Il DPO o Responsabile della protezione dei dati personali deve essere nominato dal titolare o responsabile del trattamento, le cui principali attività (“core business”) consistono in trattamenti che richiedono il monitoraggio regolare e sistematico degli interessati su larga scala o in trattamenti su larga scala di categorie particolari di dati personali o di dati relativi a condanne penali e a reati.
Ma in un’azienda in cui è presente un consiglio di amministrazione, chi procede effettivamente alla nomina, il CDA o il legale rappresentante?
Per rispondere a questo quesito è opportuno fare un passo indietro, alla legge n. 675/1996, la prima norma italiana che ha introdotto la protezione dei dati personali nel nostro ordinamento come materia specificamente regolata e, nello specifico, ad un provvedimento emanato in quell’anno proprio dal Garante della Privacy che, rispondendo all’epoca ai numerosi quesiti provenienti dal settore pubblico e da quello privato, ha chiarito come individuare correttamente il titolare del trattamento in ambienti pubblici e privati. L’interpretazione del Garante offerta all’epoca ci è di supporto per rispondere all’odierno quesito.
Il Garante chiariva, in via preliminare, che quando la raccolta, l’elaborazione, l’utilizzazione, la conservazione e in genere tutte le operazioni relative al trattamento dei dati personali vengono effettuate nell’ambito di un’amministrazione pubblica, di una società o di un ente, il titolare del trattamento è la struttura nel suo complesso e cioè il soggetto al quale competono le scelte principali ovvero quelle relative alla raccolta e all'utilizzazione dei dati. Non sono titolari del trattamento le persone fisiche che amministrano o rappresentano tali strutture, quali ad esempio l’amministratore delegato, il direttore generale, il presidente, il legale rappresentante.
Chiarito questo punto, il Garante è poi sceso più nel dettaglio, affermando che nelle diverse decisioni opereranno i soggetti che, nell’ambito delle specifiche regole che ciascun ente o azienda si è dato, per conto di tali enti o aziende, opereranno i rispettivi amministratori, di volta in volta, il ministro, l’amministratore delegato, il consiglio di amministrazione, i direttori generali e gli altri dirigenti. Ad esempio, diceva all’epoca il Garante la notificazione al Garante, se necessaria, dovrà essere sottoscritta dalla persona fisica che ha il potere di rappresentare l’ente o la società.
Stanti queste precisazioni, fornite all’epoca dal Garante e considerando che il concetto di titolare del trattamento, nella sua sostanza non è mutato negli anni, si ritiene che la nomina del DPO - rientrando tra quelle scelte principali relative al trattamento dei dati personali, come raccolta o utilizzazione dei dati, che possono considerarsi attività di gestione e non di rappresentanza - spetti al Consiglio di amministrazione. Sul punto tra l’altro è bene ricordare gli ultimi orientamenti della Cassazione a Sezioni unite, secondo cui l’organo in cui si esprime la volontà del titolare, in ragione del rapporto di immedesimazione organica con la persona giuridica che rappresenta è il CDA (cfr Cass. SSUU n. 1545/2017) e in relazione al soggetto che deve nominare il DPO anche lo stesso articolo 37 è chiaro nell’affermare che la nomina compete al titolare del trattamento.
Le linee guida
precisano ulteriormente che il DPO debba riferire al livello di gestione più elevato di un titolare (o anche responsabile del trattamento) e quindi allo stesso CDA, che viene così messo a conoscenza dei consigli e delle raccomandazioni del responsabile della protezione dei dati, che fanno parte della missione di DPO. Altro elemento che porta a ritenere che il DPO debba essere designato dal CDA è anche il fatto che tale figura debba fornire sempre al più alto livello di gestione la sua attività di reporting mediante la stesura di un rapporto annuale delle attività svolte.