Il ruolo del DPO rimane ancora uno dei temi più discussi nell’ambito della data protection e, a più di cinque anni dall’entrata in vigore del GDPR e dal suo ingresso formale nel nostro Ordinamento, è sicuramente venuto il tempo di ragionare sul grado di integrazione di questa figura nell’operatività degli enti che l’hanno nominata, e ancor più sulle farraginosità che ne caratterizzano ancora lo svolgimento delle rispettive funzioni.
Un argomento delicato e interessante che è stato affrontato a un tavolo di lavoro dello State of Privacy 2023, gli “stati generali” della protezione dei dati personali organizzati dall’Autorità Garante nella splendida cornice del museo etrusco di Villa Giulia a Roma.
Indice degli argomenti
Il ruolo del DPO: i temi di discussione
Sono temi, quelli appena elencati, che impongono ragionamenti piuttosto articolati e che si possono ricostruire giusto per telegrammi, anche perché l’estrema eterogeneità delle realtà in cui può essere inserito un DPO – dal privato al pubblico, in gruppi o enti di piccole, medie, grandi e gigantesche dimensioni – rende sicuramente complesso il tentativo di identificare i problemi, le esigenze e, soprattutto, le possibili soluzioni comuni.
Il DPO e il conflitto di interessi
Il tema del conflitto di interessi, ad esempio, pare tra quelli sfortunatamente ancora lontani dal potersi considerare definiti.
È un dato di fatto che il DPO, spesso, fatichi a operare in piena indipendenza rispetto al suo titolare e al responsabile del trattamento.
Al contrario, non di rado, si trova ad assumere compiti che spetterebbero a loro, malgrado una caratteristica essenziale del suo ruolo gli imporrebbe di mantenersi sostanzialmente estraneo alle decisioni che concernono le modalità e le finalità del trattamento.
Incidere sulle modalità e finalità del trattamento, difatti, è prerogativa di altri e, su quelle scelte, il DPO dovrebbe limitarsi a esercitare il proprio sindacato liberamente, semmai esprimendo pareri di (non) conformità.
In caso contrario, trovandosi contemporaneamente nella posizione di chi prende le decisioni e di chi ne deve valutare la legittimità, il suo controllo risulterebbe potenzialmente viziato, fin dall’origine, da un probabile conflitto di interesse.
Sono queste le considerazioni che spingono a considerare inopportuna, per DPO interno, la somma delle proprie funzioni con quelle tipiche di altre funzioni: ad esempio i ruoli apicali, oppure le prime linee, come i responsabili IT, i responsabili del personale, gli internal audit e via dicendo.
Il DPO e la compatibilità con il personale dell’area legal
Rimane aperto e delicatissimo, il tema della sua compatibilità con il personale impiegato nell’area legale dell’ente.
Nei confronti di chi lavora in questo specifico ambito, o in quello della compliance, l’assenza di conflitto non può che essere verificata in concreto, a seconda delle competenze effettivamente assegnate e delle mansioni eseguite.
Anche la figura del DPO esterno non è potenzialmente estranea ad ipotesi di conflitto. Nel suo caso, ad esempio, un profilo di criticità potrebbe investire, per ragioni non troppo dissimili dalle precedenti, alcune società di consulenza.
Si pensi, a tagliare proposito, agli studi cui venisse richiesto di offrire servizi di consulenza ad ampio raggio, che poi fossero incaricati – appunto anche come DPO – di verificare la conformità dei propri stessi pareri alle normative in materia di protezione dei dati personali.
Evitare questi potenziali cortocircuiti attiene a scelte di buon senso, spesso perfino elementari, ma è pur vero che il nostro tessuto, da sempre, incontra serie difficoltà nell’assimilare efficaci anticorpi, anche contro le più evidenti e macroscopiche ipotesi di conflitto d’interessi.
Il ruolo del DPO: contromisure al conflitto di interessi
In questo quadro, tuttavia, l’adozione di qualche semplice ma convincente contromisura, da parte del titolare del trattamento, potrebbe rivelarsi particolarmente utile nel mitigare le ipotesi di responsabilità.
Ecco alcuni suggerimenti:
- prevedere una check-list, con domande mirate, che siano volte a verificare l’assenza di conflitti d’interesse in capo al DPO che si vorrebbe nominare;
- definire nel dettaglio tutti i criteri di selezione, anche in relazione al numero e alla natura degli incarichi eventualmente già assunti dal professionista;
- definire – tassativamente e formalmente – le ipotesi di incompatibilità;
- definire (e poi rispettare) le procedure di coinvolgimento del DPO rispetto alle decisioni dell’ente;
- prevedere, ove possibile, un budget per lo svolgimento delle attività del DPO, che lo renda sul serio autonomo e indipendente rispetto alle altre funzioni aziendali. Autonomia e Indipendenza sono contromisure essenziali, per definizione, rispetto a qualunque ipotesi di conflitto;
- imporre, come peraltro prevede la norma, sul punto spesso inascoltata, che l’attività svolta dal DPO venga puntualmente documentata: devono potere essere ricostruiti i pareri rilasciati, le richieste formulate, le sue prese di posizione (soprattutto quelle contrarie) rispetto alle scelte del titolare del trattamento.
Il DPO deve evitare quello di interessi, ma non il conflitto in generale. La dialettica, al contrario, è la base di un rapporto virtuoso tra DPO e titolare del trattamento;
- assicurare un corretto posizionamento nell’organigramma aziendale. Il DPO deve essere posto accanto al vertice aziendale, nei confronti del quale deve potere svolgere un compito di diretto supporto, al pari dei Collegi dei revisori dei conti e degli OdV. Ogni altro posizionamento ne minerebbe inevitabilmente l’indipendenza e rischierebbe di dare origine a conflitti d’interesse.
Le risorse a disposizione del DPO
A valle dei ragionamenti elaborati su questo specifico argomento, la riflessione degli esperti coinvolti nel tavolo di lavoro cui prima si è accennato, si è concentrata su un altro aspetto considerato critico, quello delle “risorse”, o meglio, della sempre più frequente assenza delle stesse.
Esiste un punto di riferimento, in questa discussione, che è rappresentato dal Documento di indirizzo sul RPD in ambito pubblico, adottato dall’Autorità Garante con provvedimento del 29 aprile 2021.
È convinzione comune che ne dovrebbe essere quanto prima licenziata una nuova versione, aggiornata alle evidenze acquisite nel corso del tempo, che ampli il proprio raggio d’azione anche al settore privato e che, infine, rivolga le proprie indicazioni non solo ai DPO, ma anche ai titolari del trattamento con i quali essi devono relazionarsi.
È compito dei titolari del trattamento, difatti, formalizzare e rendere noti, a tutta la struttura, l’organizzazione e i ruoli del sistema privacy aziendale, nonché esigere la collaborazione di tutti i ruoli coinvolti rispetto alle attività del DPO.
È altresì onere del titolare del trattamento individuare adeguate misure di sicurezza e organizzative, e assicurare al DPO adeguate risorse, economiche e di personale.
L’esperienza di questi anni dimostra come, in moltissime realtà, sia del tutto impensabile che un DPO possa operare da solo, senza avere a propria disposizione un team di supporto che metta a disposizione, all’occorrenza, competenze specifiche e differenziate (in ambito tecnico, legale, sicurezza ecc.).
La multidisciplinarietà è una delle fatiche (forse la principale) in cui incorre il DPO. Senza l’aiuto dell’ente in cui è inserito, è probabilmente impensabile che anche il più preparato dei professionisti possa integrarsi virtuosamente in ogni ingranaggio decisionale.
