Ordinanza ingiunzione o revoca n. 615 del 23/10/2025

Comune di Avola - tardiva comunicazione dei dati di contatto del RPD

Il provvedimento riguarda il Comune di Avola ed è stato adottato a seguito di controlli d’ufficio del Garante sul rispetto degli obblighi relativi al Responsabile della protezione dei dati. L’Autorità ha inizialmente contestato la mancata comunicazione dei dati di contatto del RPD e la mancata evidenza della sua designazione sul sito istituzionale.

Origine del procedimento

Durante le verifiche svolte d’ufficio, il Garante ha rilevato che il Comune non risultava aver utilizzato l’apposito canale online per comunicare all’Autorità i dati di contatto del RPD, come richiesto dall’art. 37, par. 7, GDPR. Da un controllo contestuale sul sito istituzionale non erano emersi elementi idonei a comprovare la designazione del RPD, con conseguente avvio del procedimento anche per la possibile violazione dell’art. 37, par. 1, lett. a), GDPR.

Difese del Comune e attività istruttoria

Il Comune ha depositato scritti difensivi affermando di aver già designato il RPD con determina del 2 luglio 2019, di avere pubblicato i relativi dati di contatto sul sito web istituzionale e di aver omesso la comunicazione al Garante per mera dimenticanza. Ha inoltre rappresentato di aver poi effettuato la comunicazione tramite la procedura online del Garante e di aver reso più agevole la reperibilità dei contatti inserendo in home page un link dedicato alla privacy e al RPD.

A seguito di tali deduzioni, il Garante ha effettuato una ulteriore verifica sul sito del Comune, riscontrando la presenza della deliberazione di designazione del RPD sottoscritta il 2 luglio 2019.

Quadro normativo richiamato

Il provvedimento richiama l’art. 37 GDPR, in particolare:

• il par. 1, lett. a), che impone la designazione del RPD per le autorità e gli organismi pubblici;
• il par. 7, che impone la pubblicazione dei dati di contatto del RPD e la loro comunicazione all’autorità di controllo.

Sono richiamate anche le Linee guida sui responsabili della protezione dei dati del Gruppo di lavoro articolo 29, nella parte in cui spiegano che pubblicazione e comunicazione servono a consentire il contatto diretto con il RPD da parte degli interessati e delle autorità di controllo. Viene inoltre richiamato il Documento di indirizzo del Garante del 29 aprile 2021 sulla designazione, posizione e compiti del RPD in ambito pubblico, che precisa le modalità di pubblicazione sul sito istituzionale e l’uso della procedura online come unico canale per la comunicazione all’Autorità.

Valutazioni del Garante

Il Garante ha ritenuto che le difese del Comune consentissero di superare solo in parte i rilievi iniziali. In particolare:

• è stata esclusa la violazione dell’art. 37, par. 1, lett. a), GDPR, poiché è emersa l’effettiva designazione del RPD dal 2 luglio 2019;
• è stata archiviata anche la contestazione relativa alla pubblicazione dei dati di contatto, poiché la presenza dei contatti sul sito è risultata comunque dimostrata;
• è stata invece confermata la violazione dell’art. 37, par. 7, GDPR limitatamente al profilo della comunicazione all’Autorità, poiché la prima comunicazione riscontrata nei registri del Garante è risultata avvenuta solo anni dopo la designazione e dopo la contestazione dell’inadempimento.

Il Garante ha osservato che, pur essendo poi stato adempiuto l’obbligo, ciò non elimina l’illecito già consumato, ma esclude la necessità di adottare ulteriori misure correttive specifiche.

Sanzione e criteri di quantificazione

Per la violazione accertata è stata irrogata una sanzione amministrativa pecuniaria di euro 2.000, ai sensi dell’art. 83 GDPR e dell’art. 166 del Codice.

Nella determinazione dell’importo il Garante ha considerato:

• il pregiudizio arrecato alla possibilità per l’Autorità di contattare agevolmente il RPD;
• la successiva attivazione del Comune per rimediare all’omissione;
• l’assenza di precedenti violazioni pertinenti o di precedenti provvedimenti ai sensi dell’art. 58 GDPR;
• il carattere colposo della violazione.

La sanzione è stata ritenuta effettiva, proporzionata e dissuasiva.

Provvedimenti finali e impugnazione

Il Garante:

• ha dichiarato illecita la condotta del Comune limitatamente alla tardiva comunicazione dei dati di contatto del RPD;
• ha ordinato il pagamento della sanzione di euro 2.000 entro 30 giorni dalla notificazione;
• ha ricordato la facoltà di definizione agevolata con il pagamento di metà della sanzione entro 30 giorni dalla notifica, ai sensi dell’art. 166, comma 8, del Codice;
• ha disposto la pubblicazione dell’ordinanza ingiunzione sul sito del Garante;
• ha disposto la pubblicazione del provvedimento sul sito del Garante e l’annotazione nel registro interno.

Avverso il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all’estero.