presentate. Particolare valore potra' assumere l'eventuale esperienza del candidato in organizzazioni simili a quella del titolare. In tale contesto, preme in ogni caso evidenziare che la competenza a ricoprire il ruolo di RPD non puo' essere astrattamente riconosciuta in capo ad una qualsiasi figura per effetto del semplice possesso di specifici titoli (laurea, iscrizione ad un albo professionale, certificazione). Il titolare del trattamento e' infatti tenuto a valutare nel complesso gli elementi previsti dall'art. 37, par. 5, del regolamento e, qualora intenda richiedere un titolo di studio specifico, e' chiamato a tenere in dovuta considerazione la proporzionalita' tra quanto richiesto e la complessita' del compito da svolgere nel caso concreto, comprovando le proprie scelte ai sensi degli artt. 5, par. 2, e 24 del regolamento, a partire da un'adeguata motivazione nel provvedimento di assegnazione formale dell'incarico. Pertanto, ne discende che, al momento della definizione dei requisiti in base ai quali individuare il soggetto da incaricare quale RPD, l'ente pubblico deve evitare restrizioni all'accesso alle selezioni che possano risultare sproporzionate e ingiustificate rispetto alla figura ritenuta necessaria, ma tenere in debita considerazione l'attinenza e la proporzionalita' tra quanto richiesto (le qualita' professionali di cui all'art. 37, par. 5, del regolamento) e la complessita' del compito da svolgere nel caso concreto (come il contesto in cui il RPD sara' chiamato ad operare o le caratteristiche dei trattamenti effettuati dall'ente designante). 6. Questioni attinenti alla designazione di un RPD esterno. Disposizione di riferimento del regolamento. Art. 37, par. 6: «Il responsabile della protezione dei dati puo' essere un dipendente del titolare del trattamento o del responsabile del trattamento oppure assolvere i suoi compiti in base a un contratto di servizi». Riferimento nelle Linee guida del WP29: par. 2.5, pp. 14-16. 6.1. Allineamento tra contratto di servizi, atto di designazione e pubblicazione/comunicazione al Garante. Altra disposizione di riferimento del regolamento. Art. 39, par. 1: «Il responsabile della protezione dei dati e' incaricato almeno dei seguenti compiti: a) informare e fornire consulenza al titolare del trattamento o al responsabile del trattamento nonche' ai dipendenti che eseguono il trattamento in merito agli obblighi derivanti dal presente regolamento nonche' da altre disposizioni dell'Unione o degli Stati membri relative alla protezione dei dati; b) sorvegliare l'osservanza del presente regolamento, di altre disposizioni dell'Unione o degli Stati membri relative alla protezione dei dati nonche' delle politiche del titolare del trattamento o del responsabile del trattamento in materia di protezione dei dati personali, compresi l'attribuzione delle responsabilita', la sensibilizzazione e la formazione del personale che partecipa ai trattamenti e alle connesse attivita' di controllo; c) fornire, se richiesto, un parere in merito alla valutazione d'impatto sulla protezione dei dati e sorvegliarne lo svolgimento ai sensi dell'articolo 35; d) cooperare con l'autorita' di controllo; e e) fungere da punto di contatto per l'autorita' di controllo per questioni connesse al trattamento, tra cui la consultazione preventiva di cui all'articolo 36, ed effettuare, se del caso, consultazioni relativamente a qualunque altra questione». Precedente decisione del Garante. «Faq sul Responsabile della Protezione dei dati (RPD) in ambito pubblico», 15 dicembre 2017 (doc. web n. 7322110). Questioni emerse. Nel corso di alcune istruttorie condotte dall'Autorita', e' emerso che, con riferimento alla scelta di un RPD esterno, gli atti adottati al fine di rendere operativa tale figura non risultano sempre pienamente allineati tra loro, per cui le indicazioni in ciascuno contenute risultano non univoche. In particolare, in queste situazioni si e' talora riscontrato che: l'offerta per il servizio viene effettuata da societa' che indicano la persona fisica da individuare come RPD; tale offerta, in caso di affidamento alla suddetta societa', diviene contratto di servizio, per effetto dell'accettazione operata con apposita determinazione dirigenziale dell'ente; l'atto di designazione (che, ad esempio nei comuni, generalmente assume la forma di decreto sindacale) avviene nei confronti della persona fisica indicata, ma con l'utilizzo di forme ambigue circa il ruolo assunto dalla societa' che aveva partecipato alla gara. A cio' si aggiunga che il rapporto tra l'amministrazione e la societa' in questione viene talvolta formalizzato mediante accordo ai sensi dell'art. 28 del regolamento per lo svolgimento di taluni compiti, tra cui il supporto tecnico e organizzativo al RPD medesimo o attivita' di assistenza diretta nei confronti del titolare, sempre nel settore della protezione dei dati personali (come, ad esempio, in riferimento alla valutazione d'impatto sulla protezione dei dati) o specifici compiti quali, ad esempio, la fornitura di piattaforme tecnologiche o specifiche funzionalita' (registro delle attivita' di trattamento, erogazione di eventi formativi, predisposizione di informative, ecc.). Il quadro descritto determina una certa confusione circa i ruoli assunti dai soggetti coinvolti nel trattamento e nell'affidamento del servizio di RPD, con una sovrapposizione di figure, compiti e atti che rende incoerente, macchinosa e poco trasparente l'instaurazione del relativo rapporto. Misure indicate. In via preliminare, occorre precisare che, nel caso in cui la scelta del RPD ricada su una professionalita' interna all'ente, occorre formalizzare un apposito atto di designazione a «Responsabile per la protezione dei dati»; in caso, invece, di ricorso a soggetti esterni all'ente, la designazione potra' costituire parte integrante dell'apposito contratto di servizi (ad esempio, come suo allegato). Indipendentemente dalla natura e dalla forma dell'atto utilizzato, e' necessario che nello stesso sia individuata, in maniera inequivocabile, la persona fisica o giuridica che operera' come RPD, riportandone espressamente le generalita' (o i dati societari, in caso di persona giuridica), i compiti e le funzioni che questi sara' chiamato a svolgere in ausilio al titolare/responsabile del trattamento, in conformita' a quanto previsto dal quadro normativo di riferimento. L'eventuale assegnazione nel tempo di compiti aggiuntivi, rispetto a quelli originariamente previsti nell'atto di designazione, dovra' comportare la modifica e/o l'integrazione dello stesso o delle clausole contrattuali. Nell'atto di designazione o nel contratto di servizi devono risultare succintamente indicate anche le motivazioni che hanno indotto l'ente a individuare, nella persona fisica selezionata, il proprio RPD, al fine di consentire la verifica del rispetto dei requisiti previsti dall'art. 37, par. 5 del regolamento, anche mediante rinvio agli esiti delle procedure di selezione. La specificazione dei criteri utilizzati nella valutazione compiuta dall'ente nella scelta di tale figura, oltre a essere indice di trasparenza e di buona amministrazione, costituisce anche elemento di valutazione del rispetto del principio di accountability. Tutto cio' premesso, venendo alle criticita' evidenziate, si rende necessario che: a) il soggetto individuato quale RPD, che si tratti di persona fisica o giuridica, sia il medesimo indicato in tutti gli atti che contribuiscono a perfezionare il processo di designazione, cio' vale sicuramente per: la domanda di partecipazione ad una procedura selettiva; il contratto di servizio (nel caso di affidamento ad un soggetto esterno); l'atto di designazione (con il quale effettivamente viene individuato e investito il soggetto del ruolo e dei compiti del RPD); le informazioni contenenti i relativi dati di contatto, da pubblicare sul sito web dell'ente e da comunicare all'Autorita'; b) se il soggetto individuato quale RPD e' una persona giuridica, questa deve indicare, a sua volta, il referente persona fisica; a questo proposito, e' opportuno che essa sia indicata, gia' in fase di procedura di selezione e in ciascuno degli atti summenzionati, e che ogni variazione che dovesse riguardare quest'ultima sia coerentemente riportata negli stessi e comunicata all'Autorita' (mediante l'apposita procedura disponibile sul sito del Garante: cfr. par. 7); c) l'individuazione di eventuali figure, sia interne che esterne all'ente, di supporto al RPD, avvenga in maniera chiara e trasparente, da parte dell'amministrazione, eventualmente anche all'interno dell'atto di designazione del RPD stesso. Tali figure di supporto, ai soli fini dello svolgimento dei compiti propri del RPD, possono ricevere istruzioni solo da quest'ultimo: pertanto, a questo specifico fine, non possono ricevere istruzioni dal titolare del trattamento, ne', tantomeno, possono essere legate a quest'ultimo da un rapporto instaurato ai sensi dell'art. 28 del regolamento; d) ulteriori figure che forniscono servizi al titolare del trattamento, in qualita' di responsabili del trattamento con i quali e' instaurato un rapporto ai sensi dell'art. 28 del regolamento, non svolgano altresi' compiti di RPD o di supporto al RPD, stante l'autonomia dell'azione di quest'ultimo - considerato che gli stessi rapporti instaurati con i responsabili del trattamento sono sottoposti alla vigilanza del RPD, ai sensi dell'art. 39, par. 1, lett. b), del regolamento. 6.2. Pluralita' di enti pubblici per conto dei quali viene svolto l'incarico e pluralita' di servizi forniti anche al medesimo titolare. Precedenti decisioni del Garante. «Faq sul Responsabile della Protezione dei dati (RPD) in ambito pubblico», 15 dicembre 2017 (doc. web n. 7322110); Relazione annuale 2019, par. 4.9 (pp. 80-81). Questione emersa. Dagli accertamenti ispettivi condotti e' emerso che alcune societa' svolgono incarichi di RPD per conto di numerosi soggetti pubblici (nell'ordine delle centinaia), spesso anche variamente dislocati sull'intero territorio nazionale. Oltre all'incarico di RPD, e' emerso che tali societa' svolgono anche altri incarichi che pur non essendo, in generale, incompatibili con il ruolo di RPD (ad esempio, quello di referente nell'ambito della sicurezza del lavoro) potrebbero comunque rendere difficile lo svolgimento di tutti i compiti affidati, soprattutto quando queste societa' operano con risorse non adeguate, incidendo anche sulla credibilita' della qualita' del lavoro svolto come RPD. A questo proposito, si sono riscontrate situazioni in cui queste societa' indicano, quale referente persona fisica per conto dei vari «clienti», sempre i medesimi collaboratori, affiancandoli con una squadra composta da un numero molto esiguo di unita'. Peraltro, in alcuni casi, questi non sono nemmeno deputati allo svolgimento esclusivo di funzioni di supporto al RPD, ma svolgono anche altri incarichi (compiti di amministrazione, formazione alla sicurezza sul lavoro, ecc.; per quanto concerne specifiche situazioni di incompatibilita' e conflitto di interessi, cfr. par. 10). La numerosita' dei clienti per i quali tali societa' svolgono il ruolo di RPD, considerato l'esiguo numero di risorse umane, materiali e temporali impiegate in rapporto alla complessita' e alla numerosita' dei compiti affidati, fa sorgere dei dubbi sul fatto che le modalita' di svolgimento del ruolo di RPD possano ritenersi effettivamente adeguate a fornire un efficace supporto a ciascun titolare per lo svolgimento dei compiti previsti dall'art. 39 del regolamento (oltre che a fungere quale punto di contatto per gli interessati, ai sensi dell'art. 38, par. 4, del regolamento). Le stesse perplessita' emergono anche nelle ipotesi in cui una medesima figura che rivesta il ruolo di RPD sia chiamata, per conto anche del medesimo soggetto pubblico, a svolgere ulteriori incarichi. Misure indicate. Posta la liberta' di ciascun soggetto di organizzare la propria attivita' di impresa (e fatto salvo quanto detto al par. 10.2 circa l'organizzazione societaria), rimane il fatto che gli enti pubblici, nel momento in cui decidono di affidare l'incarico di RPD a un soggetto esterno alla propria struttura, al fine di prevenire la possibilita' di ricevere una assistenza inadeguata, dovrebbero poter tenere in considerazione, ad esempio, i seguenti elementi: a) il numero di incarichi gia' ricoperti dalla societa' o dal professionista al quale si intende affidare l'incarico; b) l'eventuale specializzazione in ragione delle particolari tipologie di trattamenti effettuati dai soggetti per i quali tale soggetto svolge il ruolo di RPD (ad esempio, il fatto che si tratti prevalentemente di comuni, o di Istituti scolastici, o di Aziende sanitarie, o di societa' commerciali, ecc.); c) in caso di societa', la disponibilita' di adeguate risorse a sostegno del referente persona fisica, compresa la possibilita' di ricorrere, se del caso, a collaboratori in possesso di particolari competenze (cfr. par. 9). Le indicazioni di cui sopra non hanno valore assoluto ma costituiscono, nel loro complesso, elementi di valutazione da tenere in attenta considerazione in fase di selezione. Inoltre, ciascuna amministrazione dovrebbe valutare l'opportunita' di individuare, al proprio interno, una figura di riferimento per il RPD esterno, con il quale quest'ultimo possa interloquire con costanza, al fine di consentirgli una piu' rapida e completa acquisizione di tutti gli elementi di contesto necessari per lo svolgimento dei suoi compiti e per facilitargli l'interazione con le strutture interne dell'ente. 6.3. Individuazione, all'interno del RPD persona giuridica, del referente persona fisica. Decisione di altro organismo: sentenza del Tar Puglia - Lecce, sez. III, del 13 settembre 2019, n. 1468. Questione emersa. Sono emersi dubbi in ordine alla legittima possibilita' che la persona giuridica candidata ad assumere l'incarico di RPD per conto di una pubblica amministrazione possa avvalersi di un referente persona fisica che non sia un dipendente della societa' medesima, e quindi sia esterno al suo organico. Misure indicate. Preliminarmente, come indicato nelle Linee guida del WP29, deve essere chiarito che il referente persona fisica deve essere anch'egli in possesso di tutti i requisiti stabiliti dal regolamento, compresi i requisiti professionali di cui all'art. 37, par. 5. Cio' posto, si ritiene che obbligare una persona giuridica, che intenda candidarsi a rivestire l'incarico di RPD presso un ente pubblico, ad indicare quale referente persona fisica esclusivamente un proprio dipendente, escludendo cosi' rapporti diversi da quello di subordinazione, impedisce a tutta una serie di realta' (quali societa' tra professionisti e studi professionali associati, o anche solo organizzazioni che abbiano stipulato un contratto di opera intellettuale con un professionista esterno) a prendere parte a procedure di affidamento del servizio in questione, senza che tale impedimento abbia alcun aggancio nel regolamento, dove non e' presente alcuna disposizione che richieda la sussistenza di un siffatto rapporto di subordinazione. A questo proposito, nonostante si riscontrino dei primi orientamenti giurisprudenziali difformi, si ritiene che le Linee guida del WP29, laddove parlano di «appartenenza» della persona fisica alla persona giuridica, non intendono fornire a tale concetto alcuna precisa connotazione giuridica (probabilmente, anche al fine di rispettare l'autonomia dei singoli ordinamenti nazionali nella disciplina dei rapporti di lavoro). Infatti, le Linee guida, nella versione originale in lingua inglese, fanno riferimento a «each member of the organisation exercising the functions of a DPO», utilizzando quindi una locuzione che rimanda ad un mero coinvolgimento delle persone fisiche preposte, senza che da cio' si possa dedurre la necessaria sussistenza di un vincolo di dipendenza parificabile ad un rapporto di lavoro subordinato (come, ad esempio, quello di cui all'art. 2094 c.c.). Conseguentemente, si ritiene che il referente persona fisica indicato dalla persona giuridica non debba necessariamente essere un suo dipendente, e quindi non debba obbligatoriamente trovarsi in un rapporto di subordinazione, a nulla rilevando, ai fini dell'applicazione del regolamento, il tipo di rapporto che lega la persona giuridica designata con il referente persona fisica. Deve, in ogni caso, sussistere un rapporto giuridico che fornisca prova della sussistenza di un legame valido, efficace e stabile e legittimi tale indicazione nei confronti dell'ente pubblico aggiudicante. Tutto cio' considerato, deve in ogni modo essere sempre assicurata la massima e preventiva correttezza e trasparenza, da parte della persona giuridica che intende essere designata, nei confronti dell'ente affidante. Pertanto, nulla osta e, anzi, potrebbe essere considerata una buona pratica che l'ente committente richieda alle societa' candidate per l'incarico di RPD adeguate informazioni, eventualmente comprovate da idonea documentazione, circa la persona fisica da indicare come referente come, ad esempio: a) i dati identificativi; b) il possesso dei requisiti di cui all'art. 37, par. 5, del regolamento; c) l'assicurazione che tale persona fisica non abbia gia' un numero di incarichi che ne rendano difficoltoso l'adempimento (ad esempio, indicando il numero di incarichi gia' rivestiti); d) il tipo di rapporto contrattuale intrattenuto. Sempre al fine di assicurare la massima trasparenza, l'ente committente potrebbe valutare l'opportunita' di inserire, all'interno del contratto, una clausola che obblighi la persona giuridica affidataria a comunicargli qualsiasi variazione, intervenuta in sede di esecuzione, riguardante il referente persona fisica previamente individuato, al fine di consentire al titolare del trattamento di verificare che il RPD garantisca il mantenimento, nel tempo, dell'effettivo possesso dei requisiti richiesti. 6.4. Durata dell'incarico. Altra disposizione di riferimento del regolamento. Art. 38, par. 3: «Il titolare del trattamento e il responsabile del trattamento si assicurano che il responsabile della protezione dei dati non riceva alcuna istruzione per quanto riguarda l'esecuzione di tali compiti. Il responsabile della protezione dei dati non e' rimosso o penalizzato dal titolare del trattamento o dal responsabile del trattamento per l'adempimento dei propri compiti. Il responsabile della protezione dei dati riferisce direttamente al vertice gerarchico del titolare del trattamento o del responsabile del trattamento». Cons. 97: «[...] Tali responsabili della protezione dei dati, dipendenti o meno del titolare del trattamento, dovrebbero poter adempiere alle funzioni e ai compiti loro incombenti in maniera indipendente». Decisione di altro organismo: delibera dell'Autorita' nazionale anticorruzione n. 421 del 13 maggio 2020. Questione emersa. Sono state riscontrate situazioni in cui la durata dell'incarico di RPD assegnato a un soggetto esterno all'amministrazione era strettamente legata alla durata del mandato del vertice della medesima (come, ad esempio, il sindaco di un comune). A questo proposito, si rileva che il RPD deve svolgere la propria funzione in maniera indipendente rispetto alle decisioni adottate dal legale rappresentante del titolare del trattamento, mentre un legame in tal modo instaurato rischia di creare un rapporto su base fiduciaria, che puo' minare la separazione delle competenze e l'autonomia del RPD, creando una soggezione di fatto fra organo politico e soggetto di consulenza/sorveglianza. Misure indicate. La durata del contratto di servizi deve tendenzialmente essere tale da consentire al RPD di poter impostare, in un periodo non breve, le attivita' necessarie per rendere conformi al regolamento i trattamenti effettuati dal titolare che lo ha incaricato. Spetta ovviamente a ciascun ente pubblico valutare la congruita' della durata rispetto alle caratteristiche dell'amministrazione (dimensioni, risorse a disposizione, ecc.) e a quelle dei trattamenti svolti (complessita', qualita' e quantita' dei dati personali trattati, ecc.): ma, in linea di massima, si ritiene che un periodo congruo per la durata dell'incarico possa essere stimato intorno ai tre anni, al fine di dare al RPD il tempo necessario per poter conoscere adeguatamente l'organizzazione dell'ente e attuare le misure necessarie a garanzia dei diritti degli interessati. Cio' posto, nello stabilire la durata del contratto con il RPD esterno, l'ente pubblico, pur all'interno di una sfera di discrezionalita' riguardo alle scelte organizzative, non puo' affidarsi a criteri che possano essere sintomatiche di un rapporto non improntato all'autonomia di azione del RPD (come, ad esempio, lo stretto collegamento dell'incarico di RPD con il mandato di un organo direttivo dell'ente medesimo). Infine, in quest'ottica, si richiamano le amministrazioni a prestare attenzione a quanto sostenuto dall'Autorita' nazionale anticorruzione, a fini di rispetto della disciplina in materia di contratti pubblici, sulla necessita' che l'affidamento dei contratti aventi ad oggetto il servizio di protezione dei dati personali di importo inferiore alle soglie comunitarie debba avvenire nel rispetto del principio di rotazione. 6.5. Remunerazione. Questioni emerse. Sono state rappresentate all'Autorita' situazioni in cui bandi di gara per l'affidamento all'esterno del servizio di RPD prevedevano compensi estremamente bassi nell'ordine delle poche centinaia di euro, avvalendosi del criterio di aggiudicazione basato sul prezzo piu' basso di cui all'art. 95 del d.lgs. 18 aprile 2016, n. 50. Nel corso dell'attivita' ispettiva sono emerse anche realta' peculiari in cui una societa' consortile, che gia' offre agli enti pubblici consorziati servizi a fronte del versamento di una quota annuale di partecipazione al consorzio, si e' proposta, nei confronti dei medesimi enti, di fornire loro il servizio di RPD in forma gratuita. Questa scelta sarebbe motivata dalle garanzie offerte dalla propria «societa' partecipata» di riferimento, oltre che da evidenti ragioni di contenimento dei costi, tenuto peraltro conto che questo fenomeno si e' sviluppato nelle aree del Paese piu' in difficolta' sotto il profilo economico e finanziario. In proposito, si ritiene che l'eccessivo abbassamento della remunerazione per la fornitura del servizio di RPD abbia un duplice effetto negativo: da una parte, quello di consentire l'aggiudicazione in favore di candidati che, nonostante quanto previsto dall'art. 37, par. 5, del regolamento, non abbiano una formazione specifica idonea allo svolgimento dei delicati compiti che spettano al RPD; dall'altra, quello di spingere i soggetti affidatari, per conseguire una remunerazione adeguata, ad accumulare un elevato numero di incarichi, con la conseguenza di non riuscire ad offrire un servizio efficace a ciascuno dei propri clienti (sul punto, cfr. le considerazioni riportate nel par. 6.2). Misure indicate. Come per quanto detto in relazione alla durata del contratto, anche nella determinazione del compenso l'ente pubblico affidante, pur tenendo in adeguato conto le risorse a disposizione e la situazione organizzativa, dovrebbe effettuare valutazioni di congruita' della cifra da stabilire, al fine di investire un RPD che svolga i propri compiti in maniera efficace. In questa prospettiva, si invitano gli enti pubblici, nel momento della definizione dei criteri di aggiudicazione del servizio di RPD, a considerare di privilegiare la scelta del criterio dell'offerta economicamente piu' vantaggiosa, in coerenza con la preferenza accordata dall'art. 95 del d.lgs. 50/2016 e affermata dall'Adunanza plenaria del Consiglio di Stato (sent. 21 maggio 2019, n. 8), nonche' in linea con le indicazioni fornite dall'Autorita' nazionale anticorruzione. Infatti, come sancito dal richiamato orientamento giurisprudenziale, «nell'ambito della generale facolta' discrezionale nella scelta del criterio di aggiudicazione, a sua volta insita nell'esigenza di rimettere all'amministrazione la definizione delle modalita' con cui soddisfare nel miglior modo l'interesse pubblico sotteso al contratto da affidare, le stazioni appaltanti sono nondimeno vincolate alla preferenza accordata dalla legge a criteri di selezione che abbiano riguardo non solo all'elemento prezzo, ma anche ad aspetti di carattere qualitativo delle offerte» (cons. 8). Nel caso di specie, gli aspetti qualitativi sono direttamente collegati anche alla valutazione delle qualita' professionali di cui all'art. 37, par. 5, del regolamento: pertanto, le pubbliche amministrazioni dovranno contemperare in maniera congrua e proporzionata le esigenze di razionalizzazione della spesa con quelle di acquisizione delle competenze adeguate per lo svolgimento dei compiti connessi alla migliore realizzazione degli obiettivi posti dalla disciplina europea a tutela dei diritti e delle liberta' fondamentali degli interessati. Infine, per quanto riguarda le descritte situazioni di affidamento a titolo gratuito in favore di societa' consortili che forniscono altri servizi (soprattutto in campo IT), si fa presente che la questione del compenso (in questo caso non previsto) rappresenta una conseguenza di un'altra problematica posta a monte, e cioe' quella del conflitto di interessi in capo alla societa' (ampiamente trattata al par. 10.2). Un'applicazione rigorosa del principio di separazione tra servizi forniti da un soggetto in qualita' di responsabile del trattamento, ai sensi dell'art. 28 del regolamento, e i servizi forniti da un soggetto esterno in qualita' di RPD, ai sensi dell'art. 37 del regolamento, dovrebbe naturalmente condurre all'incumulabilita' dei due incarichi in capo allo stesso soggetto, risolvendo, pertanto, alla radice la questione della remunerazione. 7. Pubblicazione e comunicazione all'Autorita' dei dati di contatto del RPD. Disposizione di riferimento del regolamento. Art. 37, par. 7: «Il titolare del trattamento o il responsabile del trattamento pubblica i dati di contatto del responsabile della protezione dei dati e li comunica all'autorita' di controllo». Riferimento nelle Linee guida del WP29: par. 2.6, pp. 16-17. Precedenti decisioni del Garante. «Faq sul Responsabile della Protezione dei dati (RPD) in ambito pubblico», 15 dicembre 2017 (doc. web n. 7322110); provv. 12 marzo 2020, n. 56 (doc. web n. 9429218); provv. 1° ottobre 2020, n. 173 (doc. web n. 9483375); provv. 17 dicembre 2020, n. 272 (doc. web n. 9557593); provv. 11 febbraio 2021, n. 54 (doc. web n. 9556625). Questioni emerse. Non sempre e' risultato che i titolari del trattamento abbiano effettuato i due predetti adempimenti, vanificando cosi' la necessaria trasparenza informativa nei confronti sia degli interessati (che in questo modo non sanno dell'esistenza di una figura cui rivolgere le proprie istanze in materia di trattamento dei propri dati personali) che dell'Autorita' medesima (facendo venire meno quel punto di contatto essenziale per lo svolgimento dei propri compiti istituzionali). Inoltre, in alcuni casi l'ente ha ritenuto di poter assolvere all'obbligo di pubblicazione mediante l'affissione dei dati di contatto presso i propri uffici, senza la messa a disposizione su pagine facilmente individuabili all'interno del proprio sito web istituzionale. Per quanto concerne, invece, l'adempimento della comunicazione dei dati di contatto all'Autorita', oltre ai numerosi casi di mancato assolvimento, si sono registrati anche altrettanto numerose situazioni di comunicazione effettuata mediante canali inidonei (non avvalendosi cioe' dell'apposita procedura online messa a disposizione dal Garante), oppure indicando riferimenti non corretti dell'ente titolare del trattamento (ad esempio, indicando il legale rappresentante come titolare del trattamento o fornendo, in luogo del codice fiscale dell'ente, la partita IVA, ovvero il codice fiscale del proprio legale rappresentante oppure del RPD medesimo), impedendone cosi' l'individuazione. Misure indicate. Ciascun soggetto che designa un RPD e' tenuto ad effettuare entrambi gli adempimenti previsti dall'art. 37, par. 7, del regolamento (pubblicazione e comunicazione all'Autorita' dei dati di contatto). Per quanto concerne la pubblicazione, questa dovra' essere effettuata sul sito web dell'amministrazione, all'interno di una sezione facilmente riconoscibile dall'utente e accessibile gia' dalla homepage, oltre che nell'ambito della sezione dedicata all'organigramma dell'ente ed ai relativi contatti. Non e' necessario che, tra i dati oggetto di pubblicazione, vi sia anche il nominativo del RPD, non essendo questa informazione indispensabile a fini di contatto da parte di chiunque sia interessato: al contrario, risulta imprescindibile che tra i dati di contatto vi sia quantomeno un indirizzo di posta elettronica (sicuramente ordinaria, eventualmente integrata con un indirizzo PEC). A proposito dell'indirizzo di posta elettronica, si invitano le amministrazioni a rendere disponibili, sia nei confronti del pubblico che dell'Autorita', una casella «istituzionale» ad hoc attribuita specificamente al solo RPD, evitando l'utilizzo di caselle che siano direttamente espressione del titolare del trattamento (ad esempio, perche' richiamano l'«amministrazione», la «segreteria» o il «protocollo»). Invero, perche' sia effettivamente indipendente nell'esercizio delle sue funzioni (come richiesto dal cons. 97 del regolamento), sarebbe opportuno che il RPD venisse contattato attraverso canali che riconducano direttamente a lui, senza l'intermediazione di uffici facenti capo al titolare. Per quanto concerne la comunicazione all'Autorita', si evidenzia che il Garante ha reso disponibile un'apposita procedura online non solo per la comunicazione, ma anche per la variazione e la revoca del nominativo del RPD designato. Tale procedura rappresenta l'unico canale di contatto utilizzabile a questo specifico fine ed e' reperibile alla pagina https://servizi.gpdp.it/comunicazionerpd/s/, ove sono riportate anche le apposite istruzioni e le relative FAQ: peraltro, si richiama l'attenzione degli enti a inserire correttamente i dati richiesti, come l'individuazione del titolare del trattamento (l'ente complessivamente inteso, e non il legale rappresentante) e la compilazione del codice fiscale dell'amministrazione (e non della partita IVA, ovvero del codice fiscale di altro soggetto). Per quanto concerne la variazione dei dati di contatto del RPD (ad esempio, per effetto della nomina di un differente soggetto per quell'incarico), essa dovra' essere effettuata tempestivamente, in modo che l'Autorita', per l'esercizio dei propri compiti, sia sempre in possesso di informazioni aggiornate e, conseguentemente, si rivolga al «punto di contatto» esatto. Infatti, il mantenimento di dati di contatto non piu' attuali potrebbe comportare il coinvolgimento di un soggetto cessato dalle proprie funzioni di RPD, con conseguente comunicazione a terzi di informazioni che non ha piu' alcun titolo a conoscere: ad esempio, da parte di un interessato che si vuole rivolgere a lui ai sensi dell'art. 38, par. 4, del regolamento, ovvero da parte della stessa Autorita', che lo intende coinvolgere nell'ambito di un procedimento, ai sensi dell'art. 39, par. 1, lett. d), ed e), del regolamento. Occorre considerare al riguardo che il mancato aggiornamento dei dati di contatto del RPD, tanto sul sito web dell'ente quanto nella relativa comunicazione all'Autorita', costituisce una condotta sanzionabile al pari della mancata pubblicazione/comunicazione.  8. Coinvolgimento da parte del titolare e svolgimento dei compiti da parte del RPD. Disposizioni di riferimento del regolamento. Art. 38, par. 1: «Il titolare del trattamento e il responsabile del trattamento si assicurano che il responsabile della protezione dei dati sia tempestivamente e adeguatamente coinvolto in tutte le questioni riguardanti la protezione dei dati personali». Art. 38, par. 3: «Il titolare del trattamento e il responsabile del trattamento si assicurano che il responsabile della protezione dei dati non riceva alcuna istruzione per quanto riguarda l'esecuzione di tali compiti. Il responsabile della protezione dei dati non e' rimosso o penalizzato dal titolare del trattamento o dal responsabile del trattamento per l'adempimento dei propri compiti. Il responsabile della protezione dei dati riferisce direttamente al vertice gerarchico del titolare del trattamento o del responsabile del trattamento». Art. 39, par. 1: «Il responsabile della protezione dei dati e' incaricato almeno dei seguenti compiti: a) informare e fornire consulenza al titolare del trattamento o al responsabile del trattamento nonche' ai dipendenti che eseguono il trattamento in merito agli obblighi derivanti dal presente regolamento nonche' da altre disposizioni dell'Unione o degli Stati membri relative alla protezione dei dati; b) sorvegliare l'osservanza del presente regolamento, di altre disposizioni dell'Unione o degli Stati membri relative alla protezione dei dati nonche' delle politiche del titolare del trattamento o del responsabile del trattamento in materia di protezione dei dati personali, compresi l'attribuzione delle responsabilita', la sensibilizzazione e la formazione del personale che partecipa ai trattamenti e alle connesse attivita' di controllo; c) fornire, se richiesto, un parere in merito alla valutazione d'impatto sulla protezione dei dati e sorvegliarne lo svolgimento ai sensi dell'articolo 35; d) cooperare con l'autorita' di controllo; e e) fungere da punto di contatto per l'autorita' di controllo per questioni connesse al trattamento, tra cui la consultazione preventiva di cui all'articolo 36, ed effettuare, se del caso, consultazioni relativamente a qualunque altra questione.». Riferimento nelle Linee guida del WP29: par. 3.1, pp. 17-18; par. 4, pp. 22-25. Precedenti decisioni del Garante. Relazione annuale 2019, par. 4.9 (pp. 80-81); provv. 17 dicembre 2020, n. 280 (doc. web n. 9524175); provv. 25 febbraio 2021, n. 87 (doc. web n. 9556958). Questioni emerse. In alcuni dei casi in cui il RPD e' una persona giuridica che fornisce tale servizio ad una pluralita' di enti pubblici, e' emerso che le interlocuzioni con i titolari non fossero sufficientemente frequenti. In particolari situazioni, sono stati altresi' lamentati, da parte di alcuni enti pubblici, veri e propri inadempimenti da parte del RPD designato, il quale non avrebbe svolto, in maniera adeguata, i compiti previsti dall'art. 39 del regolamento, o quelli pattuiti all'atto del conferimento dell'incarico (quali, ad esempio, l'attivita' formativa nei confronti dei dipendenti, oppure il coordinamento nella mappatura dei trattamenti) e il conseguente supporto nello svolgimento degli adempimenti previsti dalla disciplina in materia di protezione dei dati personali. Anche nel caso di RPD interni si sono registrate situazioni di scarso coinvolgimento, da parte del titolare, soprattutto in occasione delle interlocuzioni avviate con l'Autorita' nel corso di specifici procedimenti, con l'effetto di rendere difficoltosa l'acquisizione degli elementi necessari per chiarire i contorni dei trattamenti indagati. Si osserva, in proposito, che la prassi di instaurare contatti, solo saltuari, tra il soggetto pubblico e il proprio RPD (sia interno che esterno) vanifica il senso della presenza del RPD e, con esso, l'approccio di privacy by design e by default promosso dal regolamento, con conseguenze dirette in capo agli enti stessi in termini di accountability e di inadempimento agli obblighi regolamentari (ad esempio, ai sensi degli art. 82 e 83 del regolamento). In base alle risultanze fornite dall'attivita' ispettiva espletata dall'Autorita', ma anche dalle segnalazioni ricevute, si e' riscontrato che tale atteggiamento puo' essere imputabile a entrambe le parti: al RPD, in quanto spesso portato a non proporre adeguatamente al titolare le attivita' necessarie per conformare i trattamenti alla disciplina in materia di protezione dei dati personali; all'ente pubblico, per la tendenza a considerare la nomina del RPD solo come un adempimento formale, non riconoscendo e tantomeno valorizzando i compiti e le potenzialita' di questa figura. Misure indicate. Nel corso delle indagini sul campo svolte dall'Autorita', sono, in ogni caso, emerse delle buone pratiche che si ritiene utile suggerire, in aggiunta a quelle gia' indicate nelle Linee guida del WP29, al fine di rendere effettivo il coinvolgimento del RPD e appropriato lo svolgimento dei compiti da parte di quest'ultimo: a) l'individuazione, all'interno dell'amministrazione, di una figura, adeguata per posizione e competenze, che funga da punto di riferimento per il RPD, con il quale quest'ultimo possa interloquire costantemente, al fine di ricevere gli elementi richiesti per lo svolgimento dei propri compiti, oltre che facilitare il dialogo con il vertice amministrativo; b) la condivisione di un'agenda attraverso la quale fissare momenti di dialogo con una congrua periodicita'; c) la proposta, da parte del RPD al titolare, di attivita' da svolgere per migliorare la gestione dei trattamenti sul piano della conformita' alla disciplina di settore, da effettuarsi sia al momento dell'assunzione dell'incarico che, periodicamente, in corso di esecuzione dello stesso. Tra queste, potrebbe, ad esempio, rientrare la predisposizione di: c.1) documenti informativi, rivolti tanto al vertice dell'ente quanto ai suoi dipendenti e collaboratori; c.2) attivita' di supporto per l'adempimento di singoli obblighi previsti dal regolamento quali: le informative (artt. 12-14); le designazioni dei responsabili del trattamento (art. 28) e delle persone autorizzate (art. 29), con suggerimenti circa le possibili istruzioni da impartire; il registro dei trattamenti (art. 30); il registro delle violazioni (art. 33); c.3) proposte di misure tecniche e organizzative per innalzare il livello generale di protezione dei dati personali, oggetto dei trattamenti effettuati e per una piu' efficace tutela dei diritti e delle liberta' fondamentali degli interessati; c.4) procedure interne per la gestione di eventi particolari quali le violazioni di dati personali di cui agli artt. 33 e 34 del regolamento, o le valutazioni di impatto sulla protezione dei dati di cui all'art. 35 del regolamento, o anche, piu' in genere, l'analisi dei rischi; d) la rendicontazione dell'attivita' svolta, sia quella in loco (mediante, ad esempio, la stesura di verbali degli incontri), sia quella a distanza; e) lo svolgimento di attivita' di formazione e aggiornamento rivolte alle persone autorizzate al trattamento dei dati dall'ente, da effettuarsi anche mediante la messa a disposizione di idonea documentazione. Al fine di vincolare maggiormente i RPD allo svolgimento dei compiti che spettano loro, in particolare quando si tratta di soggetti esterni, si suggerisce agli enti pubblici di specificare espressamente tali attivita' tra gli obblighi contrattuali, pur nel rispetto del divieto di rimozioni o penalizzazioni per l'adempimento dei propri compiti di cui all'art. 38, par. 3, del regolamento. Non devono essere invece assegnati al RPD compiti che spettano al titolare del trattamento e che esulano dalle attivita' di consulenza, sorveglianza e, piu' in generale, consultazione, stabilite dall'art. 39 del regolamento - nonche', eventualmente, di tenuta del registro delle attivita' di trattamento di cui all'art. 30 del regolamento (cfr. le Linee guida del WP29, par. 4.5, pp. 24-25). Pur riconoscendo che i compiti ivi elencati costituiscono solo una rappresentazione esemplificativa, rimane comunque il fatto che il RPD non possa essere chiamato a svolgere, in prima persona, attivita' che, in base al regolamento, competono al titolare/responsabile, peraltro a pena di applicazione di una sanzione amministrativa in caso di violazione. A questo proposito, infatti, milita anche il par. 3 dell'art. 38 del regolamento, laddove vieta la rimozione o la penalizzazione del RPD per l'adempimento dei propri compiti, confermando, pertanto, che il suo ruolo e' di supporto al titolare/responsabile, anche di controllo, ma non puo' da questo essere delegato rispetto a compiti esecutivi (e connesse responsabilita') che, nell'ottica del principio di accountability, spettano proprio al titolare (o al responsabile). Potrebbe rivelarsi molto utile che i RPD che operano in un medesimo settore, o che condividano medesime problematiche, istituiscano tavoli di lavoro comuni e, in particolare, «reti di RPD», ove possano essere individuate soluzioni condivise anche attraverso l'analisi di problematiche comuni. In questo senso, sono da incoraggiare iniziative gia' avviate come, ad esempio, le reti di RPD istituite nei settori della ricerca pubblica, della fiscalita' o della sanita', ma anche a livello di Ministeri, Autorita' indipendenti o su base regionale. Analoghe iniziative potrebbero essere promosse in tanti altri campi, al fine ultimo di favorire la sensibilizzazione dei titolari/responsabili sulle questioni di protezione dei dati personali, in un contesto di sempre maggiore sviluppo verso la digitalizzazione della pubblica amministrazione e dei suoi servizi. 9. Risorse messe a disposizione dal titolare e costituzione di un gruppo di collaboratori (team) del RPD. Disposizione di riferimento del regolamento. Art. 38, par. 2: «Il titolare e del trattamento e il responsabile del trattamento sostengono il responsabile della protezione dei dati nell'esecuzione dei compiti di cui all'articolo 39 fornendogli le risorse necessarie per assolvere tali compiti e accedere ai dati personali e ai trattamenti e per mantenere la propria conoscenza specialistica». Riferimento nelle Linee guida del WP29: par. 3.2, pp. 18-19. Precedenti decisioni del Garante. «Faq sul Responsabile della Protezione dei dati (RPD) in ambito pubblico», 15 dicembre 2017 (doc. web n. 7322110); Relazione annuale 2019, par. 4.9 (pp. 80-81). Questione emersa. Soprattutto nelle grandi amministrazioni i trattamenti effettuati possono essere numerosi, complessi e coinvolgere un'elevata quantita' di dati personali, anche delicati: si pensi ai Ministeri o alle altre amministrazioni centrali, oppure alle regioni o ai comuni capoluogo. Inoltre, alcuni di questi enti sono dotati di una potesta' normativa di rango primario e/o secondario, cui si aggiunge, in alcuni casi anche l'adozione di atti amministrativi di carattere generale, attraverso i quali possono concorrere a disciplinare trattamenti di dati personali. In questi contesti aumenta significativamente il livello di difficolta' nell'esercizio dei compiti richiesti al RPD, sia per quanto concerne il possesso di un livello piuttosto diversificato e approfondito di conoscenze specialistiche, che per quanto concerne il tempo e le energie da dedicare alle tante istanze che emergono in materia di protezione dati. Cio' significa che la persona individuata quale RPD, da sola, difficilmente puo' essere in grado di assolvere ai propri compiti in maniera efficace e qualitativamente adeguata. Misure indicate. Come gia' richiamato nelle Linee guida del WP29 e nelle precedenti FAQ del Garante, in rapporto alle dimensioni e alla complessita' dei trattamenti effettuati, occorre valutare attentamente l'opportunita'/necessita' di istituire un apposito gruppo di persone (team) a supporto del RPD, al quale destinare le risorse necessarie allo svolgimento dei compiti stabiliti. A questo fine, un valore aggiunto potrebbe essere dato dalla scelta di destinare, a questo team, personale in possesso di competenze diversificate come, ad esempio, soggetti dal profilo piu' strettamente giuridico e amministrativo, e soggetti esperti in ambito IT. Inoltre, anche in aggiunta alla costituzione del team di collaboratori, in amministrazioni grandi, potrebbe risultare anche opportuno individuare specifici referenti del RPD all'interno delle varie articolazioni dell'ente, che potrebbero svolgere un ruolo di supporto e raccordo, sulla base di precise istruzioni del RPD, anche, se del caso, operando quali componenti del suo gruppo di lavoro. 10. Incompatibilita' con altri incarichi e conflitto di interessi. Disposizioni di riferimento del regolamento. Art. 38, par. 3: «Il titolare del trattamento e il responsabile del trattamento si assicurano che il responsabile della protezione dei dati non riceva alcuna istruzione per quanto riguarda l'esecuzione di tali compiti. Il responsabile della protezione dei dati non e' rimosso o penalizzato dal titolare del trattamento o dal responsabile del trattamento per l'adempimento dei propri compiti. Il responsabile della protezione dei dati riferisce direttamente al vertice gerarchico del titolare del trattamento o del responsabile del trattamento». Art. 38, par. 6: «Il responsabile della protezione dei dati puo' svolgere altri compiti e funzioni. Il titolare del trattamento o il responsabile del trattamento si assicura che tali compiti e funzioni non diano adito a un conflitto di interessi». Cons. 97: «[...] Tali responsabili della protezione dei dati, dipendenti o meno del titolare del trattamento, dovrebbero poter adempiere alle funzioni e ai compiti loro incombenti in maniera indipendente». Riferimento nelle Linee guida del WP29: par. 3.3, pp. 19-20; par. 3.5, pp. 21-22. Questioni emerse. L'Autorita' ha riscontrato numerose situazioni in cui viene nominato, quale RPD, un soggetto che svolge altri compiti che possono determinare un'incompatibilita' o una situazione di conflitto di interessi, in quanto tali ulteriori incarichi gli impediscono di svolgere la propria attivita' di RPD con la necessaria indipendenza. Cio' si puo' verificare allorche' la figura individuata quale RPD rivesta, all'interno dell'organizzazione dell'ente, un ruolo che comporti la definizione delle finalita' o modalita' del trattamento di dati personali (ad esempio, perche' contribuisce a definire le caratteristiche del trattamento by design e by default, oppure perche' le sono attribuiti potesta' decisionali all'esito di trattamenti di dati personali di particolare delicatezza). Parimenti, le medesime problematiche si riscontrano, con riferimento al RPD di provenienza esterna, qualora quest'ultimo sia assoggettato alle istruzioni impartite dal titolare del trattamento (ad esempio, perche' sia stato da quest'ultimo designato quale responsabile del trattamento ai sensi dell'art. 28 del regolamento per la fornitura di un determinato servizio, ovvero perche' lo rappresenti in giudizio su problematiche in materia di protezione dei dati personali). In proposito, le Linee guida del WP29 raccomandano buone pratiche, quali quelle di individuare preventivamente le qualifiche e funzioni che sarebbero incompatibili con quella di RPD e redigere regole interne onde evitare conflitti di interessi. Tuttavia, all'atto pratico, non e' stata riscontrata una diffusa sensibilita' sull'argomento. Per queste ragioni, anche dopo aver raccolto gli orientamenti adottati dalle Autorita' degli altri Stati membri, e fatte salve le indicazioni gia' fornite nelle citate Linee guida, si propone di seguito una specifica declinazione delle problematiche rilevate, con alcune proposte volte ad assicurare il rispetto delle intenzioni manifestate dal legislatore europeo. 10.1. RPD interno che ricopre incarichi per i quali partecipa all'adozione delle decisioni in materia di finalita' e modalita' del trattamento, o altre decisioni che impattano su trattamenti di dati personali. Precedenti decisioni del Garante. «Faq sul Responsabile della Protezione dei dati (RPD) in ambito pubblico», 15 dicembre 2017 (doc. web n. 7322110); Relazione annuale 2019, par. 4.9 (p. 81); Questioni emerse. Il tema dell'incompatibilita' con altri incarichi, e quindi della creazione di una situazione di conflitto di interessi, con riferimento a un RPD interno, e' emersa in numerosi casi, in cui il soggetto individuato quale RPD, al contempo, rivestiva incarichi quali quello di componente di un organismo collegiale (ad esempio, un comitato direttivo o un collegio disciplinare) o di titolare di un incarico monocratico dotato di poteri decisionali (ad esempio, vicepresidente, dirigente degli affari generali, direttore amministrativo). Piu' in generale, il tema si pone spesso in relazione alla scelta, da parte di soggetti pubblici dalle dimensioni e funzioni piu' diversificate, di affidare il ruolo di RPD a figure gia' deputate ad assolvere altri specifici incarichi che comportano poteri decisionali in ordine a finalita' e mezzi dei trattamenti posti in essere: si pensi, in primis, a quelli in materia di trasparenza e/o di prevenzione della corruzione. In particolare, altre situazioni di conflitti di interessi si possono registrare con riferimento alla sovrapposizione dell'incarico di RPD con quello di dirigente dell'unita' organizzativa chiamata a curare la valutazione d'impatto sulla protezione dei dati relativa ad uno specifico trattamento, considerato che, a questo proposito, al RPD spettano specifiche prerogative di consultazione, da parte del titolare del trattamento (artt. 35, par. 2, e 39, par. 1, lett. c), del regolamento), che verrebbero del tutto svuotate per effetto della citata coincidenza soggettiva. Misure indicate. Nelle Linee guida del WP29 e nelle FAQ del Garante sono state gia' indicate situazioni di conflitto di interessi in relazione a ruoli manageriali di vertice come quelli, tra gli altri, di «[...] responsabile finanziario [...] direzione risorse umane, responsabile IT», di «responsabile per la prevenzione della corruzione e per la trasparenza» o di «responsabile dei Sistemi informativi [...] ovvero quello dell'Ufficio di statistica». In ogni caso, le medesime Linee guida specificano che l'indagine va fatta «caso per caso guardando alla specifica struttura organizzativa del singolo titolare del trattamento o responsabile del trattamento»: cio' significa che solo l'esame concreto di ciascuna singola realta' - considerando elementi quali le dimensioni dell'ente, le risorse a disposizione, la complessita' della struttura, le tipologie di trattamenti svolti, qualita' e quantita' dei dati trattati, ecc. - potra' condurre ad una valutazione definitiva sulla sussistenza o meno di cause di incompatibilita'. Tale valutazione, in ogni caso, dovra' essere fornita dal titolare del trattamento, anche sulla base di idonea documentazione, in virtu' del principio di accountability di cui agli artt. 5, par. 2, e 24 del regolamento. Cio' detto, per quanto concerne incarichi di carattere monocratico (quali quelli di dirigente direttamente coinvolto da trattamenti, o addirittura di vertice dell'ente), il conflitto di interessi, spesso, diviene evidente icto oculi, e difficilmente si rende possibile comprovare, da parte del titolare del trattamento, che il medesimo soggetto che determina i trattamenti rientranti nel proprio settore abbia la necessaria indipendenza per esercitare, in maniera corretta, trasparente ed imparziale, quei compiti di sorveglianza sull'osservanza della disciplina e sulle politiche del titolare in materia di protezione dei dati personali, previsti dall'art. 39, par. 1, lett. b), del regolamento. Si puo' certamente affermare la sussistenza di un conflitto di interessi in relazione ai ruoli gia' citati (come la direzione risorse umane o contabilita', il responsabile IT o il responsabile della prevenzione della corruzione e della trasparenza), trattandosi di settori in cui i trattamenti dei dati personali sono certi e trasversali rispetto all'intera amministrazione, oltre che significativi in termini di quantita' e qualita' dei dati personali trattati, nonche' di rischi sui diritti e sulle liberta' fondamentali degli interessati. Peraltro, altre Autorita' europee si sono gia' pronunciate espressamente in proposito (invero con riferimento all'ambito privato), sancendo l'incompatibilita' tra la figura di RPD e quella di responsabile IT (provv. dell'Autorita' bavarese del 20 ottobre 2016) o quella di dirigente dei dipartimenti che si occupano di conformita' normativa, della gestione del rischio e di audit interni (provv. dell'Autorita' belga n. 18/2020 del 28 aprile 2020). Tutto cio' considerato, si ritiene che tali tipologie di incarichi siano incompatibili con quello di RPD, quantomeno per quanto riguarda le grandi amministrazioni che dispongono delle risorse tali per potersi avvalere di un RPD a cio' esclusivamente dedicato, o comunque che non versi in una situazione di potenziale conflitto di interessi. Cio' vale sia per gli enti pubblici di carattere nazionale (come Ministeri, Agenzie fiscali, grandi enti di ricerca ed altri grandi enti pubblici, ecc. che per quelli territoriali (Regioni, grandi strutture sanitarie, altri grandi enti di livello regionale, comuni di rilevanti dimensioni, ecc.). Per quanto concerne gli enti che, sul piano delle dimensioni, delle risorse e dell'organizzazione, presentano difficolta' oggettive ad avvalersi di una figura esclusivamente dedicata a ricoprire l'incarico di RPD, il titolare dovra' effettuare una ponderazione ad hoc, mettendo a disposizione dell'Autorita' (laddove necessario) le valutazioni all'uopo effettuate ai sensi degli artt. 5, par. 2, e 24 del regolamento, al fine di valutare il rischio effettivo di conflitto di interessi nell'ambito e nel contesto dei trattamenti svolti dall'amministrazione. Discorso diverso, invece, vale per quei soggetti che partecipano a organismi collegiali, ancorche' di vertice. Infatti, in questi casi, e' possibile che la normativa vigente contempli misure che possono ritenersi adeguate a prevenire rischi di conflitti di interessi, come, ad esempio, la previsione che i componenti che ritengano di trovarsi in tale situazione, lo dichiarino e, conseguentemente, si astengano sia dalla discussione che dalla deliberazione. Per queste ragioni, si ritiene che il componente di tale organismo collegiale, qualora investito dell'incarico di RPD, non versi, per cio' stesso, in una situazione di conflitto di interessi, a condizione che siano presenti e pienamente rispettate misure di prevenzione dei conflitti di interessi. In ogni caso, l'ente deve tenere nella dovuta considerazione il fatto che l'accumulo di incarichi ulteriori sulla figura chiamata a svolgere il ruolo di RPD inficia la capacita' del medesimo di assolvere efficacemente ai compiti assegnatigli dal regolamento. L'amministrazione, pertanto, dovrebbe valutare, in relazione alla complessita' della struttura organizzativa, alla disponibilita' di risorse, alla numerosita' e delicatezza dei trattamenti svolti, alla quantita' e qualita' di dati personali trattati, di affidare l'incarico di RPD a una persona che possa dedicarvisi tendenzialmente a tempo pieno. 10.2. RPD esterno che fornisce servizi IT quale responsabile del trattamento. Questione emersa. Nel corso dell'attivita' svolta dall'Autorita' sono emersi numerosi casi in cui soggetti che forniscono servizi (prevalentemente del settore IT) a pubbliche amministrazioni, in qualita' di responsabili del trattamento ai sensi dell'art. 28 del regolamento, forniscono, al contempo, il servizio di RPD, beneficiando del preesistente legame instaurato con il titolare del trattamento. Tali persone giuridiche indicano una persona fisica del proprio organigramma che funga da referente, e, talora, gli forniscono un team di supporto: tuttavia, si sono registrate situazioni in cui il medesimo personale adibito al servizio di RPD, al contempo, svolgeva anche particolari compiti nell'ambito della prestazione principale offerta (ad esempio, assistenza tecnica sulle piattaforme messe a disposizione dell'ente). Nella medesima situazione si ricade allorche' venga designato, come RPD, non l'intera societa', bensi' una persona fisica che, per ruolo e poteri all'interno della predetta societa', sia in grado di adottare decisioni che influiscano sulla fornitura dei servizi IT, e quindi impattino sui trattamenti di dati personali effettuati per conto dell'amministrazione titolare (ad esempio, l'amministratore delegato, il direttore amministrativo, o comunque chiunque rivesta un ruolo apicale al suo interno). Questa sovrapposizione delle figure di RPD e di responsabile IT rende impossibile, di fatto, la sorveglianza, con la necessaria imparzialita', sulla validita' e sull'adeguatezza delle soluzioni e delle misure, tecniche e organizzative, adottate, dato che i ruoli di controllore e controllato confluirebbero in capo al medesimo soggetto, ingenerando cosi' un evidente conflitto permanente nello svolgimento delle proprie funzioni. In altre parole, si ritiene che l'indipendenza che il cons. 97 del regolamento richiede in capo al RPD, tradotta nel divieto di conflitti di interessi di cui all'art. 38, par. 6, si troverebbe ad essere minata, in questi casi, proprio in ragione delle istruzioni che, nel suo ruolo di responsabile del trattamento, lo stesso deve ricevere dal titolare, ai sensi dell'art. 28, par. 3, lett. a), andando cosi' a compromettere anche il divieto di ricevere istruzioni di cui al par. 3 dell'art. 38. L'attivita' di sorveglianza del RPD sarebbe pregiudicata, in particolare, in relazione alla valutazione delle caratteristiche richieste per l'avvalimento di fornitori esterni in qualita' di responsabili del trattamento - su cui si esprime in maniera chiara l'art. 39, par. 1, lett. b), del regolamento - proprio perche' costui, in ragione del suo diretto coinvolgimento, non potrebbe giudicare, con la dovuta terzieta', i necessari requisiti di affidabilita', ne' potrebbe supportare adeguatamente il titolare nel processo di definizione del rapporto, ai sensi dell'art. 28 del regolamento. A cio' si aggiunga l'ulteriore criticita', emersa in alcune specifiche ipotesi, in cui l'ente non abbia previamente stipulato, con il fornitore di servizi IT, l'accordo di cui all'art. 28 del regolamento: un RPD effettivamente terzo avrebbe segnalato tale violazione e proposto soluzioni idonee a ripristinare la conformita'. Le ripercussioni di questa sovrapposizione diventano ancor piu' gravi in caso di violazioni di sicurezza, posto che i compiti del RPD potrebbero interferire, in maniera poco trasparente, con quanto previsto dagli artt. 33 e 34 del regolamento, in termini di analisi dei rischi e delle conseguenze, di predisposizione delle misure da adottare per porvi rimedio e di comunicazione della violazione all'Autorita' ed agli interessati. In ragione delle sue inevitabili implicazioni quale responsabile del trattamento, il RPD non avrebbe un ruolo terzo e di imparziale supporto al titolare nel giudicare le condotte sottese alla violazione di sicurezza. Infine, questo conflitto di interessi si verifica in maniera ancor piu' eclatante allorche' il fornitore IT fornisca all'amministrazione propri prodotti software (nonche' la corrispondente assistenza tecnica) per l'implementazione dei servizi offerti. In questo modo, l'attivita' di consulenza del RPD, ai sensi dell'art. 39, par. 1, lett. a), del regolamento, non assumerebbe i necessari caratteri dell'imparzialita', posto che il RPD si troverebbe a dover fornire giudizi su prodotti forniti dalla propria societa'. Misure indicate. Alla luce delle tante criticita' insite nella scelta di affidare il compito di RPD ad un soggetto che gia' fornisce servizi al medesimo ente - con particolare riferimento a quelli del settore IT - la principale soluzione consiste nel non designare, quale RPD, soggetti a cui l'amministrazione affida un trattamento per suo conto, con conseguente necessita' di definizione di un rapporto titolare-responsabile. In ogni caso, anche sulla scorta di esperienze mutuate da altri Paesi europei, si propone una soluzione alternativa, subordinata pero' al rispetto di alcune condizioni. In particolare, laddove l'ente, per specifiche ragioni, ritenga comunque di non poter prescindere dall'affidamento dell'incarico di RPD nel contesto di un fornitore di servizi, cio' potrebbe avvenire solamente a condizione che il RPD, o anche solo il suo referente persona fisica, non sia la persona che riveste una carica apicale nell'azienda, o anche solo nel settore di cui vengono forniti i predetti servizi. Inoltre, altra necessaria condizione da rispettare perche' tale soluzione possa essere valutata, risiede nell'indispensabilita' di una rigida separazione, all'interno dell'organizzazione societaria, tra attivita' rese come RPD e attivita' rese come responsabile del trattamento per altri servizi. Nel caso in cui l'amministrazione intenda ricorrere a quest'ultima soluzione, considerato che le misure appena descritte, di per se', non sono comunque sufficienti ad eliminare del tutto i rischi di conflitti di interessi, si rendera' necessario comprovare adeguatamente il rispetto delle medesime, ai sensi degli artt. 5, par. 2, e 24 del regolamento, documentando anche le ragioni ed il contesto in cui e' maturata suddetta scelta. In assenza di queste condizioni, si ritiene che il rischio di conflitto di interessi debba considerarsi elevato, e quindi che la scelta di affidare l'incarico di RPD al fornitore di servizi possa integrare una violazione del regolamento. Parimenti, si ritiene che il responsabile del trattamento non possa essere coinvolto nel processo di selezione del RPD da parte dell'ente, prerogativa che spetta unicamente al titolare, che la deve effettuare in autonomia. Cio' anche perche' i rapporti tra titolare e responsabile sono oggetto di vigilanza da parte del RPD, ai sensi dell'art. 39, par. 1, lett. b), del regolamento. 10.3. RPD esterno che rappresenta in giudizio il titolare. Questione emersa. Sono stati registrati anche casi in cui un comune, a seguito di azione giudiziaria promossa da un cittadino, si sia costituito in giudizio per il tramite di un avvocato che, contemporaneamente, svolgeva l'incarico di RPD per conto del medesimo ente. Il comune ha ritenuto che questa scelta non comportasse alcun conflitto di interessi in quanto il giudizio instaurato non verteva su profili di protezione dei dati personali. Misura indicata. Come espressamente affermato dalle Linee guida, «puo' insorgere un conflitto di interessi se, per esempio, a un RPD esterno si chiede di rappresentare il titolare o il responsabile in un giudizio che tocchi problematiche di protezione dei dati». A questo proposito, si richiama l'attenzione degli enti pubblici sul fatto che e' difficile prevedere a priori che una vertenza giudiziaria non possa coinvolgere anche profili di protezione dei dati personali. A cio' si aggiunga che, in ogni caso, agli occhi dell'interessato che voglia rivolgersi al RPD, la circostanza che questo sia contemporaneamente anche il difensore in giudizio dell'ente, mina la sua indipendenza. Pertanto, a prescindere dalle circostanze che in concreto si potranno realizzare - tali, ad esempio, da escludere che il giudizio involva questioni di protezione dei dati personali - si invitano tutte le pubbliche amministrazioni a designare un RPD che, contemporaneamente, non svolga per le medesime il ruolo di difensore in giudizio. 10.4. Inquadramento in caso di RPD interno. Precedente decisione del Garante. «Faq sul Responsabile della protezione dei dati (RPD) in ambito pubblico», 15 dicembre 2017 (doc. web n. 7322110). Questione emersa. E' opportuno valutare se il complesso dei compiti assegnati al RPD - aventi rilevanza interna (consulenza, pareri, sorveglianza sul rispetto delle disposizioni) ed esterna (cooperazione con l'Autorita' e contatto con gli interessati in relazione all'esercizio dei propri diritti) - siano o meno compatibili con le mansioni ordinariamente affidate ai dipendenti con qualifica non dirigenziale. In caso di RPD interno, qualora il soggetto designato abbia una qualifica tale da renderlo sottoposto ad un'altra figura (come un funzionario inquadrato in un'unita' organizzativa, e quindi subordinato ad un dirigente), tale rapporto potrebbe impedire al RPD di svolgere le proprie mansioni con il dovuto grado di autonomia, e potrebbe altresi' alterare la diretta interlocuzione con il vertice gerarchico dell'ente. Misura indicata. L'art. 38 del regolamento fissa alcune garanzie essenziali per consentire ai RPD di operare con un grado sufficiente di autonomia all'interno dell'organizzazione, mentre il rapporto diretto con il vertice amministrativo garantisce, in particolare, che quest'ultimo venga a conoscenza delle indicazioni e delle raccomandazioni fornite dal RPD nell'esercizio delle funzioni di informazione e consulenza a favore del titolare/responsabile. Pertanto, nel caso in cui si opti per un RPD interno, sarebbe quindi in linea di massima preferibile che, ove la struttura organizzativa lo consenta e tenendo conto della complessita' dei trattamenti, la designazione sia conferita a un dirigente ovvero a un funzionario di alta professionalita', che possa svolgere le proprie funzioni in autonomia e indipendenza, nonche' in collaborazione diretta con il vertice dell'organizzazione. In caso di individuazione di un funzionario, occorre pero' che l'ente adotti delle idonee garanzie affinche' l'attivita' svolta in qualita' di RPD non subisca interferenze per effetto dell'inquadramento del medesimo soggetto in un'unita' organizzativa retta da un dirigente le cui determinazioni potrebbero essere oggetto di valutazione da parte del RPD.