Con parere sulla qualificazione soggettiva ai fini privacy degli Organismi di Vigilanza previsti dall'art. 6, D.Lgs. 8 giugno 2001, n. 231, l'Autorità evidenzia che "l'OdV, pur essendo dotato di autonomi poteri di iniziativa e controllo, non possa essere considerato autonomo titolare del trattamento (art. 4, n. 7 del Regolamento), considerato che i compiti di iniziativa e controllo propri dell'OdV non sono determinati dall'organismo stesso, bensi' dalla legge che ne indica i compiti e dall'organo dirigente che nel modello di organizzazione e gestione definisce gli aspetti relativi al funzionamento compresa l'attribuzione delle risorse, i mezzi e le misure di sicurezza (art. 6, commi 1 e 2 d.lgs. n. 231/2001)".

Ed ancora, "all'OdV non puo' essere imputata una responsabilita' penale in ordine all'eventuale commissione di reati rilevanti ai sensi del d.lgs. n.231/2001 nel caso di omessi controlli, posto che tale organismo, pur avendo funzioni di vigilanza e controllo, non e' dotato di alcun potere impeditivo nei confronti degli eventuali autori del reato, cosi' che, anche in caso di inerzia dell'OdV, la responsabilita' ricade sull'ente che non potra' avvalersi della scriminante prevista dall'art.6, comma 1 d.lgs n.231/2001. Resta ferma invece la responsabilita' di natura contrattuale dell'OdV nei confronti dell'ente per inadempimento delle obbligazioni assunte con il conferimento dell'incarico".

L'Autorità chiarisce, altresì, che "l'OdV non ha l'obbligo di denuncia all'Autorita' giudiziaria in relazione agli illeciti di cui viene a conoscenza a causa e nell'esercizio delle sue funzioni (obbligo che grava invece sull'ente all'uopo informato dall'OdV) ne' e' l'organismo investito di poteri disciplinari nei confronti degli autori degli illeciti, poteri che rimangono in capo all'ente ai cui vertici aziendali l'OdV e' tenuto a segnalare le violazioni accertate, proponendo, al contempo, l'adozione delle necessarie sanzioni".

Sulla base delle suddette valutazioni l'Autorità ritiene che "l'OdV non e' distinto dall'ente, ma e' parte dello stesso" e "che - valutate anche le attribuzioni e le caratteristiche indicate nell'art. 6, d.lgs. n.231/2001 - non possa essere considerato responsabile del trattamento inteso come soggetto chiamato ad effettuare un trattamento “per conto del titolare”, ovverosia una “persona giuridicamente distinta dal Titolare, ma che agisce per conto di quest'ultimo” secondo le istruzioni impartite dal titolare (art. 28 del Regolamento)" ed, infine, che "a prescindere dalla circostanza che i membri che lo compongano siano interni o esterni, debba essere considerato “parte dell'ente”, con conseguente designazione "nell'ambito delle misure tecniche e organizzative da porre in essere in linea con il principio di accountability (art. 24 del Regolamento)", dei singoli membri dell'OdV quali soggetti autorizzati (artt. 4, n. 10, 29, 32 par. 4 Regolamento; v. anche art. 2-quaterdecies del Codice).

Tanto premesso, si evidenzia come la qualificazione soggettiva ai fini privacy degli Organismi di Vigilanza, così come stabilito dall'Autorità Garante, e' da rifersi anche ai componenti dell'Organismo di Valutazione o del Nucleo di Valutazione designati dal Sindaco, destinatari, pertanto, di un atto di designazione - decreto sindacale - per il trattamento dei dati personali e conseguente attribuzione di funzioni e compiti specifici, al pari dei Dirigenti/Responsaibli P.O..

Fonte : Garante Privacy

https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9347842