giovedì 28 maggio 2020 2392

I requisiti e le funzioni degli Organismi di Vigilanza

Parere sulla qualificazione soggettiva ai fini privacy degli Organismi di Vigilanza previsti dall'art. 6, d.lgs. 8 giugno 2001, n. 231

Francesca Gardini, Ufficio giuridico

Il Garante per la protezione dei dati personali, con parere pubblicato sul sito istituzionale il 21 maggio u.s. e liberamente consultabile al seguente link, è intervenuto a dirimere l’annosa questione relativa alla qualificazione soggettiva, ai fini privacy, dell’Organismo di Vigilanza ex art. 6, del d.lgs. 231/2001, benché limitata al solo ruolo che questo assume con riferimento ai flussi informativi rilevanti ai sensi dei commi 1 e 2 dell’art. 6 citato. Il Garante, infatti, escluse espressamente dal campo di applicazione del detto parere il nuovo e diverso ruolo che l’Organismo di Vigilanza potrebbe assumere in relazione alle segnalazioni effettuate nell’ambito della normativa di whistleblowing (art. 6, comma 2-bis, 2-ter, 2-quater cit., d.lgs. 231/2001).

In altre parole, il Garante si pronuncia in merito alla qualifica, ai fini privacy, dell’Organismo di Vigilanza nel suo «ruolo di terminale dei flussi informativi», allo stesso tempo, tenuto ad informare il vertice aziendale in merito al funzionamento e all'aggiornamento del modello adottato ed in presenza di eventuali criticità rilevate nell'ambito dell'attività di vigilanza.

L’intervento del Garante, a tale proposito, prende le mosse dall’istanza dell’Associazione dei Componenti degli Organismi di Vigilanza ex d.lgs. 231/2001 a parere della quale «l'OdV in quanto parte dell'impresa, non è qualificabile né come titolare né come responsabile del trattamento, […e che] ai fini dell'osservanza delle norme relative alla protezione dei dati l'inquadramento soggettivo dell'Organismo di Vigilanza [...] è assorbito da quello dell'Ente/società vigilata della quale, appunto, l'OdV è parte».

Orbene, il Garante per la protezione dei dati personali nel citato parere, dopo aver ripercorso la disciplina in materia di protezione dei dati personali - i ruoli e le responsabilità del titolare e del responsabile del trattamento – ed aver evidenziato, in particolare, i requisiti e le funzioni dell’OdV, ha concluso per riconoscere quest’ultimo, a prescindere dalla circostanza che i membri che lo compongano siano interni od esterni, come «parte dell’ente» ed i suoi membri quali soggetti autorizzati del trattamento che, in virtù di tale ruolo, dovranno attenersi nel trattamento dei dati personali alle istruzioni impartite dal titolare.

La figura dell'incaricato del trattamento, precisa il Garante, benché non prevista espressamente dal Regolamento, non è dallo stesso esclusa quando fa riferimento a «persone autorizzate al trattamento dei dati personali sotto l'autorità diretta del titolare o del responsabile»; il d.lgs. n. 196/2003, come modificato dal d.lgs. n. 101/2018, invece, riconosce espressamente al titolare o al responsabile la facoltà di attribuire specifici compiti e funzioni connessi al trattamento dei dati personali a persone fisiche, espressamente designate, che operano sotto la loro autorità.

Il Garante della protezione dei dati personali, in sostanza, esclude la qualifica dell’Organismo di Vigilanza quale titolare e responsabile del trattamento dei dati, nei limiti sopra specificati, sulla base delle seguenti argomentazioni.

• Il Titolare del trattamento, ai sensi del Regolamento EU, è la «persona fisica o giuridica, l'autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali» ovvero il soggetto sul quale ricadono le decisioni in merito alle finalità e alle modalità del trattamento dei dati personali degli interessati; considerato, dunque, che i compiti di iniziativa e controllo dell’Odv gli derivano, direttamente, dalla legge e, indirettamente, dall'organo dirigente, attraverso l’adozione del modello di organizzazione e gestione, tale organo non può considerarsi titolare del trattamento.

Tanto più che l’OdV, come precisato dal Garante, nel caso di inerzia nello svolgimento dei compiti ed esso affidati, laddove vengano commessi reati rilevanti ai seni del d.lgs. 231/2001, non può essere chiamato a rispondere penalmente, non è, inoltre, dotato di alcun potere impeditivo nei confronti degli eventuali autori del reato, non ha l'obbligo di denuncia all'Autorità giudiziaria e non può esercita poteri disciplinari nei confronti degli autori degli illeciti, tutti poteri questi che, invece, sono in capo all'ente ai cui vertici aziendali al più l’OdV, nell’esercizio delle proprie funzioni, può effettuare segnalazioni.

• Il Responsabile del trattamento, ai sensi del Regolamento, è «la persona fisica o giuridica, l'autorità pubblica, il servizio o altro organismo che tratta dati personali per conto del titolare del trattamento», ovvero il soggetto al quale il titolare del trattamento, nell'ambito della predisposizione delle misure tecniche e organizzative, anche sotto il profilo della sicurezza, può ricorrere per lo svolgimento di alcune attività di trattamento e che, pertanto, svolge attività per conto del titolare, agendo sulla base di finalità eterodeterminate dal titolare e nell'interesse di questo, ed attenendosi alle istruzioni dallo stesso impartite; considerato, dunque, che l'OdV non è distinto dall'ente, ma è parte dello stesso, non può essere considerato responsabile del trattamento.

Il Regolamento, del resto, prevede, in funzione della gestione dei dati svolta per conto del titolare, una serie di obblighi a carico del responsabile del trattamento ed una specifica responsabilità in ordine all'individuazione di idonee misure tecniche e organizzative adeguate al rischio che lo espongono direttamente ad eventuali provvedimenti correttivi e sanzionatori; nel caso, invece, di inerzia dell’OdV nell’assolvimento dei compiti ad esso attribuiti, come già sopra accennato, le conseguenze non ricadono sull'Organismo ma sull'ente.

Alla luce di quanto sopra riportato sinteticamente invitiamo le aziende che abbiano adottato al loro interno il modello di organizzazione e gestione ex d.lgs. 231/2001 ad un’attenta lettura del parere che alleghiamo per pronta disponibilità e che ricordiamo è liberamente consultabile sul sito istituzionale del Garante per la protezione dei dati personali al link indicato in premessa.

Notizie dalla Liguria

I nuovi candidati

54ª Assemblea generale Aiop

Il futuro della sanità digitale secondo la Commissione europea

Communication on enabling the digital transformation of health and care in the Digital Single Market; empowering citizens and building a healthier society

Notizie Aiop Nazionale

I requisiti e le funzioni degli Organismi di Vigilanza

Parere sulla qualificazione soggettiva ai fini privacy degli Organismi di Vigilanza previsti dall'art. 6, d.lgs. 8 giugno 2001, n. 231

Please login or register to post comments.

Rassegna Stampa Regionale

Rassegna Stampa Nazionale

Link Istituzionali

AIOP

SITI AIOP REGIONALI

NELLA RETE

CONTATTACI