Continua a far discutere la sentenza del TAR Puglia Lecce n. 1468 del 13 settembre 2019 che ha annullato una gara d’appalto indetta dal Comune di Taranto per il conferimento del servizio di DPO (Data Protection Officer), facendo esposizione del principio di “appartenenza” necessaria della persona fisica che esercita come responsabile le funzioni di DPO alla società/persona giuridica cui la PA ha affidato quel servizio.
Senza voler entrare nel merito del motivo di impugnazione oggetto di esame da parte del TAR – che, per inciso, riguarda l’assunta irregolarità della gara indetta dal Comune di Taranto perché il relativo bando, secondo la ricorrente, farebbe elencazione di tutta una serie di requisiti di partecipazione riferibili esclusivamente alla persona fisica -, cerchiamo di proporre una lettura del principio di “appartenenza” per quanto possibile diversa da quella contenuta nei numerosi commenti reperibili sul web.
Quel principio, elaborato dal TAR con riferimento alle ipotesi in cui le funzioni di DPO siano affidate a una persona giuridica, è stato da molti interpretato come indefettibile necessità che sussista un rapporto di dipendenza/subordinazione tra la persona fisica che svolge l’incarico di DPO e la persona giuridica affidataria del servizio stesso alla quale, pertanto, sarebbe preclusa la possibilità di utilizzare un lavoratore autonomo che non fa parte del proprio personale.
Le critiche alla sentenza sono state sollevate principalmente dal testo delle “Linee Guida sui responsabili della protezione dati” del 13 Dicembre 2016 dell’art. 29 Working Party che sono state infatti assunte dal TAR proprio quale fonte di riferimento per l’enunciazione del principio.
Nella versione italiana di tali Linee Guida si fa richiamo all’ipotesi in cui la persona fisica che opera per conto della persona giuridica come DPO appartenga a questa e soddisfi i requisiti sanciti dalla sezione 4 del GDPR e con ciò, secondo i commentatori, il TAR avrebbe inteso considerare il principio di appartenenza alla stregua di un vero e proprio rapporto di dipendenza/subordinazione che deve sussistere tra la persona fisica responsabile del servizio di DPO nei confronti del Titolare del trattamento dei dati personali e la persona giuridica affidataria del servizio di DPO per conto del Titolare stesso.
Dai più quel richiamo alle Linee Guida fatto dal giudice amministrativo viene considerato inconferente visto che le Linee Guida non hanno portata precettiva (in particolare, alcuni hanno osservato come mai il TAR faccia menzione delle Linee Guida che svolgono soltanto una funzione di indirizzo per l’interprete e non invece degli artt. 37 e ss del GDPR e del relativo Considerando 97 che invero conterrebbero delle prescrizioni normative specifiche sotto il profilo che qui interessa).
Perché il TAR ha annullato la gara d’appalto per il conferimento del servizio di DPO?
Tuttavia, al di là della portata e cogenza delle Linee Guida – e su cui, come detto, molti commenti, seppur pertinenti, sono stati spesi -, la domanda che ci si pone è la seguente: davvero il TAR con l’enunciazione del principio di appartenenza ha inteso escludere che la persona giuridica affidataria del servizio di DPO possa nominare un professionista esterno cui commissionare la funzione di DPO nell’interesse del Titolare del trattamento?
Il quesito non appare pleonastico ove si considerino nel complesso le motivazioni sottese alla pronuncia del TAR.
E, infatti, il giudice amministrativo si limita a parlare di “appartenenza” alla persona giuridica che assume l’incarico di DPO senza mai dire espressamente che l’intestatario persona fisica della carica di DPO deve essere suo “dipendente”. Il concetto di “appartenenza” è evidentemente più ampio di quello di “dipendenza”: il primo implica sostanzialmente il fatto che l’operato della persona fisica di cui si avvale la persona giuridica per l’espletamento dell’incarico di DPO deve essere direttamente riferibile a quest’ultima, “come se si trattasse di un dipendente” (per il quale opera il disposto dell’art. 2049 cod. civ.).
In tal senso depone l’ultimo capoverso di pag. 5 della sentenza dove si evidenzia che «da quanto prodotto in atti dalla stessa Isform & Consulting relativamente ai propri rapporti col Dr. F.M., (unica) persona fisica individuata per lo svolgimento della funzione di R.P.D., risulta presente solo una proposta di incarico al predetto Dr. M. (Allegato 5 della relativa produzione documentale) datata 12 ottobre 2018, proposta, però, non registrata e non allegata alla domanda di partecipazione versata in atti dal Comune di Taranto e, dunque, non atta a dare piena prova del fatto che il predetto Dr. M. era, a qualche titolo, “appartenente” all’Istituto di Formazione Manageriale & Consulting a far data dal 12 ottobre 2018, ossia legato alla stessa, contrariamente a quanto sostenuto dalla predetta società secondo cui fra la società deducente e il dott. M. esisteva un vincolo giuridico preliminare alla partecipazione alla gara pubblica».
È altresì vero che subito dopo, a pag. 6 della sentenza, i giudici affermano che «per completezza di esame, poi, il Tribunale rileva che la scrittura privata fra la Isform & Consulting ed il Dr. F.M. del 12 ottobre 2018 parla esplicitamente di un “incarico professionale”, ossia di un rapporto non di subordinazione e rientrante nell’alveo delle prestazioni professionali, in cui il soggetto incaricato, ossia il Dr. M., può godere, ai sensi degli articoli 2222 e seguenti del codice civile, di una propria autonomia nell’esplicazione dell’incarico, atteso che la lettera di conferimento non esclude tale possibilità con vincolo contrattuale, così ponendo seri dubbi circa la sussistenza del sopra menzionato requisito dell’appartenenza». Ma da questo passaggio non pare si possa sostenere che i giudici abbiano voluto dire che la persona fisica nominata espressamente DPO deve essere “dipendente” della persona giuridica che assume l’incarico verso la Pubblica Amministrazione quale il titolare del trattamento. Ciò proprio perché i giudici hanno messo in rilievo che «la lettera di conferimento non esclude tale possibilità con vincolo contrattuale, così ponendo seri dubbi circa la sussistenza del sopra menzionato requisito dell’appartenenza». In tal modo il TAR confermerebbe, a contrariis, che ove il contratto professionale tra la persona giuridica e il consulente esterno di cui questa si sarebbe servita per l’espletamento dell’incarico di DPO avesse escluso l’applicazione dell’autonomia decisionale ex art. 2222 cod. civ., il professionista esterno si sarebbe potuto ritenere come “appartenente” alla persona giuridica.
Si aggiunga che l’argomentazione della sentenza che richiama l’art. 2222 cod. civ., con riferimento all’autonomia decisionale del lavoratore autonomo nell’esplicazione dell’incarico, risulta comunque debole e inconferente nella fattispecie, posto che la società che ha partecipato alla gara aveva indicato nella domanda la persona fisica che avrebbe espletato per suo conto la funzione di DPO. Con la conseguenza che (i) detta persona fisica avrebbe assunto la veste di mandatario con rappresentanza della società verso la Pubblica Amministrazione; (ii) l’operato del mandatario, ex art. 1704 e 1388 cod. civ. sarebbe stato direttamente imputabile alla persona giuridica incaricata come DPO, privando così di valenza il rilevo richiamato nell’ordinanza cautelare che ha preceduto il giudizio di merito, secondo cui (accogliendo la doglianza della ricorrente) i giudici hanno rilevato che «non si capisce a che titolo la società potrebbe essere chiamata dal Comune di Taranto per eventuali inadempimenti e/o danni provocati dal detto soggetto» (cfr pag. 3 primo capoverso della sentenza).
Del resto, il codice degli appalti prevede espressamente che l’appaltatore possa avvalersi di soggetti terzi per l’espletamento dell’opera o del servizio affidatogli dalla PA, imponendo soltanto che il contratto di avvalimento sia preesistente alla domanda di partecipazione alla gara e abbia una data certa antecedente alla presentazione della candidatura (così l’art. 89 del Codice Appalti). E nel contratto di avvalimento è pacifico che l’ausiliario non è “dipendente” del concorrente in gara.
Da ultimo, è appena il caso di ricordare che il testo letterale inglese delle Linee Guida non dice che la persona fisica formalmente investita della carica di DPO deve essere un dipendente della persona giuridica incaricata di detta funzione o, diversamente da quanto invece risulta nella versione italiana, appartenere alla stessa (come socio, amministratore o in altro modo), ma solo che tale persona fisica deve avere i requisiti di cui alla sezione 4 GDPR.
In conclusione, l’impressione è che il TAR Lecce, pur non facendovi riferimento espresso e probabilmente con una motivazione a tratti inconferente, abbia inteso annullare l’aggiudicazione non perché il soggetto che il vincitore dell’appalto avrebbe utilizzato per lo svolgimento dell’incarico non era un suo lavoratore dipendente bensì perché ha rilevato che il contratto professionale tra il concorrente in gara e la persona fisica di cui il concorrente si sarebbe avvalso per l’espletamento dell’incarico e che sarebbe dovuto apparire come DPO per il Comune di Taranto non aveva una data certa antecedente la presentazione della domanda e non specificava compiutamente le modalità con cui il professionista avrebbe svolto il suo incarico, né la diretta riferibilità dell’operato di questo alla società concorrente, il tutto in violazione di quanto disposto dall’art. 89 codice appalti.
La conseguenza che deriva da tale diversa lettura della sentenza del Tar Lecce è quella di poter considerare come perfettamente conforme alla normativa ed alle Linee Guida n. 243 del WP 29 la possibilità che la persona giuridica nominata DPO da un Titolare di trattamento dati personali affidi ad un professionista esterno la funzione di DPO.
Fermo restando che, per evitare rischi di possibile esclusione da una pubblica gara e/o di impugnazione dell’aggiudicazione, sarebbe opportuno che tra i due soggetti coinvolti venga stipulato un apposito contratto di avvalimento con riferimento alla gara specifica con data certa anteriore alla presentazione della domanda e contenuti conformi alle prescrizioni (a pena di nullità) previste dall’art. 89 codice appalti.
Who's Who
Alberto Savi
Avvocato, Studio Legale ISL
Who's Who
Marco D'Amore
Avvocato, Studio Legale ISL
Who's Who
Francesca Rimoldi
Avvocato, Studio Legale ISL
