Garante: "Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalita' di pubblicita' e trasparenza sul web da soggetti pubblici e da altri enti obbligati" (Allegato alla deliberazione n. 243 del 15 maggio 2014)

Il RGPD consente l'assegnazione al RPD di ulteriori compiti e funzioni, a condizione che non diano adito a un conflitto di interessi (art. 38, par. 6) e che consentano al RPD di avere a disposizione il tempo sufficiente per l'espletamento dei compiti previsti dal RGPD (art. 38, par. 2).

A seconda della natura dei trattamenti e delle attivita' e dimensioni della struttura del titolare o del responsabile, le eventuali ulteriori incombenze attribuite al RPD non dovrebbero pertanto sottrarre allo stesso il tempo necessario per adempiere alle relative responsabilita'.

In linea di principio, e' quindi ragionevole che negli enti pubblici di grandi dimensioni, con trattamenti di dati personali di particolare complessita' e sensibilita', non vengano assegnate al RPD ulteriori responsabilita' (si pensi, ad esempio, alle amministrazioni centrali, alle agenzie, agli istituti previdenziali, nonche' alle Regioni e alle Asl). In tale quadro, ad esempio, avuto riguardo, caso per caso, alla specifica struttura organizzativa, alla dimensione e alle attivita' del singolo titolare o responsabile, l'attribuzione delle funzioni di RPD al responsabile per la prevenzione della corruzione e per la trasparenza, considerata la molteplicita' degli adempimenti che incombono su tale figura, potrebbe rischiare di creare un cumulo di impegni tali da incidere negativamente sull'effettivita' dello svolgimento dei compiti che il RGPD attribuisce al RPD.

Rispetto all'assenza di conflitto di interessi, occorre inoltre valutare se, come indicato nelle Linee guida, le eventuali ulteriori funzioni assegnate non comportino la definizione di finalita' e modalita' del trattamento dei dati. Cio' significa che, a grandi linee, in ambito pubblico, oltre ai ruoli manageriali di vertice, possono sussistere situazioni di conflitto di interesse rispetto a figure apicali dell'amministrazione investite di capacita' decisionali in ordine alle finalita' e ai mezzi del trattamento di dati personali posto in essere dall'ente pubblico, ivi compreso, ad esempio, il responsabile dei Sistemi informativi (chiamato ad individuare le misure di sicurezza necessarie), ovvero quello dell'Ufficio di statistica (deputato a definire le caratteristiche e le metodologie del trattamento dei dati personali utilizzati a fini statistici).

Riguardo agli ulteriori compiti e funzioni in capo al RPD, particolare attenzione andrebbe infine prestata nei casi di unico RPD tra molteplici autorita' pubbliche e organismi pubblici, nonché nei casi di RPD esterno, in quanto questi:

• potrebbe svolgere ulteriori compiti che comportano situazioni di conflitto di interesse;

• non essere in grado di adempiere in modo efficiente alle sue funzioni.

In questi casi, nell'atto di designazione o nel contratto di servizio il RPD dovra' fornire opportune garanzie per favorire efficienza e correttezza e prevenire conflitti di interesse.