Gli OdV, anche se sono dotati di autonomi poteri di iniziativa e controllo per l’espletamento delle loro funzioni, non possono essere considerati autonomi titolari del trattamento perché i loro compiti non sono determinati dagli Organismi stessi, ma dall’organo dirigente dell’ente che, nell’ambito del modello di gestione e organizzazione, ne definisce gli aspetti relativi al funzionamento, compresa l’attribuzione delle risorse, i mezzi e le misure di sicurezza. E’ quanto ha chiarito il Garante della Privacy nella newsletter n. 465 del 21 maggio 2020.

Il Garante per la privacy, nella newsletter n. 465 del 21 maggio 2020, ha precisato il ruolo e le responsabilità degli Organismi di Vigilanza (OdV) riguardo ai trattamenti dei dati personali svolti nelle loro funzioni e ha escluso che essi possano essere qualificati come titolari autonomi o come responsabili del trattamento.

Partendo dal ruolo che assumono, gli OdV sono gli organi ai quali l’ente, ossia la persona giuridica, la società o l’associazione affida, nel rispetto della disciplina sulla responsabilità amministrativa prevista dal decreto legislativo n. 231/2001, “il compito di vigilare sull’osservanza dei modelli di organizzazione e di gestione adottati, allo scopo di prevenire i reati commessi nell’interesse o a vantaggio dell’ente, dai vertici dello stesso o da persone a questi sottoposti”.

Il Garante ha chiarito che il Gdpr (Regolamento Ue 679/2016), ponendosi in linea di continuità con quanto già previsto dalla Direttiva europea sulla privacy del 1995, ha distinto i ruoli di titolare e responsabile del trattamento, specificando che:

- il titolare del trattamento è il soggetto che “determina le finalità e i mezzi del trattamento di dati personali”;

- il responsabile del trattamento è colui che “tratta dati personali per conto del titolare del trattamento”.

Gli OdV, anche se sono dotati di autonomi poteri di iniziativa e controllo previsti dalla normativa 231 per l’espletamento delle loro funzioni, non possono essere considerati autonomi titolari del trattamento perché i loro compiti non sono determinati dagli Organismi stessi, ma dall’organo dirigente dell’ente che, nell’ambito del modello di gestione e organizzazione, ne definisce gli aspetti relativi al funzionamento, compresa l’attribuzione delle risorse, i mezzi e le misure di sicurezza.

Né i membri possono essere considerati quali responsabili del trattamento, essendo il responsabile del trattamento una persona giuridicamente distinta dal titolare che agisce per conto di quest’ultimo secondo le istruzioni impartite.

Eventuali omessi controlli sull’osservanza dei modelli predisposti dall’ente non ricadono inoltre sull’OdV ma sull’ente stesso.

L’OdV nel suo complesso non è quindi distinto dall’ente ma è “parte dell’ente” per cui sarà l’ente a definire il perimetro e le modalità di esercizio dei compiti assegnati all’organismo, nonché il ruolo che, in base alla disciplina in materia di protezione dei dati personali, deve essere previsto per i singoli membri che lo compongono. Sarà sempre l’ente a designare i singoli membri dell’OdV come soggetti autorizzati, i quali dovranno attenersi alle istruzioni del titolare.

Fonte: https://www.ipsoa.it/documents/impresa/organi-societari/quotidiano/2020/05/22/organismi-vigilanza-chiarimenti-ruolo-responsabilita-trattamento-dati