Come noto, l’incarico di responsabile protezione dati (RPD/DPO) può essere affidato anche all’esterno dell’ente, attribuendo tale funzione ad una persona fisica o giuridica.
La sentenza del TAR Puglia n.1468/2019, è in particolar modo riferita al caso di attribuzione di tale funzione ad una persona giuridica; a tal fine, la sentenza prescrive una lettura puntuale delle Linee guida del gruppo di lavoro europeo per la protezione dei dati, adottate nel 2016, per le quali è “indispensabile che ciascun soggetto a essa “appartenente” e operante come Dpo soddisfi tutti i requisiti fissati dal Gdpr.”.
E’ quindi indispensabile che “il soggetto persona fisica operante come Rpd deve essere un facente parte dell’ente-persona giuridica”; nel caso specifico, il DPO in questione non era nè un socio della società e e nemmeno un dipendente.
