Francia: la CNIL chiarisce come individuare e gestire i conflitti di interesse del Data Protection Officer.

 

La Commission nationale de l’informatique et des libertés (CNIL) ha pubblicato nuove indicazioni operative dedicate all’individuazione e alla gestione dei conflitti di interesse del Data Protection Officer (DPO), richiamando l’attenzione delle organizzazioni sulla necessità di preservarne in concreto l’indipendenza e l’autonomia nell’esercizio delle funzioni previste dal GDPR.

Secondo la CNIL, la verifica dell’assenza di conflitti di interesse non può essere affrontata come un adempimento meramente formale, ma deve tenere conto delle funzioni effettivamente esercitate dal DPO, del suo posizionamento organizzativo e dell’eventuale attribuzione di responsabilità che possano condurlo a determinare finalità e mezzi di trattamenti sui quali sarebbe poi chiamato a svolgere attività di controllo e consulenza.

In questa prospettiva, alcune funzioni possono risultare strutturalmente incompatibili con il ruolo di DPO. La CNIL richiama, in particolare, le posizioni apicali o di senior management e le funzioni che comportano un effettivo potere decisionale sui trattamenti di dati personali. Analoghe criticità possono emergere quando il DPO svolga anche funzioni di rappresentanza del personale, qualora tali compiti siano suscettibili di comprometterne l’indipendenza o di porlo nella condizione di rappresentare interessi potenzialmente contrapposti.

L’Autorità francese sottolinea inoltre che l’esistenza di un conflitto deve essere valutata in concreto, senza limitarsi alla denominazione formale della funzione ricoperta. Anche incarichi non necessariamente incompatibili in astratto possono diventarlo qualora attribuiscano al DPO responsabilità decisionali, operative o gerarchiche sui trattamenti oggetto della propria attività di sorveglianza.

Qualora venga individuato un conflitto, l’organizzazione deve adottare misure effettive per eliminarlo. Tra le soluzioni prospettate dalla CNIL rientrano la sostituzione del DPO, la riallocazione o rimozione delle attività incompatibili oppure, in determinate circostanze, la nomina di un deputy DPO incaricato di seguire gli specifici ambiti nei quali il DPO principale si trova in conflitto di interesse. Tale soluzione è tuttavia sostenibile soltanto se il deputy DPO dispone di adeguate competenze, formazione, risorse e autonomia e se la ripartizione delle responsabilità è definita in modo chiaro e concretamente efficace.

Particolare attenzione viene riservata anche ai DPO esterni. La CNIL evidenzia che, quando la medesima società di consulenza o struttura professionale svolga il ruolo di DPO sia per un titolare del trattamento sia per un suo responsabile, l’indipendenza deve essere salvaguardata attraverso un’adeguata separazione organizzativa. In particolare, gli incarichi dovrebbero essere attribuiti a professionisti diversi, così da evitare che la stessa persona sia chiamata a svolgere funzioni di controllo e consulenza rispetto a soggetti i cui interessi e responsabilità in materia di trattamento potrebbero non coincidere.

Per le imprese, le indicazioni della CNIL suggeriscono l’opportunità di riesaminare periodicamente la posizione del DPO, soprattutto in occasione di modifiche organizzative, ampliamenti delle deleghe o attribuzione di nuovi incarichi. La valutazione dovrebbe essere documentata e riguardare non soltanto l’organigramma, ma anche i poteri decisionali effettivi, le linee di riporto, le responsabilità operative e le eventuali situazioni nelle quali il DPO sia chiamato a valutare decisioni che egli stesso, direttamente o indirettamente, ha contribuito ad assumere.

È quindi consigliabile che le organizzazioni formalizzino procedure interne per l’identificazione, escalation e gestione dei potenziali conflitti di interesse, prevedendo anche soluzioni sostitutive o di segregazione delle funzioni. Per i gruppi societari e per le organizzazioni che si avvalgono di DPO esterni, particolare attenzione dovrebbe essere dedicata alla distribuzione degli incarichi e alla verifica che il modello adottato garantisca, non solo sul piano formale ma anche sostanziale, l’indipendenza richiesta dal GDPR.