In tema di Privacy, la qualificazione giuridica degli organismi di vigilanza istituiti ai sensi del d. L.vo 231/01, sia nel settore privato che parapubblico, non è riconducibile alla posizione di responsabile, nè di contitolare, tantomeno autonomo, del trattamento dei dati personali.
Così un parere del Garante della Privacy sulla materia della c.d. “responsabilità penale” delle organizzazioni.
In particolare, il parere riguarda gli organismi di vigilanza, preposti al vertice del Modello di oganizzazione, gestione e controllo, teso ad evitare il compimento dei c.d. “reati presupposto” da parte di componenti della medesima organizzazione, quando compiuti nell’ambito o nell’interesse di quest’ultima.
Come noto, l’Organismo di vigilanza opera con autonomi poteri di inziativa e controllo rispetto all’Organizzazione (in ipotesi, un’azienda privata, o un Ente Pubblico Economico).
Evidentemente, alcuni ritengono (erroneamente) che, per detta funzione, si dovesse attribuire all’OdV il ruolo di Responsabile del trattamento, mentre altri ipotizzavano (data l’autonomia) la natura di titolare del trattamento.
Ma l’Associazione di riferimento per gli OdV ha richiesto un parere al Garante, sostenendo (correttamente) che tali organismi non siano inquadrabili nelle succitate categorie, poichè l’inquadramento soggettivo dell’Organismo di Vigilanza andrebbe assorbito da quello dell’Ente/società vigilata della quale, appunto, l’OdV è parte.
L’Autorità, in prima battuta, ha escluso che tali organismi possano essere considerati responsabili del trattamento.
Infatti, secondo il Garante, sarebbe la legge a definire “i compiti di iniziativa e controllo propri dell’OdV”.
In realtà, quest’ultima affermazione sembra piuttosto debole, poichè il reale contenuto dei compiti va definito nel MOGC della 231.
Una motivazione più convincente, invece, può essere ritrovata nel fatto che agli organismi di vigilanza, in tema di privacy, non sono attribuibili nè i numerosi obblighi del responsabile del trattamento, nè tantomeno quelli del titolare.
Va poi considerto che l’Organismo è privo degli obblighi di denuncia, nè di poteri disciplinari, ma semplicemente di segnalazione ai vertici dell’Organizzazione.
Ma, soprattutto, l’Autorità ricorda nel provvedimento come esso “non è distinto dall’ente, ma è parte dello stesso … ovverosia una “persona giuridicamente distinta dal Titolare“
L’Autorità conclude, quindi, che i componenti dell’OdV, in tema di Privacy (solo in questa materia, non in relazione alle competenze di 231 attribuite a tale Organismo), vanno semplicemente autorizzati al trattamento, secondo le istruzioni impartite ex art. 29 del GDPR.
ATTENZIONE: l’Autorità ha precisato, però, che il parere in questione non riguarda la materia del wistleblowing, attribuita dall’art. 6, commi 2-bis, 2-ter e 2-quater del D. Lgs.vo 231/2001(a loro volta introdotti dalla Legge 179/17).
Sempre l’Autorità ha effettuato il distinguo, in quanto “allo stato, il d.lgs n. 231/2001 non attribuisce necessariamente all’OdV la gestione delle segnalazioni in questione, ma rimette alla discrezionalità dell’ente la scelta di individuare in un soggetto diverso”.
Aggiungiamo noi che sono disponibili sul web applicazioni che possono essere utilizzate per assicurare la ricezione delle “soffiate” anonime.
In tale caso, è del tutto evidente che l’attività del fornitore di servizi IT verrebbe svolta “per conto” del titolare, con conseguente nomina a Responsabile del trattamento di quest’ultimo soggetto giuridico esterno, non comunque dell’OdV.
