Ordinanza ingiunzione o revoca n. 337 del 20/10/2022

Comune di Calvi Risorta - mancato riscontro alle richieste del Garante e sanzione pecuniaria

Il provvedimento riguarda il Comune di Calvi Risorta ed è stato adottato all’esito di un reclamo relativo alla pubblicazione su Facebook di una segnalazione contenente dati personali dell’interessato. L’istruttoria ha consentito di escludere, per quanto di competenza del Comune, la responsabilità per la diffusione del documento; è stata invece accertata la violazione dell’art. 157 del Codice privacy per il tardivo riscontro alle richieste informative dell’Autorità.

Origine del reclamo e fatti contestati

Il reclamante aveva segnalato che una nota da lui inviata alla Prefettura e alla Regione Campania era stata pubblicata sulla pagina Facebook personale dell’Assessore alle politiche sociali del Comune di Calvi Risorta e successivamente condivisa sulla pagina del Sindaco. La segnalazione conteneva il protocollo di ingresso e dati personali dell’interessato, tra cui nome, cognome e residenza. Il reclamante deduceva anche una diffusione ampia e prolungata del post.

In corso di istruttoria è emerso che la Prefettura aveva inviato per errore materiale il documento all’indirizzo PEC del Comune, indicando come destinatario il Comando Provinciale dei Carabinieri di Caserta, e aveva poi comunicato l’errore al Comune. Il Comune ha tuttavia sostenuto che la nota era pervenuta "per conoscenza" e non per errore, e che gli uffici si erano limitati alla protocollazione e all’inoltro al Sindaco e all’Assessore.

Attività istruttoria svolta dal Garante

L’Ufficio del Garante ha richiesto informazioni al Comune e alla Prefettura ai sensi dell’art. 157 del Codice. Poiché non riceveva riscontro, ha reiterato la richiesta e ha poi notificato al Comune l’avvio del procedimento ai sensi dell’art. 166, comma 5, del Codice, sia per il mancato riscontro sia per la contestata diffusione dei dati sui social.

Successivamente sono state chieste ulteriori precisazioni al Sindaco e all’Assessore, in particolare sulla base giuridica e sulle finalità del trattamento, sui tempi di ricezione delle comunicazioni prefettizie e sulla durata della pubblicazione dei post. Le risposte hanno confermato, in sintesi, che la nota era stata protocollata e trasmessa internamente e che il post era stato poi rimosso.

Quadro normativo richiamato

Il Garante richiama i principi e le norme generali applicabili al trattamento dei dati personali da parte di soggetti pubblici:

• art. 4, par. 1, n. 1, GDPR, in tema di dato personale;
• art. 5, par. 1, lett. a) e b), GDPR, sui principi di liceità, correttezza, trasparenza e limitazione della finalità;
• art. 6, par. 1, lett. c) ed e), e par. 2, GDPR, sulla liceità del trattamento da parte dei soggetti pubblici;
• art. 2-ter del Codice privacy, nel testo vigente all’epoca dei fatti, sulla necessità di una base normativa per la diffusione di dati personali da parte di soggetti pubblici;
• art. 157 del Codice privacy, che consente al Garante di richiedere informazioni e documenti;
• art. 166, comma 2, del Codice, che collega il mancato riscontro alla richiesta del Garante alla sanzione di cui all’art. 83, par. 5, GDPR.

Sono inoltre richiamate le linee guida del Garante del 15 maggio 2014 in materia di pubblicità e trasparenza sul web da parte di soggetti pubblici.

Valutazioni del Garante sulla diffusione della segnalazione

Sulla base delle memorie del Comune, il Garante ha ritenuto che il ruolo degli uffici comunali si fosse limitato alla registrazione al protocollo informatico della missiva prefettizia e alla sua trasmissione al vertice politico-amministrativo dell’ente. In tale prospettiva, non ha ritenuto ascrivibili al Comune le violazioni contestate in relazione alla diffusione della segnalazione sui social, rinviando ad un autonomo procedimento per eventuali ulteriori responsabilità.

Violazione accertata: mancato riscontro ex art. 157 Codice privacy

Il punto decisivo del provvedimento è la mancata tempestiva risposta del Comune alle richieste istruttorie del Garante. L’Autorità osserva che il riscontro è pervenuto solo dopo l’avvio del procedimento correttivo e sanzionatorio, con conseguente incidenza negativa su completezza e celerità dell’istruttoria.

Il Garante evidenzia che non sono state prodotte memorie difensive specifiche sul rilievo relativo all’art. 157 del Codice e che non ricorrevano i presupposti per l’archiviazione. La violazione viene quindi formalmente accertata.

Sanzione pecuniaria e criteri di quantificazione

Per la violazione dell’art. 157 del Codice, il Garante applica la sanzione amministrativa pecuniaria ex art. 83, par. 5, GDPR, ai sensi degli artt. 58, par. 2, lett. i), e 83, par. 3, GDPR, come richiamati dall’art. 166, comma 2, del Codice.

Nella quantificazione vengono considerati, in particolare:

• il ritardo, l’incompletezza e la contraddittorietà dei riscontri forniti;
• l’incidenza negativa sull’attività istruttoria;
• l’assenza di precedenti violazioni pertinenti e di precedenti provvedimenti ex art. 58 GDPR;
• il carattere colposo della violazione.

La sanzione è determinata in euro 2.000, ritenuta effettiva, proporzionata e dissuasiva ai sensi dell’art. 83, par. 1, GDPR.

Dispositivo finale

Il Garante:

• dichiara illecita la condotta del Comune di Calvi Risorta limitatamente alla violazione dell’art. 157 del Codice privacy;
• ordina il pagamento di euro 2.000 a titolo di sanzione amministrativa pecuniaria;
• ingiunge il pagamento entro 30 giorni dalla notificazione, con possibilità di definizione agevolata mediante pagamento della metà della sanzione entro lo stesso termine, ai sensi dell’art. 166, comma 8, del Codice;
• dispone la pubblicazione del provvedimento sul sito web del Garante ai sensi dell’art. 166, comma 7, del Codice;
• dispone l’annotazione nel registro interno dell’Autorità.

È inoltre indicata la possibilità di proporre ricorso dinanzi all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione del provvedimento, ovvero entro 60 giorni se il ricorrente risiede all’estero.