Il CNDCEC, con il P.O. n. 57/2026, pubblicato ieri, ha affermato che la designazione di un consigliere dell’Ordine a responsabile della protezione dei dati (RPD) dell’Ordine stesso appare possibile nella misura in cui ad essa si accompagni l’adozione di adeguate misure volte a prevenire i rischi di conflitti d’interesse in capo allo stesso.

Rispondendo a un quesito posto dall’ODCEC di Messina, il Consiglio nazionale ha ricordato che la normativa di riferimento non individua specifiche cause di incompatibilità, ma evidenzia la necessità di prevenire la ricorrenza di conflitti di interessi, in particolar modo nel caso in cui il RPD svolga altri compiti e funzioni.

Il Garante per la protezione dei dati, nel provvedimento del 29 aprile 2021 dedicato alla figura del RPD in ambito pubblico, ha precisato che solo l’esame concreto di ciascuna singola realtà – considerando elementi quali le dimensioni dell’ente, le risorse a disposizione, la complessità della struttura, le tipologie di trattamenti svolti, qualità e quantità dei dati trattati, ecc. – potrà condurre ad una valutazione definitiva sulla sussistenza o meno di cause di incompatibilità. Tale valutazione, in ogni caso, dovrà essere fornita dal titolare del trattamento, anche sulla base di idonea documentazione, in virtù del principio di accountability.

Dunque, spiega il CNDCEC, spetta all’Ordine, quale titolare del trattamento, effettuare tale valutazione “caso per caso”, ma anche dimostrare, con idonea documentazione (delibere, verbali, regolamenti, atti di nomina), di averla effettivamente svolta e di aver adottato misure organizzative coerenti con gli esiti di tale analisi, in ossequio al principio di responsabilizzazione.

Nel medesimo documento di indirizzo, il Garante ha fornito specifiche indicazioni nel caso in cui sia designato quale RPD un soggetto che sia componente di un organo collegiale (anche di vertice). Tale situazione genera, in linea di
principio, conflittualità nello svolgimento dell’incarico di RPD in quanto all’organo di indirizzo dell’ente è demandata la definizione delle finalità o modalità del trattamento dei dati personali e ciascun componente del’organo è chiamato ad assumere decisioni rilevanti, che hanno sostanziali implicazioni sull’assetto organizzativo dell’ente, nonché sulle modalità e sulle finalità di trattamento dei dati personali delle varie categorie di interessati.

Ciò, però, non implica un’incompatibilità assoluta. L’Autorità ha infatti precisato che, anche qualora il soggetto designato quale RPD appartenga a un organismo collegiale con funzioni di indirizzo dell’ente, la normativa vigente contempla misure che possono ritenersi adeguate a prevenire rischi di conflitti di interessi, come, ad esempio, la previsione che i componenti che ritengano di trovarsi in tale situazione, lo dichiarino e, conseguentemente, si astengano sia dalla discussione che dalla deliberazione.

Per queste ragioni, si ritiene che il componente di tale organismo collegiale, qualora investito dell’incarico di RPD, non versi, per ciò stesso, in una situazione di conflitto di interessi, a condizione che siano presenti e pienamente rispettate misure di prevenzione dei conflitti di interessi.