La decisione del Tribunale di Firenze, III sezione civile, n. 3034 del 28 maggio 2026 offre una nuova occasione per riflettere sul ruolo del Responsabile della protezione dei dati (di seguito: “RPD” o “DPO”) e, in particolare, sull’obbligo del titolare del trattamento di assicurarsi che gli eventuali ulteriori compiti affidati al RPD non diano adito a conflitti d’interesse. A ben vedere si tratta di una formula solo apparentemente vaga ma, in realtà, idonea a rafforzare il significato e la portata dell’obbligo, in grado di rimandare non solo a situazioni di conflitto evidenti, ma anche al rischio di possibili conflitti d’interesse, con tutte le conseguenze negative derivanti da una loro eventuale accertata violazione.
Indice degli argomenti
Il caso di Firenze sul conflitto di interessi del DPO
La sentenza trae origine dalla richiesta di risarcimento danni proposta da una società di servizi, colpita da una frode informatica, nei confronti del proprio DPO, fondata su un presunto inadempimento degli obblighi di vigilanza, in presenza di una asserita omissione nell’individuazione di misure di sicurezza idonee a prevenire la frode e sull’invocata presenza di un conflitto d’interesse.
Attraverso un’attenta ricostruzione del quadro normativo, i giudici rigettano la doglianza ed escludono la responsabilità del professionista, chiarendo che gli obblighi relativi all’adozione di misure tecniche e organizzative adeguate, ai sensi degli articoli 24, 25 e 32 del GDPR, gravano esclusivamente sul titolare del trattamento. Il DPO ha, diversamente, funzioni di consulenza, sorveglianza e supporto, senza poteri esecutivi o decisionali, e deve operare con piena indipendenza di giudizio: autonomia che il titolare è tenuto a garantire.
L’analisi, che affronta numerosi profili di interesse e richiama le Linee guida adottate dai Garanti europei,[1] dimostra come, a oltre otto anni dalla piena applicazione del GDPR, resti ancora incerta l’esatta delimitazione del perimetro funzionale del DPO.
Autonomia del DPO e ruoli manageriali
Il giudice, partendo da una riflessione sul concetto di autonomia, quale requisito essenziale per l’esercizio delle funzioni del DPO, si sofferma in particolare su due elementi:
– il DPO “non deve ricevere istruzioni sull’approccio da seguire nel caso specifico, quali siano i risultati attesi, come condurre gli accertamenti su un reclamo, se consultare o meno l’autorità di controllo. Né deve ricevere istruzioni sull’interpretazione da dare a una specifica questione attinente alla normativa in materia di protezione dei dati” (WP243, p. 19).
– le Linee guida delineano una sorta di elenco delle situazioni di conflitto di interessi, rilevando che esso può ravvisarsi “all’interno dell’organizzazione del titolare del trattamento o del responsabile del trattamento riguardo a ruoli manageriali di vertice (amministratore delegato, responsabile operativo, responsabile finanziario, responsabile sanitario, direzione marketing, direzione risorse umane, responsabile IT), ma anche rispetto a posizioni gerarchicamente inferiori se queste ultime comportano la determinazione di finalità o mezzi del trattamento” (WP243, p. 21).
La pronuncia del Tribunale di Firenze offre quindi l’occasione per una riflessione sulla posizione del RPD e sulle caratteristiche che tale ruolo deve assumere per essere pienamente in linea con i compiti che il GDPR gli attribuisce. Emerge come, a oltre otto anni dalla piena entrata in operatività del GDPR, che segna l’obbligo di nomina del RPD e molto dopo il primo ingresso di questa figura in alcune istituzioni europee, sussistono ancora dubbi sulle incompatibilità o sui possibili conflitti d’interesse con altri ruoli dell’organismo di appartenenza.
Indipendenza del DPO e incarichi incompatibili
Nell’ambito del quadro normativo delineato dal GDPR, spetta al Titolare assicurarsi i compiti ulteriori affidabili al DPO non lo pongano in una situazione di conflitto d’interesse con la sua funzione specifica [2]. Sicuramente i compiti che emergono più critici sono quelli che richiedono maggiore indipendenza di giudizio, quali, in particolare, le attività di sorveglianza, controllo e rilascio di pareri. È evidente, soprattutto, che il RPD deve essere distinto dal soggetto la cui attività è oggetto del suo controllo o che, ad esempio, predispone la DPIA: in assenza di tale distinzione soggettiva, non sarebbe possibile garantire quella independent review richiesta dal GDPR, con il conseguente rischio di sovrapposizione tra controllore e controllato.
È proprio l’indipendenza la caratteristica che più chiaramente definisce il ruolo del RPD: oltre a trovarlo nel GDPR, lo riconoscono la giurisprudenza della Corte di giustizia dell’Unione europea, gli orientamenti dell’EDPB e il Garante per la protezione dei dati personali.
Nelle Linee guida WP243 si rinviene chiara l’affermazione secondo cui “un RPD non può rivestire, all’interno dell’organizzazione del titolare del trattamento o del responsabile del trattamento, un ruolo che comporti la definizione delle finalità o modalità del trattamento di dati personali.”
La Corte di giustizia dell’Unione europea, nella sentenza del 9 febbraio 2023 (causa C-453/21),[3] afferma che non esiste un’incompatibilità di principio e riconosce l’assenza di un elenco predeterminato. La valutazione deve far riferimento ad un caso concreto ed è rimessa alla responsabilità del titolare o del responsabile del trattamento, espressamente chiamato ad assicurarsi che gli ulteriori compiti e funzioni che possono essere attribuiti al RPD, non diano adito a un conflitto di interessi, come sempre “tenuto conto della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, nonché dei rischi……”.
In sostanza emerge come il RPD non possa essere incaricato di compiti o funzioni che possano compromettere l’esercizio indipendente delle funzioni proprie del ruolo.
Tali elementi sono stati ribaditi anche dal Garante per la protezione dei dati personali nelle FAQ sul RPD in ambito pubblico, laddove si evidenzia che l’assegnazione di ulteriori compiti e funzioni è consentita dal GDPR solo a condizione che non dia adito a un conflitto di interessi e che lasci al RPD il tempo sufficiente per l’espletamento dei compiti previsti dal Regolamento. Quest’ultimo profilo emerge con particolare evidenza nel caso dell’attribuzione delle funzioni di RPD al responsabile per la prevenzione della corruzione e per la trasparenza: considerata la molteplicità degli adempimenti che gravano su tale figura, il cumulo degli incarichi potrebbe incidere negativamente sull’effettivo svolgimento dei compiti specifici attribuiti dal GDPR al RPD.
I due parametri per valutare gli incarichi del RPD
Ne consegue che, per individuare e valutare correttamente la possibile presenza di un conflitto d’interesse tra le funzioni proprie del RPD e ulteriori possibili incarichi che si ipotizza di affidare al medesimo soggetto, occorre tener conto di due parametri, che devono entrambi sussistere:
- il RPD non deve aver avuto un ruolo decisionale nelle attività che è chiamato a controllare;
- deve disporre di tempo sufficiente per occuparsi adeguatamente delle attività proprie del ruolo, riportate all’articolo 39 del GDPR.
La valutazione non deve fermarsi al momento iniziale ma deve essere ripetuta lungo tutta la durata dell’incarico.
Le indicazioni europee per gestire i conflitti del DPO
Questi temi sono stati al centro dell’indagine coordinata dell’EDPB[4], realizzata in collaborazione con le Autorità nazionali, svolta nel 2023 sul ruolo, la designazione e la posizione del DPO, i cui risultati, resi noti nel gennaio 2024, ne hanno confermato la rilevanza e l’attualità.
Da ultimo è intervenuto anche il Garante europeo della protezione dei dati[5] con Linee guida per i DPO degli organismi dell’Unione europea che, pur avendo un ambito applicativo limitato, sembrano aprire una nuova fase di riflessione e, auspicabilmente, un nuovo intervento chiarificatore delle Autorità nazionali.
Con un approccio pragmatico suggeriscono l’adozione di una serie di misure organizzative che, tuttavia, lasciano spazio ad alcune, non irrilevanti, perplessità di fondo.
In primo luogo, prevedono la necessità di individuare le posizioni e i compiti ritenuti intrinsecamente incompatibili con la funzione di DPO e quindi invitano le organizzazioni a predisporre regole e procedure per gestire le situazioni di conflitto di interessi (punto 132).
Astensione, vice-DPO e durata del mandato
Le procedure devono operare una ricognizione complessiva, indicare le situazioni in cui il DPO è tenuto ad astenersi (casi di ricusazione) e prevedere soluzioni alternative idonee a salvaguardarne l’indipendenza nella continuità dell’attività (punto 133), tra cui, risalta, la nomina di un vice-DPO chiamato a subentrare nei casi di astensione. In assenza di un vice-DPO strutturato, occorrerebbe stabilire procedure per assicurare la nomina tempestiva di un altro soggetto, interno o esterno, dotato di analoghe garanzie di indipendenza (punto 135). Questa misura, tuttavia, può entrare in contrapposizione con le stesse ragioni che spesso determinano il cumulo degli incarichi -il ridotto numero di personale disponibile- oltre a considerare l’esigenza di formare adeguatamente entrambi i soggetti.
Sono altresì suggeriti interventi formativi volti ad accrescere la consapevolezza del RPD e la sua capacità di gestire potenziali conflitti, con l’adozione di misure preventive o anticipatorie.
L’EDPS torna anche sulla durata del mandato (punto 139) quale fattore importante per garantirne l’indipendenza: un tempo più lungo di durata dell’incarico (5 anni) può contribuire a fornire garanzie tali da consentire di poter svolgere la sua funzione in modo indipendente.
Come prevenire il conflitto di interessi nella nomina del DPO
In conclusione, la designazione del RPD e l’eventuale attribuzione di ulteriori incarichi richiedono una preventiva verifica concreta, documentata e monitorata e periodicamente aggiornata. Non è sufficiente escludere in astratto l’incompatibilità: occorre valutare, caso per caso, se le funzioni svolte possano incidere sull’indipendenza del RPD o limitarne l’effettiva capacità di controllo. Occorre:
- mappare tutti gli incarichi ulteriori ricoperti dal RPD, interni o esterni all’organizzazione;
- verificare se tali incarichi comportino poteri decisionali sulle finalità o sui mezzi dei trattamenti;
- considerare non solo la posizione gerarchica formalmente ricoperta, ma anche le attività concretamente svolte;
- accertare se il RPD possa essere chiamato a controllare trattamenti, scelte organizzative o decisioni cui abbia partecipato in altra veste;
- per i RPD esterni, valutare anche i rapporti professionali, contrattuali e organizzativi che possano incidere sull’indipendenza o comprometterne l’effettivo esercizio;
- motivare l’esito della valutazione e conservarne la documentazione a supporto;
- qualora emerga un conflitto, rimuoverlo con misure effettive: modifica degli incarichi, sostituzione del RPD o altra soluzione organizzativa compatibile con il quadro normativo applicabile.
Monitoraggio e documentazione per tutto l’incarico
La valutazione non si esaurisce al momento della designazione, deve accompagnare l’intero periodo di mantenimento dell’incarico: assetti organizzativi, funzioni e rapporti professionali possono mutare nel tempo.
Monitoraggio continuo, riesame periodico e adeguata documentazione costituiscono quindi le condizioni essenziali per preservare l’autonomia e l’indipendenza del RPD e prevenire situazioni di conflitto.
Note
[1] Cfr.: EDPB – Linee guida sui responsabili della protezione dei dati adottate il 13 dicembre 2016, nella versione emendata e adottata in data 5 aprile 2017 – WP 243 rev. 01. ↩
[2] Cfr.: Art. 38, par. 6 il RPD può “svolgere altri compiti e funzioni. Il Titolare del trattamento (o il Responsabile) si assicura che tali compiti e funzioni non diano adito a un conflitto di interessi”. ↩
[3] Si veda anche la Sentenza della Corte di Giustizia UE (prima Sezione) del 22 giugno 2022 (Caso C-534/20), che approfondisce la nozione di “indipendenza funzionale” del RPD. ↩
[4] Cfr.: Indagine EDPB, “Coordinated Enforcement Action – Designation and Position of Data Protection Officers” del 16 gennaio 2024. ↩
[5] Cfr.: EDPS 18 dicembre 2025 “Supervisory Guidance – Role of the Data Protection Officers in EU institutions, bodies, offices and agencies”. ↩
Partecipa alla community