Consigliere dell’Ordine nominabile RPD solo con misure contro i conflitti di interesse

Un consigliere dell’Ordine professionale può assumere anche l’incarico di Responsabile della protezione dei dati (RPD), ma la designazione è ammissibile solo se l’ente adotta misure idonee a prevenire situazioni di conflitto di interessi.

È quanto chiarito dal CNDCEC con il Pronto Ordini n. 57/2026 del 5 agosto 2026, in risposta a un quesito dell’Ordine dei Dottori Commercialisti e degli Esperti Contabili di Messina sulla compatibilità tra la carica di consigliere e l’incarico di RPD presso il medesimo Ordine.

Gli Ordini professionali, in quanto enti pubblici non economici a carattere associativo, sono tenuti a designare un RPD ai sensi dell’art. 37, par. 1, lett. a) del GDPR. Il Regolamento richiede che il soggetto incaricato disponga di adeguate qualità professionali e stabilisce che l’eventuale svolgimento di altri compiti non debba generare conflitti di interesse.

La normativa, osserva il Consiglio nazionale, non individua specifiche cause di incompatibilità. Assume invece rilievo la necessità di verificare che il RPD mantenga una posizione di indipendenza e che le ulteriori funzioni eventualmente svolte non comportino la determinazione delle finalità o delle modalità del trattamento dei dati personali.

La valutazione deve essere effettuata in concreto.

Secondo le indicazioni richiamate dal CNDCEC, spetta infatti al titolare del trattamento verificare, tenendo conto della struttura organizzativa, delle dimensioni dell’ente, delle risorse disponibili e delle caratteristiche dei trattamenti svolti, se ricorrano effettive situazioni di conflitto.

Nel caso dell’Ordine professionale, tale valutazione deve essere svolta dall’Ordine stesso e documentata attraverso atti idonei, quali delibere, verbali, regolamenti e provvedimenti di nomina, in applicazione del principio di accountability.

Particolare attenzione è richiesta quando il RPD sia anche componente di un organo collegiale con funzioni di indirizzo.

In linea di principio, infatti, tale situazione può generare una conflittualità, poiché l’organo collegiale è chiamato ad assumere decisioni che incidono sull’organizzazione dell’ente e sulle finalità e modalità del trattamento dei dati personali.

Ciò non determina però un’incompatibilità automatica.

Il Garante per la protezione dei dati personali, richiamato dal CNDCEC, ha infatti ritenuto possibile prevenire il conflitto attraverso specifiche misure organizzative, tra cui l’obbligo per il componente interessato di dichiarare la situazione e di astenersi sia dalla discussione sia dalla deliberazione.

La nomina di un consigliere dell’Ordine quale RPD può quindi ritenersi ammissibile se accompagnata dall’adozione e dall’effettivo rispetto di misure adeguate a prevenire i rischi di conflitto di interessi.

Il CNDCEC richiama, infatti, un provvedimento del 22 febbraio 2024 con il quale l’Autorità, esaminando proprio il caso di un consigliere di un Ordine professionale nominato DPO dello stesso ente, ha ritenuto non conforme la designazione in assenza della prova dell’adozione di adeguate misure di prevenzione dei conflitti di interesse.