Con l’obiettivo di affrontare il tema della qualificazione soggettiva dell’Organismo

di Vigilanza ai fini della disciplina privacy – dopo l’entrata in vigore del Regolamento UE 679/2016, c.d. GDPR ed in considerazione del diffondersi di un dibattito a tal proposito – l’AODV 231 (Associazione Organismi di Vigilanza ex D.Lgs 231/2001) è intervenuto con il suo Position Paper del 19 marzo u.s.

Come noto e come ribadito dall’AODV 231, nello svolgimento delle proprie attività l’Organismo di Vigilanza entra in contatto con una pluralità di dati personali, inclusi dati sensibili e dati giudiziari, le cui fonti sono, solitamente:

  1. i flussi informativi di cui all’art. 6, comma 2, lett. d), d.lgs. 231/2001;
  2. i risultati delle attività di controllo e vigilanza, di cui all’art. 6, comma 1, lett. b) e d);

iii. le segnalazioni di condotte illecite rilevanti ai fini del d.lgs. 231/2001 o di violazioni del modello, di cui all’art. 6, comma 2 bis, lett. a).

Oltre alle due datate tesi dell’inquadramento dell’OdV come Titolare autonomo del trattamento o come Responsabile del trattamento, il Position Paper dell’AODV 213 prende in considerazione anche la tesi alternativa secondo cui l’OdV, in quanto “parte dell’impresa”, non è né Titolare né Responsabile, ed il suo inquadramento soggettivo ai fini della privacy è assorbito da quello della società vigilata della quale, appunto, l’OdV è “parte”.

A parere dell’AODV231, dunque, occorre considerare che il rispetto delle norme al cui controllo gli OdV sono preposti è, innanzitutto, un obbligo gravante sulla società oggetto del controllo: questi organi costituiscono, pertanto, strumento attivato per legge ed i dati oggetto dei loro trattamenti sono sempre e soltanto quelli che l’ente vigilato ha diritto e legittimazione a trattare. In altre parole, la base giuridica del trattamento dei dati da parte dell’OdV fa capo esclusivamente all’ente vigilato, il che è dirimente considerando che, per individuare il Titolare, distinguendolo da altri soggetti, occorre accertare “which organisation decides to collect the personal data, in the first place, and the legal basis for doing so”. Ai fini dell’individuazione del Titolare, rilievo deve, dunque, essere attribuito alla riferibilità soggettiva della base normativa legittimante il trattamento dei dati personali.

A parere dell’AODV 231, una volta escluso che l’OdV possa essere considerato Titolare del trattamento, non può dedursene, per ciò solo, che esso debba essere alternativamente qualificato come Responsabile del trattamento: dal momento che primo “requisito” essenziale per essere riconosciuto quale Responsabile è essere una persona, fisica o giuridica, distinta dal Titolare, risulta con ogni evidenza che ciò non è concepibile per l’OdV, dato il suo istituzionale carattere interno rispetto all’ente vigilato, ovvero dato il requisito dell’appartenenza all’ente.

A parere dell’AODV 231 non resta, dunque, che concludere che l’inquadramento soggettivo dell’OdV ai fini della privacy risulta assorbito da quello della società vigilata della quale, appunto, l’OdV è parte. Ciò peraltro, conclude l’AODV 231 nel suo Position Paper, “non esclude che, nell’ottica della sua accountability… l’ente vigilato, in qualità di Titolare, possa prescrivere all’OdV il rispetto di particolari misure tecniche ed organizzative adeguate per garantire, ed essere in grado di dimostrare, che il trattamento è effettuato conformemente al GDPR, purché tali misure non siano interferenti con gli autonomi poteri di iniziativa e di controllo: per esempio, la crittografia dei dati eventualmente trattati dai membri esterni dell’OdV sui propri sistemi informatici per effetto della trasmissione telematica di flussi informativi”.

 

L’AODV 231 RITIENE CHE, AI FINI DELL’OSSERVANZA DELLE NORME RELATIVE ALLA PROTEZIONE DEI DATI PERSONALI, L’INQUADRAMENTO SOGGETTIVO DELL’ORGANISMO DI VIGILANZA SIA ASSORBITO DA QUELLO DELL’ENTE VIGILATO, DEL QUALE L’ODV È “PARTE”