sul ricorso numero di registro generale 182 del 2019, integrato da motivi aggiunti, proposto da:

XXX, rappresentata e difesa dall’avvocato XXX, con domicilio digitale come da PEC da Registri di Giustizia e domicilio eletto presso il suo studio in XXX;

contro

Comune di Taranto, in persona del legale rappresentante pro tempore, rappresentato e difeso dall’avvocato XXX, con domicilio digitale come da PEC da Registri di Giustizia;

nei confronti

Istituto di Formazione XXX, in persona del legale rappresentante pro tempore, rappresentato e difeso dagli avvocati XXX e XXX, con domicilio digitale come da PEC da Registri di Giustizia e domicilio eletto presso lo studio XXX;

XXX, non costituita in giudizio;

per quanto riguarda il ricorso introduttivo,

per l’annullamento, previa sospensione dell’efficacia:

- della graduatoria finale degli ammessi al conferimento dell'incarico biennale per l'attuazione del Regolamento U.E. n. 679 del 2016 sulla protezione dei dati personali ed individuazione del Responsabile per la Protezione dei Dati (R.P.D.), graduatoria formulata all'esito della procedura di gara informale svolta, ai sensi dell'art. 36, comma 2, lett. a), del D. Lgs. n. 50/2016, dal Comune di Taranto e pubblicata sul sito del predetto Comune, in parte qua;

- della determina n. 400/2018 del 21 dicembre 2018, con cui il Dirigente del Settore Sviluppo Economico e Produttivo del Comune di Taranto ha approvato l'attività della Commissione giudicatrice ed ha disposto l’aggiudicazione della predetta gara nei confronti dell’Istituto di Formazione XXX;

- di ogni altro atto, annesso, connesso, presupposto, antecedente e/o consequenziale. per quanto riguarda i motivi aggiunti, depositati in data 3 aprile 2019, per l’annullamento, previa sospensione dell’efficacia:

- dei medesimi provvedimenti già impugnati col ricorso introduttivo.

Visti il ricorso, i motivi aggiunti e i relativi allegati;

Visti gli atti di costituzione in giudizio del Comune di Taranto e dell’Istituto di Formazione XXX;

Visti tutti gli atti della causa;

Relatore nell'udienza pubblica del giorno 28 maggio 2019 il dott. XXX e uditi, per le parti, i difensori presenti, l’Avvocato XXX per parte ricorrente, l’Avvocato XXX, in sostituzione dell’Avvocato XXX, per il Comune resistente e l’Avvocato XXX, anche in sostituzione dell’Avvocato XXX, per la società controinteressata;

Ritenuto e considerato in fatto e diritto quanto segue.

FATTO

La Dr.ssa XXX, odierna ricorrente, ha partecipato all’Avviso pubblico per manifestazione di interesse, per titoli, curriculum vitae e presentazione del progetto inerente all’oggetto della gara informale, indetta dal Comune di Taranto per il conferimento dell’incarico biennale per l’attuazione del Regolamento U.E. n. 679 del 2016 sulla protezione dei dati personali ed individuazione del Responsabile per la Protezione dei Dati (R.P.D.), ai sensi dell’art. 36, comma 2, lett. a), del D. Lgs. n. 50 del 2016 del Comune di Taranto, Avviso pubblicato sul sito del Comune di Taranto nonché all’Albo pretorio del Comune stesso.

La Commissione giudicatrice, nominata dal Comune di Taranto con D.D. n. 317 del 2018, nel corso delle sedute del 12 novembre 2018 e del 4 dicembre 2018 ha proceduto alla valutazione delle istanze pervenute dai tredici candidati esaminando i titoli, il curriculum vitae ed il progetto presentato dai medesimi riguardo le attività oggetto dell’Avviso pubblico.

Al termine dei lavori, la predetta Commissione ha proceduto a stilare una graduatoria finale, pubblicata in data 14 dicembre 2018 sul sito del Comune di Taranto; comunicazione effettuata via p.e.c. all’odierna ricorrente il 17 dicembre successivo. Indi la Stazione appaltante resistente ha effettuato le verifiche previste per legge presso il casellario giudiziale, per accertare il possesso dei requisiti di ordine generale in capo al primo ed al secondo classificato, all’esito delle quali verifiche è emersa una condanna penale non dichiarata da parte del concorrente risultato primo classificato che, pertanto, è stato escluso dalla gara per violazione di quanto disposto dal D. Lgs. n. 50/2016 e ss.mm.ii..

In conseguenza della predetta esclusione, l’aggiudicazione dell’incarico è stata disposta in favore del secondo classificato e cioè dell’Istituto di Formazione XXX in persona del suo legale rappresentante, la Dr.ssa XX, con la determina n. 400 del 21 dicembre 2018, in cui il Comune di Taranto ha dato atto anche del fatto che, come detto sopra, nei confronti del secondo classificato (ma soltanto in capo al legale rappresentante e al soggetto individuato quale Responsabile Protezione dei Dati) erano stati svolti gli accertamenti finalizzati alla verifica del possesso dei requisiti di carattere generale, i quali avevano dato esito negativo.

La Commissione esaminatrice - dunque - ha provveduto a stilare una seconda graduatoria, dandone comunicazione con la pubblicazione della stessa sul portale del Comune di Taranto. Con riferimento alle graduatorie la Commissione ha espresso la seguente valutazione: “XX punteggio 90, XX punteggio 75”, quest’ultima risultata quindi seconda classificata e, pertanto, non vincitrice.

Avverso gli atti sopra richiamati, nonché gli ulteriori menzionati in epigrafe, ha proposto il ricorso introduttivo del presente giudizio la Dr.ssa XX, chiedendone l’annullamento previa sospensione degli stessi, deducendo il seguente articolato motivo:

- Violazione dell’articolo 80 e ss. del D. Lgs. n. 50/2016; Violazione della normativa del bando di concorso. Eccesso di potere per contraddittorietà illogicità, irragionevolezza, travisamento, ingiustizia manifesta. Violazione degli artt. 97 e 113 Costituzione.

Si è costituito in giudizio, in data 1° marzo 2019, il Comune di Taranto, che ha prodotto memoria con cui ha chiesto la reiezione del ricorso, nonché copiosa documentazione relativa alla gara svolta.

All’esito dell’udienza in Camera di Consiglio del 5 marzo 2019, è stata emessa, in data 6 marzo 2019, l’ordinanza cautelare n. 130/2019, con cui questa Sezione ha accolto la proposta domanda di sospensione degli atti impugnati “considerato, in particolare, che, pur non essendovi dubbi circa il fatto che anche una persona giuridica potesse partecipare alla gara informale de qua svolta dal Comune di Taranto per l’attribuzione dell’incarico per l’attuazione del Regolamento U.E. n. 679/2016 e l’individuazione del Responsabile Protezione Dati, procedura indetta con Avviso di Manifestazione di interesse del Comune di Taranto approvato con determina n. 239/2018, risulta - illegittimamente - non chiarito (in sede di gara), come rilevato dal ricorrente nel quinto motivo di ricorso, “il legame fra la società XXX S.r.l. e il sig. XXX. Questi non è un socio della Società, ma pare non esserne neanche dipendente. Non è chiaro se la Società abbia inteso subappaltare il lavoro, né tantomeno a che titolo la società potrebbe essere chiamata dal Comune di Taranto per eventuali inadempimenti e/o danni provocati dal detto soggetto.”; tale doglianza risulta vieppiù fondata e rilevante rispetto alla documentazione prodotta in giudizio dal Comune di Taranto e, in particolare, le Linee Guida sui responsabili della protezione dati, di rilievo europeo, emanate dal Gruppo di lavoro per la protezione dei dati, che espressamente prevedono, nel caso in cui la funzione di R.P.D. sia esercitata da una persona giuridica, che “ciascun soggetto appartenente alla persona giuridica e operante come RPD soddisfi tutti i requisiti applicabili come fissati nella sezione 4 del RGPD”, così, implicitamente ma inequivocabilmente, dando atto del fatto che il soggetto (persona fisica) operante come R.P.D. debba essere appartenente alla persona giuridica, requisito non provato nel caso de quo per le ragioni sopra espresse;”.

In data 3 aprile 2019, parte ricorrente ha depositato motivi aggiunti al ricorso introduttivo, con cui ha chiesto l’annullamento dei medesimi atti già impugnati col predetto ricorso previa sospensione degli stessi (sospensione, peraltro, già in essere in forza della sopra menzionata ordinanza cautelare n. 130/2019), deducendo il seguente articolato motivo:

- Violazione dell’art. 80 e segg. del D. Lgs. n. 50/2016; Violazione della normativa del bando di concorso. Eccesso di potere per contraddittorietà illogicità, irragionevolezza, travisamento, ingiustizia manifesta. Violazione degli artt. 97 e 113 Costituzione sotto vari profili.

In data 10 aprile 2019, si è costituita in giudizio la controinteressata Istituto di Formazione XXX S.r.l., che ha depositato, poi, rispettivamente in data 7 maggio 2019 e 11 maggio 2019, documentazione e memoria con cui ha chiesto la reiezione del ricorso. Nei giorni successivi le parti hanno depositato memorie finali e, infine, all’udienza pubblica del 28 maggio 2019, su istanza di parte, la causa è stata trattenuta in decisione.

DIRITTO

1. Il ricorso, come integrato dai motivi aggiunti, è fondato nel merito e va accolto, nei sensi di seguito precisati.

2. Il Collegio ritiene opportuno procedere prima all’esame del ricorso introduttivo del giudizio e, poi, dei successivi motivi aggiunti.

3. Con riferimento al ricorso, parte ricorrente, con la prima censura dell’unico, articolato, motivo di gravame deduce l’illegittimità degli atti di gara impugnati in quanto sostiene che “Il bando prevede esclusivamente la partecipazione di persone fisiche, e lo si evince chiaramente dai requisiti generali richiesti”.

3.1 La censura è infondata.

Il Tribunale, al riguardo, non sottovaluta le suggestive osservazioni svolte da parte ricorrente nell’analisi del predetto bando, da cui la stessa ricava che lo stesso era chiaramente modellato solo sulla partecipazione delle persone fisiche, in quanto richiedeva una serie di dichiarazioni solo da queste presentabili e, viceversa, non includeva dichiarazioni e documentazione afferente alle persone giuridiche, fra cui l’iscrizione al Registro delle Imprese; cionondimeno non può essere trascurato che, in primis, il dato letterale del bando non prevede l’esclusione dalla partecipazione alla gara delle persone giuridiche in alcuna parte e tale circostanza risulta, già di per sé, dirimente circa la possibile partecipazione delle predette persone giuridiche alla gara informale de qua.

Inoltre, come evidenziato dal Comune resistente nella sua memoria, “l’avviso di manifestazione di interesse pubblicato dal Comune di Taranto, è volto a dare esecuzione al Regolamento Europeo n. 2016/679” e il predetto “Regolamento UE prevede espressamente che il responsabile della protezione dei dati personali possa essere un dipendente del titolare del trattamento o del responsabile del trattamento (art. 37, par. 6). Ed è chiaro che nelle realtà organizzative di medie e grandi dimensioni, il responsabile della protezione dei dati personali, da individuarsi comunque in una persona fisica, potrà essere supportato anche da un apposito ufficio dotato delle competenze necessarie ai fini dell’assolvimento dei propri compiti. Le Linee Guida (Punto 2.5) hanno specificato che qualora il responsabile della protezione dei dati personali sia individuato in un soggetto esterno, quest’ultimo potrà anche essere una persona giuridica.”.

Tale incontestato dato giuridico, dunque, toglie ogni ulteriore dubbio circa l’interpretazione da fornire al bando di gara che, probabilmente, risulta mal redatto e calibrato col retropensiero rivolto alle persone fisiche ma, in ogni caso, non esclude espressamente dalla partecipazione le persone giuridiche che, come asserito espressamente dal punto 2.5 della “Linee guida sui responsabili della protezione dati” adottate in ambito U.E. il 13 dicembre 2016 e versate in atti dal Comune resistente, possono sicuramente svolgere, in base ad un contratto, la funzione di R.P.D. e, pertanto, anche tenuto conto di tale atto (nonché del format dell’Autorità garante, depositato dal Comune resistente) risulta coerente col sistema l’interpretazione del bando nel senso che lo stesso ammetteva la partecipazione anche delle persone giuridiche, circostanza poi avvenuta nella realtà come attestato dal Comune resistente.

4. Con la seconda censura dell’unico motivo di ricorso, la Dr.ssa XXX sostiene che “Nel corpo della delibera impugnata il Comune confessa di aver svolto accertamenti solo su XXX e XXX” mentre relativamente alla società aggiudicataria “per quanto riguarda poi la composizione societaria, dalla visura di evince che il sig. XXX Diretto detiene il 90% del capitale e che i soci sono solo due, con la sig.ra XXX: ne consegue che secondo quanto previsto dal comma 3 dell'art. 80 ("…ovvero del socio di maggioranza in caso di società con meno di quattro soci, se si tratta di altro tipo di società o consorzio"), i controlli dichiarati dal comune non dovevano essere fatti solo per la sig.ra XXX, ma anche per il sig. XXX”.

4.1 La censura è infondata.

Il Collegio, innanzitutto, prende atto del fatto che il Comune resistente ha disposto la verifica dei requisiti anche nei confronti del socio Diretto XXX, come da documentazione in atti, e, pertanto, risulta irrilevante il fatto che nella determina n. 400 del 21 dicembre 2018, il Comune non desse atto di ciò, atteso che la verifica è comunque avvenuta (benchè in data diversa rispetto agli altri due soggetti, ossia il 10 gennaio 2019) e, dunque, la circostanza rappresentata può, al massimo, costituire irregolarità non viziante della procedura, atteso l’esito negativo della predetta verifica che, dunque, qualora fosse stata, come di norma, disposta prima dell’aggiudicazione non avrebbe comunque comportato l’esclusione della società ricorrente perché avrebbe fornito lo stesso esito.

5. Con la terza censura, parte ricorrente deduce l’illegittimità dell’aggiudicazione in quanto nella graduatoria finale non compare la società aggiudicataria, ma il nome della legale rappresentante della stessa, e “Questa ambiguità denota la consapevolezza del Comune di non poter inserire nella graduatoria una società per cui ha inserito il nome del legale rappresentante, cioè il nome di una persona fisica che personalmente non ha partecipato al bando, in luogo della persona giuridica effettivamente ed illegittimamente partecipante. E ciò senza avere la minima accortezza quantomeno di aggiungere a fianco al nome la dicitura “nella qualità”, che comunque non avrebbe sanato l’irregolarità ma avrebbe dato una parvenza di coerenza”.

5.1 La censura va disattesa.

Come rilevato dalla stessa parte ricorrente, trattasi di (mera) “irregolarità” che non comporta, certamente, l’illegittimità della procedura, atteso che risulta chiaro che la partecipazione alla gara è avvenuta da parte della società odierna controinteressata e che, dunque, l’inserimento in graduatoria del nome della persona fisica legale rappresentante della medesima altro non è che un’imprecisione che non vizia la procedura de qua, in quanto anche l’inserimento di tale norme rende, comunque, pienamente riconoscibile il riferimento all’Istituto di Formazione XXX S.r.l.

6. Con la quarta censura, parte ricorrente deduce l’illegittimità dell’affidamento in quanto la XXX S.r.l. sarebbe sprovvista del necessario codice Atecori per svolgere la funzione richiesta dal bando di gara e, dunque, “Questa circostanza evidenzia l’ulteriore vizio di eccesso di potere, avendo il Comune affidato il servizio a partecipante che non aveva la qualificazione per svolgere il servizio.”.

6.1 La censura è infondata.

Dalla stessa visura camerale prodotta in atti dall’odierna ricorrente, difatti, risulta attestato che la XXX S.r.l. svolge, quale attività secondaria, anche quella di “protezione dati personali anche a favore di Enti Pubblici” e, dunque, non vi può essere alcun dubbio circa il fatto che la stessa potesse svolgere l’attività prevista dal bando di gara.

7. Infine, con la quinta censura dell’unico motivo di ricorso, la Dr.ssa XXX deduce l’illegittimità degli atti impugnati, in quanto “non risulta evidenziato il legame fra la società XXX S.r.l. e il sig. XXX. Questi non è un socio della Società, ma pare non esserne neanche dipendente. Non è chiaro se la Società abbia inteso subappaltare il lavoro, né tantomeno a che titolo la società potrebbe essere chiamata dal Comune di Taranto per eventuali inadempimenti e/o danni provocati dal detto soggetto. La deliberazione impugnata si limita a definirlo “soggetto individuato quale RDP”.”.

7.1 La censura è fondata.

Il Collegio ritiene, sul punto, fondamentali le sopra menzionate “Linee guida sui responsabili della protezione dati” del 13 dicembre 2016, le quali ben esplicano, con interpretazione autentica, la relativa normativa comunitaria in merito alle necessarie conoscenze e qualità professionali del Responsabile Protezione Dati (R.P.D.) nonché, per quanto qui di interesse, circa la sua (necessaria) posizione all’interno di una persona giuridica, qualora la funzione di R.P.D. sia svolta, come nel caso de quo, da una persona giuridica.

Orbene, come già evidenziato nell’ordinanza cautelare della Sezione n. 130/2019, le predette Linee guida danno atto del fatto che, qualora la funzione di R.P.D. sia svolta da una persona giuridica, “è indispensabile che ciascun soggetto appartenente alla persona giuridica e operante come RPD soddisfi tutti i requisiti applicabili come fissati nella sezione 4 del RGPD”, così, implicitamente ma inequivocabilmente, richiedendo che il soggetto (persona fisica) operante come R.P.D. debba essere “appartenente” alla persona giuridica, e tale “appartenenza” risulta non provata nel presente caso. In altri termini, la società controinteressata non ha dato prova dell’appartenenza del Dr. XXX, soggetto incaricato di svolgere le funzioni di R.P.D., alla propria struttura o al proprio organico e, dunque, non si capisce come la funzione da questi svolta possa essere riferita immediatamente alla società controinteressata.

Tale conclusione non risulta smentita da quanto dichiarato dall’Istituto di Formazione XXX S.r.l. nella memoria dell’11 maggio 2019, ma, anzi, ulteriormente rafforzata dalla stessa.

Difatti, con la predetta memoria, l’odierna controinteressata, per replicare a quanto contenuto nell’ordinanza cautelare n. 130/2019, afferma che “Nella versione originale, in lingua inglese, le predette Linee Guida n. 243 - adottate il 5.4.2017 dal WP29 - fanno corrispondere, alla frase che l’intestato Tar ha giudicato rilevante per l’ordinanza cautelare, ovvero: “ciascun soggetto appartenente alla persona giuridica e operante come RPD soddisfi tutti i requisiti applicabili come fissati nella sezione 4 del RGPD”, la seguente frase “each member of the organisation exercising the functions of a DPO fulfils all applicable requirements of Section 4 of the GDPR”. Com’è agevole rilevare, la parola appartenente non c’è nella versione inglese ma l’intera frase, nella sua ratio originaria, è da intendere nel senso che: “ogni soggetto cui la persona giuridica fa esercitare la funzione di RPD soddisfi tutti i requisiti applicabili come fissati nella sezione 4 del RGPD”. Non c’è dubbio che, sin dall’inizio, il Dott. XXX sia stato indicato come soggetto per l’esercizio della funzione di RPD e che soddisfi i requisiti previsti dal RGPD. Peraltro, la società deducente ed il Dott. XXX avevano, in ogni caso, concluso un accordo…non già di appartenenza (nozione che, si ribadisce, non è presente nella versione originaria del WP29 n. 243 e nel testo del RGPD) ma di prestazione professionale (concetto maggiormente confacente ad una figura di così elevata qualificazione specialistica).”.

Le sopra riportate affermazioni, come detto sopra, confermano, contrariamente a quanto nelle intenzioni, la correttezza di quanto rilevato da questa Sezione nell’ordinanza cautelare n. 130/2019 per una serie di ragioni. Innanzitutto, la traduzione italiana delle più volte menzionate Linee guida proposta dalla ricorrente non ha alcun valore legale, a differenza della versione italiana delle medesime prodotta in atti dal Comune resistente, che costituisce versione ufficiale e, dunque, vincolante. Inoltre, la traduzione proposta dalla controinteressata risulta patentemente non veritiera, atteso che la dizione inglese “each member of organisation exercising the functions of DPO…” non si riferisce, come nella traduzione proposta, ad ogni soggetto (esterno) cui la persona giuridica incaricata fa svolgere le funzioni dell’R.P.D. ma, secondo piana traduzione letterale, ad ogni membro interno all’organizzazione incaricata della predetta funzione che la svolge, così come, del resto, stabilito dalla versione italiana ufficiale.

Tali considerazioni, pertanto, smentiscono in radice le conclusioni cui perviene nella propria memoria la XXX S.r.l, in quanto danno pieno conto del fatto che la persona fisica che svolge le funzioni di R.P.D., quando la stessa è stata assegnata ad una persona giuridica, deve necessariamente essere un membro della stessa, ossia “appartenere” alla medesima.

Orbene, da quanto prodotto in atti dalla stessa XXX S.r.l. relativamente ai propri rapporti col Dr. XXX, (unica) persona fisica individuata per lo svolgimento della funzione di R.P.D., risulta presente solo una proposta di incarico al predetto Dr. XXX (Allegato 5 della relativa produzione documentale) datata 12 ottobre 2018, proposta, però, non registrata e non allegata alla domanda di partecipazione versata in atti dal Comune di Taranto e, dunque, non atta a dare piena prova del fatto che il predetto Dr. XXX era, a qualche titolo, “appartenente” all’Istituto di Formazione XXX S.r.l. a far data dal 12 ottobre 2018, ossia legato alla stessa, contrariamente a quanto sostenuto dalla predetta società secondo cui “fra la società deducente e il dott. XXX esisteva un vincolo giuridico preliminare alla partecipazione alla gara pubblica”.

Il Collegio, dunque, ritenuta necessaria l’appartenenza della persona fisica svolgente le funzioni di R.P.D. alla persona giuridica affidataria del servizio, contrariamente a quanto sostenuto, nei termini sopra riportati, dalla controinteressata XXX S.r.l. e dal Comune di Taranto, che nella propria memoria difensiva afferma che “nessuna normativa in materia impone che la figura di RPD, qualora l’incarico sia conferito ad una persona giuridica debba necessariamente essere appartenente alla stessa. L’interpretazione corretta delle dette linee guida è che il soggetto che esercita le funzioni di RPD debba possedere i requisiti fissati nella sezione 4.”, ritiene fondata la quinta censura di ricorso e, pertanto, accoglie lo stesso.

Per completezza di esame, poi, il Tribunale rileva che la scrittura privata fra la XXX S.r.l. ed il Dr. XXX del 12 ottobre 2018 parla esplicitamente di un “incarico professionale”, ossia di un rapporto non di subordinazione e rientrante nell’alveo delle prestazioni professionali, in cui il soggetto incaricato, ossia il Dr. XXX, può godere, ai sensi degli articoli 2222 e seguenti del codice civile, di una propria autonomia nell’esplicazione dell’incarico, atteso che la lettera di conferimento non esclude tale possibilità con vincolo contrattuale, così ponendo seri dubbi circa la sussistenza del sopra menzionato requisito dell’appartenenza.

8. Per quanto sopra esposto, dunque, il Collegio ritiene il ricorso fondato e, pertanto, non rilevanti, ai fini della decisione dello stesso, i motivi aggiunti depositati in data 3 aprile 2019, dai quali, comunque, emerge, ancora una volta, l’estrema confusione fra soggetto aggiudicatario della gara, ossia l’Istituto di Formazione XXX S.r.l., e soggetto persona fisica designato per svolgere le funzioni di R.P.D., ossia il Dr. XXX, atteso che vi è un alternarsi di firme fra legale rappresentante della società ed incaricato della funzione di R.P.D. che denota, vieppiù, il sovrapporsi di ruoli e la mancanza del requisito della “appartenenza” sopra enucleato da parte del Dr. XXX nei confronti dell’Istituto di Formazione XXX S.r.l.

9. Per tutto quanto sopra illustrato, il ricorso, integrato dai motivi aggiunti, deve essere accolto e, per l’effetto, vanno annullati i provvedimenti impugnati di cui epigrafe.

10. Sussistono i presupposti di legge (l’assoluta novità di alcune delle questioni trattate) per disporre l’integrale compensazione fra le parti delle spese del presente giudizio.

P.Q.M.

Il Tribunale Amministrativo Regionale per la Puglia Lecce - Sezione Terza, definitivamente pronunciando sul ricorso, integrato dai motivi aggiunti, come in epigrafe proposto, lo accoglie e, per l’effetto, annulla i provvedimenti impugnati. Spese compensate. Ordina che la presente sentenza sia eseguita dall’Autorità amministrativa.

Fonte: Autorità Garante