RPD: nuova sentenza sulla legittimità di aggiudicazione dell’incarico

È una sentenza che sta facendo molto discutere quella pronunciata dal TAR di Lecce[1], chiamato a decidere sulla legittimità dell’aggiudicazione di un incarico di RPD – Responsabile per la Protezione dei Dati, disposta dal Comune di Taranto in favore di una persona giuridica.

A distanza di più di un anno dal raggiungimento della piena esecutività del GDPR, non è raro imbattersi in accesi dibattiti incentrati sulla prassi applicativa, specie quando i dubbi si concentrano sull’inquadrare correttamente il ruolo e i requisiti che i diversi soggetti coinvolti nel trattamento devono soddisfare.

La questione controversa, nel caso de quo, non è la possibilità di affidare l’incarico di RPD ad una persona giuridica – espressamente riconosciuta, d’altra parte, dalle “Linee Guida sui responsabili della protezione dati del Gruppo di lavoro ex art. 29 – ma la necessaria “appartenenza” della persona fisica svolgente le funzioni di RPD alla persona giuridica affidataria del servizio.

Il requisito dell’appartenenza, in effetti, è desumibile dalle stesse Linee Guida del WP29, nella misura in cui prevedono che, nel caso in cui la funzione di RPD sia esercitata da una persona giuridica, “ciascun soggetto appartenente alla persona giuridica e operante come RPD soddisfi tutti i requisiti applicabili come fissati nella sezione 4 del RGPD”.

Ciò che non può ricavarsi, invece, dalle Linee Guida è la sussunzione del requisito di “appartenenza” ad una o più categorie giuridiche tipiche. Né l’esatto inquadramento di tale requisito sarebbe stato rilevante ai fini del giudizio, risultando “non provato nel caso de quo” dalla controinteressata.

Il Collegio giudicante riporta, è vero, le censure articolate dalla ricorrente, per cui “non risulta evidenziato il legame fra la società ISFORM S.r.l. e il sig. Francesco Maldera. Questi non è un socio della Società, ma pare non esserne neanche dipendente”, ma non entra nel merito dell’interpretazione riferita, nell’articolare le motivazioni di accoglimento del ricorso.  Come detto, non ne avrebbe avuto titolo, attesa la «mancanza del requisito della “appartenenza”», in cui si risolve il giudizio.

Il TAR, dunque, ha accolto il ricorso, ritenendo fondato il rilievo per cui, qualora l’incarico sia conferito ad una persona giuridica, il soggetto svolgente le funzioni di RPD debba necessariamente essere appartenente alla stessa.

Il Collegio si sofferma sulla collocazione del requisito di “appartenenza” nell’alveo del diritto positivo solo in via incidentale, ponendone in dubbio la sussistenza, nel caso in cui il soggetto operante come RPD possa “godere, ai sensi degli articoli 2222 e seguenti del codice civile, di una propria autonomia nell’esplicazione dell’incarico”.

La sentenza, in sostanza, suggerisce all’interprete una possibile chiave di lettura, per stabilire se la persona fisica svolgente le funzioni di RPD sia, o meno, “appartenente” alla persona giuridica affidataria del servizio. E, in tal senso, indica come possibile metro di giudizio il grado di autonomia di cui gode la persona operante come RDP nell’esplicazione dell’incarico.

Fin qui, si estende il perimetro del pronunciato. Oltre il quale resta, del tutto aperto, il dibattito interpretativo.

[1] TAR Puglia – Lecce, Sentenza n.1468/2019