Esternalizzazione del servizio di D.P.O. e insussistenza del danno erariale (Corte dei Conti Sez. giur. Marche n. 52 del 24.05.2024)

Principi di diritto (Massima)
Il Regolamento UE n. 2016/679, all’art. 37, comma 6, consente che il responsabile della protezione dei dati sia un dipendente del titolare oppure svolga tali compiti in base a un contratto di servizi. L’art. 7, comma 6, del D.lgs. n. 165/2001, che impone l’utilizzo delle risorse interne per gli incarichi ad esperti, non si estende agli appalti di servizi e non fonda un divieto di esternalizzazione della funzione di D.P.O. La nomina interna in via provvisoria, nelle more della gara, non rende doverosa la rinuncia alla procedura di affidamento esterno, né costituisce indizio di una scelta permanente. In assenza di un obbligo normativo di conferire l’incarico a personale interno, la decisione di procedere mediante gara non integra dolo o colpa grave e non è fonte di danno erariale, ove non risulti irrazionale o antieconomica.

Il Fatto

La Procura regionale ha citato in giudizio il direttore generale e il direttore amministrativo di un’azienda sanitaria regionale, oltre al dirigente dell’area sistemi informativi designato R.U.P., contestando un danno pari ai compensi corrisposti a una società esterna per il servizio di Data Protection Officer nel periodo 2018-2021. Secondo l’accusa, le funzioni di D.P.O. sarebbero potute essere svolte da un dipendente interno, già individuato in via provvisoria, senza costi aggiuntivi.

Ai due dirigenti apicali era imputata una condotta dolosa, per aver deliberato l’esternalizzazione in violazione dei principi in materia; al R.U.P. una condotta gravemente colposa, per non aver escluso dalla gara la ditta aggiudicataria, asseritamente priva dei requisiti di esperienza specifica e di capacità economico-finanziaria. Il procedimento penale per la medesima vicenda era stato archiviato.

La Motivazione della Corte

Il Collegio muove dalla base normativa dell’affidamento. L’art. 37, comma 6, del Regolamento UE n. 2016/679 ammette espressamente il ricorso a un contratto di servizi. La Procura aveva richiamato l’art. 7, comma 6, del D.lgs. n. 165/2001 e il principio di buon andamento di cui all’art. 97 Cost., ma senza individuare uno specifico divieto di appalto: la norma invocata riguarda gli incarichi individuali ad esperti, non gli appalti di servizi.

La Corte valorizza le indicazioni del Garante della Privacy, che nelle Linee guida e nel provvedimento di indirizzo del 29 aprile 2021 ammette la designazione interna solo interinale, nelle more della selezione, e riconosce che il D.P.O. può essere esterno. Ne deriva una situazione in cui la nomina provvisoria interna e la prosecuzione della gara possono coesistere, senza che la prima imponga la rinuncia alla seconda.

Quanto al merito della scelta, il Collegio esclude l’irrazionalità e l’antieconomicità: la complessità della funzione, la previsione di un team di supporto e le difficoltà manifestate dal dipendente designato, gravato da un incarico amministrativo elettivo e privo di specializzazione adeguata, giustificano l’esternalizzazione. La contraddizione tra le due determine sulla provvisorietà trova spiegazione in un errore del documento istruttorio, corretto con provvedimento successivo.

Per il R.U.P., esclusa l’illegittimità della scelta di esternalizzare, non residua alcun danno ricollegabile alla gestione della gara. La partecipazione era stata sollecitata a più operatori e la Commissione aveva valutato il possesso dei requisiti; la capacità economico-finanziaria era garantita da un avvalimento. La Procura non ha provato un danno alla concorrenza né un’esecuzione inadeguata del servizio.

La domanda risarcitoria è pertanto rigettata nei confronti di tutti i convenuti, con liquidazione delle spese di difesa.