Il quesito concerne l’Organismo Indipendente di Valutazione della Performance (OIV), il quale trova la propria fonte principale nel decreto legislativo n. 150/2009 (in particolare art. 14).
A questo fine si premette che, tra i compiti principali dell’OIV, ai sensi della predetta normativa, troviamo i seguenti:
- monitorare il funzionamento complessivo del sistema della valutazione, della trasparenza e integrità dei controlli interni ed elaborazione di una relazione annuale sullo stato dello stesso, anche formulando proposte e raccomandazioni ai vertici amministrativi;
- comunicare tempestivamente le criticità riscontrate;
- validare la Relazione sulla performance;
- garantire la correttezza dei processi di misurazione e valutazione e dell'utilizzo dei premi, secondo quanto previsto dal presente decreto, dai contratti collettivi nazionali, dai contratti integrativi, dai regolamenti interni all'amministrazione, nel rispetto del principio di valorizzazione del merito e della professionalità;
- proporre all'organo di indirizzo politico-amministrativo, la valutazione annuale dei dirigenti di vertice e l'attribuzione ad essi dei premi;
- titolarità della responsabilità della corretta applicazione delle linee guida, delle metodologie e degli strumenti predisposti dal Dipartimento della funzione pubblica;
- promuovere e attestare l'assolvimento degli obblighi relativi alla trasparenza e all'integrità dei controlli;
- verificare i risultati e le buone pratiche di promozione delle pari opportunità.
Tutto ciò premesso, il quesito, di elevata complessità, concernente la funzione di Data Protection Officer e l’Organismo interno di vigilanza dell’Ente Locale, è articolato su due livelli.
Il primo profilo riguarda l’OIV nella sua collegialità (tale organo, di regola, prevede una pluralità di componenti). In relazione a questo aspetto, ed attesa la disciplina sommariamente richiamata, si ritiene che l’OIV non abbia, nel suo complesso, la natura di entità giuridica autonoma, legittimata in quanto tale alla sottoscrizione del contratto di servizi (si veda l’articolo 37 Rgpd).
Il secondo profilo concerne il singolo componente dell’OIV.
A tale proposito, si rileva che sussista causa diretta di conflitto di interesse (articolo 38, par. 6, Rgpd) ogni qualvolta ricorra una delle ipotesi indicate nelle Linee Guida WP29, riprese nelle FAQ in materia pubblicate dallo stesso Garante: ci si riferisce alla parte in cui l’Autorità di controllo ritiene che, a grandi linee, in ambito pubblico, oltre ai ruoli manageriali di vertice, possono sussistere situazioni di conflitto di interesse rispetto a figure apicali dell'amministrazione, investite di capacità decisionali in ordine alle finalità e ai mezzi del trattamento di dati personali posto in essere dall'ente pubblico, compreso, ad esempio, il responsabile dei Sistemi informativi (chiamato ad individuare le misure di sicurezza necessarie), ovvero quello dell'Ufficio di statistica (deputato a definire le caratteristiche e le metodologie del trattamento dei dati personali utilizzati a fini statistici).
Peraltro, il medesimo giudizio va ripetuto, per ragioni analoghe, anche per i componenti esterni: ciò, sempre alla luce dei compiti affidati all’Organismo, i quali, in concreto, ingenerano o rischiano di ingenerare commistioni rispetto alle determinazioni relative alla individuazione delle misure tecniche e organizzative concernenti i trattamenti.
Non va trascurato il fatto che il Garante considera altresì il dato dimensionale, assumendo ragionevole che, negli enti pubblici di grandi dimensioni, con trattamenti di dati personali di particolare complessità, non vengano assegnate al RPD ulteriori responsabilità. Ciò al fine di evitare che, considerata la molteplicità degli adempimenti che incombono sul singolo, si rischi di creare un cumulo di impegni tali da incidere negativamente sull'effettività dello svolgimento dei compiti che il RGPD attribuisce al DPO.
Conclusivamente si è dell’opinione che esistono profili di incompatibilità sia dell’OIV nel suo complesso sia del componente dell'OIV rispetto alla funzione di DPO.
