Responsabile Protezione Dati (RPD): chiarimenti sulla compatibilità con la carica di consigliere dell’ordine

Il Pronto Ordini n. 57/2026 chiarisce la posizione del CNDCEC sulla compatibilità tra la carica di consigliere dell’Ordine territoriale e l’incarico di Responsabile della Protezione dei Dati (RPD). Il Consiglio evidenzia che il GDPR non prevede incompatibilità tipizzate, ma richiede l’assenza di conflitti di interessi, da valutare caso per caso secondo le Linee guida WP29 e gli orientamenti del Garante. In linea generale, la partecipazione a organi che definiscono finalità e modalità del trattamento può generare conflittualità, ma non determina automaticamente l’incompatibilità: è possibile nominare un consigliere come RPD purché l’Ordine adotti misure efficaci di prevenzione (dichiarazione e astensione). Il CNDCEC richiama inoltre un recente intervento del Garante che ha ritenuto non conforme la nomina di un consigliere priva di adeguate misure documentate di gestione del conflitto.

Il Consiglio Nazionale dei Dottori Commercialisti e degli Esperti Contabili ha pubblicato il Pronto Ordini n. 57/2026 del 5 agosto 2026 con cui fornisce chiarimenti in merito all’individuazione del Responsabile Protezione Dati (RPD).In particolare è stato chiesto se l’assunzione della carica di Consigliere dell’Ordine territoriale sia compatibile con lo svolgimento dell’incarico di Responsabile della Protezione dei Dati (di seguito RPD) presso il medesimo Ordine. In particolare, si chiede se l’assunzione della carica di Consigliere possa determinare una situazione di incompatibilità o di conflitto di interessi con le funzioni attribuite al RPD ai sensi degli articoli 37, 38 e 39 del Regolamento (UE) 2016/679 (di seguito GDPR), tenuto conto dei requisiti di indipendenza, autonomia e assenza di conflitti di interessi richiesti per l’esercizio di tale incarico.Il Consiglio Nazionale evidenzia che in quanto enti pubblici non economici a carattere associativo, gli Ordini professionali sono tenuti a designare il RPD ai sensi dell’art. 37, par. 1, lett. a), del GDPR.La normativa di riferimento non individua specifiche cause di incompatibilità, ma evidenzia la necessità di prevenire la ricorrenza di conflitti di interessi, in particolar modo nel caso in cui il RPD svolga altri compiti e funzioni.A tal fine il Consiglio ritiene che si devono considerare le indicazioni in tema di conflitto di interessi fornite dal Gruppo di lavoro c.d. “Articolo 29” o “WP29” nelle “Linee guida sui responsabili della protezione dei dati” e gli orientamenti diffusi dall’Autorità Garante per la protezione dei dati personali.Le citate Linee Guida hanno precisato che “l’assenza di conflitti di interessi è strettamente connessa agli obblighi di indipendenza. Anche se un RPD può svolgere altre funzioni, l’affidamento di tali ulteriori compiti e funzioni è possibile solo a condizione che essi non diano adito a conflitti di interessi. Ciò significa, in modo particolare, che un RPD non può rivestire, all’interno dell’organizzazione del titolare del trattamento o del responsabile del trattamento, un ruolo che comporti la definizione delle finalità o modalità del trattamento di dati personali. Si tratta di un elemento da tenere in considerazione caso per caso guardando alla specifica struttura organizzativa del singolo titolare del trattamento o responsabile del trattamento”.Anche il Garante in apposito documento di indirizzo dedicato alla figura del RPD, nel riprendere tali indicazioni, ha precisato che “solo l’esame concreto di ciascuna singola realtà – considerando elementi quali le dimensioni dell’ente, le risorse a disposizione, la complessità della struttura, le tipologie di trattamenti svolti, qualità e quantità dei dati trattati, ecc. – potrà condurre ad una valutazione definitiva sulla sussistenza o meno di cause di incompatibilità. Tale valutazione, in ogni caso, dovrà essere fornita dal titolare del trattamento, anche sulla base di idonea documentazione, in virtù del principio di accountability di cui agli artt. 5, par. 2, e 24 del Regolamento”.In questa prospettiva, spetta quindi all’Ordine – quale titolare del trattamento – non solo effettuare tale valutazione “caso per caso”, ma anche dimostrare, con idonea documentazione (delibere, verbali, regolamenti, atti di nomina), di averla effettivamente svolta e di aver adottato misure organizzative coerenti con gli esiti di tale analisi, in ossequio al principio di responsabilizzazione (accountability).Nel medesimo documento di indirizzo, il Garante ha fornito specifiche indicazioni nel caso in cui sia designato quale DPO un soggetto che sia componente di un organo collegiale (anche di vertice).Alla luce delle indicazioni fornite nelle sopraindicate Linee Guida, tale situazione genera, in linea di principio, conflittualità nello svolgimento dell’incarico di DPO in quanto:- all’organo di indirizzo dell’ente è demandata la definizione delle finalità o modalità del trattamento dei dati personali;- ciascun componente del suddetto organo è chiamato ad assumere decisioni rilevanti, che hanno sostanziali implicazioni sull’assetto organizzativo dell’Ente, nonché sulle modalità e sulle finalità di trattamento dei dati personali delle varie categorie di interessati.Tuttavia, tale conclusione non implica un'incompatibilità assoluta. L’Autorità ha infatti precisato che, anche qualora il soggetto designato quale DPO appartenga a un organismo collegiale con funzioni di indirizzo dell'ente, la normativa vigente contempla “misure che possono ritenersi adeguate a prevenire rischi di conflitti di interessi, come, ad esempio, la previsione che i componenti che ritengano di trovarsi in tale situazione, lo dichiarino e, conseguentemente, si astengano sia dalla discussione che dalla deliberazione. Per queste ragioni, si ritiene che il componente di tale organismo collegiale, qualora investito dell’incarico di RPD, non versi, per ciò stesso, in una situazione di conflitto di interessi, a condizione che siano presenti e pienamente rispettate misure di prevenzione dei conflitti di interessi”.In altri termini, la designazione di un consigliere dell’Ordine a DPO appare possibile nella misura in cui ad essa si accompagni l’adozione di adeguate misure volte a prevenire i rischi di conflitti d’interesse in capo allo stesso (come, ad esempio, la sopraindicata previsione di obblighi di dichiarazione e astensione).A conferma di tali orientamenti, l’Autorità Garante, più recentemente, è intervenuta sulla specifica fattispecie segnalata nel quesito (consigliere di un Ordine professionale che sia nominato DPO del medesimo Ordine) ritenendo, nel caso specifico, non conforme il conferimento di incarico di DPO ad un consigliere dell’Ordine in assenza di comprovata adozione, da parte dell’Ordine - in qualità di titolare del trattamento - di adeguate misure volte a prevenire i rischi di conflitti d’interesse.Copyright © - Riproduzione riservata

CNDCEC, Pronto Ordini 05/08/2026, n. 57/2026

Per accedere a tutti i contenuti senza limiti abbonati a IPSOA Quotidiano Premium 1 anno € 118,90 (€ 9,90 al mese) Acquista Primi 3 mesi € 19,90 poi € 35,90 ogni 3 mesi Acquista Sei già abbonato ? Accedi

Fonte: https://www.ipsoa.it/documents/quotidiano/2026/08/28/responsabile-protezione-dati-rpd-chiarimenti-compatibilita-carica-consigliere-ordine