Ordinanza ingiunzione o revoca n. 61 del 08/02/2024

AGER: tardiva designazione del RPD e omessa comunicazione dei dati di contatto

Il Garante per la protezione dei dati personali ha sanzionato l’Agenzia territoriale della Regione Puglia per il servizio di gestione dei rifiuti (AGER) per la tardiva designazione del responsabile della protezione dei dati e per l’omessa tempestiva pubblicazione e comunicazione dei suoi dati di contatto. Il procedimento è stato avviato a seguito di un reclamo di una dipendente e di successivi approfondimenti istruttori.

Origine del reclamo e attività istruttoria

La reclamante ha riferito che la propria scheda di valutazione per l’anno 2019 era stata notificata via email e poi protocollata in modo tale da risultare visibile a tutti gli utenti abilitati al sistema di protocollo. Ha inoltre lamentato di non aver ricevuto indicazioni adeguate in relazione al RPD.

Nel corso dell’istruttoria, il Garante ha richiesto informazioni all’Agenzia ai sensi dell’art. 157 del Codice. L’AGER ha risposto spiegando che la protocollazione non riservata era frutto di un errore materiale e che, dai log di sistema, non risultavano accessi da parte di soggetti non autorizzati. L’Agenzia ha poi ricostruito il proprio processo di avvio organizzativo, caratterizzato da una lunga fase di start-up, da una dotazione di personale progressiva e dalle difficoltà dovute all’emergenza pandemica.

Esito sulla scheda di valutazione

L’Autorità ha preso atto che, pur essendo stata la scheda protocollata in modalità ordinaria anziché riservata, non era emersa una concreta divulgazione illecita dei dati a terzi. Tuttavia, ha rilevato che il titolare resta comunque tenuto ad adottare misure organizzative e tecniche idonee a prevenire l’accessibilità indebita ai dati personali, a prescindere dall’assenza di un accesso effettivamente abusivo nel caso concreto.

Violazioni in materia di RPD

Il cuore del provvedimento riguarda gli obblighi relativi al responsabile della protezione dei dati.

Tardiva designazione

Ai sensi dell’art. 37, par. 1, lett. a), GDPR, le autorità pubbliche e gli organismi pubblici devono designare un RPD. Nel caso di specie, è stato accertato che l’AGER non aveva provveduto alla designazione nel periodo compreso tra il 25 maggio 2018, data di efficacia del Regolamento, e la data della determina di nomina. Il Garante ha quindi ravvisato la violazione dell’obbligo di designazione tempestiva.

Omessa pubblicazione dei dati di contatto

L’art. 37, par. 7, GDPR impone al titolare o al responsabile di pubblicare i dati di contatto del RPD e di renderli disponibili anche agli interessati. L’Agenzia ha dichiarato di averli pubblicati solo in un momento successivo, con la contestuale attivazione del nuovo sito internet. L’Autorità ha osservato che non era stata provata alcuna altra modalità di messa a disposizione delle informazioni, nemmeno nell’informativa ai sensi dell’art. 13, par. 1, lett. b), GDPR. I documenti prodotti successivamente dall’AGER sono stati ritenuti insufficienti, perché privi di collocazione temporale certa e non idonei a dimostrare l’effettivo adempimento nei tempi richiesti.

Omessa comunicazione al Garante

Sempre ai sensi dell’art. 37, par. 7, GDPR, il titolare deve comunicare all’autorità di controllo i dati di contatto del RPD. L’AGER ha ammesso che la comunicazione al Garante era stata omessa per errore materiale e poi effettuata solo in un momento successivo. Anche tale omissione è stata ritenuta violativa della disciplina europea.

Valutazioni del Garante e qualificazione giuridica

Il Garante ha concluso che le giustificazioni addotte dall’Agenzia, pur considerate alla luce della peculiare fase di avvio dell’ente e delle difficoltà organizzative, non erano sufficienti a escludere l’illiceità della condotta. È stata quindi accertata la violazione degli artt. 13, par. 1, lett. b), e 37, parr. 1, lett. a), e 7, GDPR.

Poiché le violazioni derivavano da un’unica condotta, il Garante ha applicato l’art. 83, par. 3, GDPR, secondo cui la sanzione complessiva non può superare quella prevista per la violazione più grave. La violazione è stata ricondotta all’art. 83, par. 5, GDPR, con un massimo edittale fino a 20.000.000 euro.

Sanzione amministrativa pecuniaria

Nel determinare l’importo, l’Autorità ha valutato:

• la natura e la gravità della violazione, considerata di livello medio, perché la mancata e tardiva gestione degli obblighi sul RPD può incidere sul corretto assolvimento degli obblighi di compliance e sulla possibilità degli interessati e del Garante di interloquire efficacemente con il titolare;
• l’attivazione dell’Agenzia per rimediare dopo l’avvio dell’istruttoria;
• l’assenza di precedenti violazioni pertinenti;
• la particolare situazione organizzativa dell’ente sin dalla sua costituzione;
• la circostanza che, fino a un certo momento, le informazioni dell’Agenzia erano pubblicate sul sito della Regione Puglia per mancanza di un sito proprio.

Sulla base di tali elementi, la sanzione è stata determinata in euro 6.000.

Misure correttive e sanzione accessoria

Il Garante ha ritenuto che non sussistessero i presupposti per ulteriori misure correttive ai sensi dell’art. 58, par. 2, GDPR, anche perché la condotta risultava ormai esaurita e l’Agenzia aveva dichiarato di aver regolarizzato gli adempimenti relativi al RPD.

È stata invece disposta la pubblicazione del provvedimento sul sito del Garante ai sensi dell’art. 166, comma 7, del Codice privacy, quale sanzione accessoria, anche in considerazione del notevole ritardo con cui era stata effettuata la designazione del RPD.

Dispositivo

Il Garante ha dichiarato illecita la condotta dell’AGER e ha ordinato il pagamento della sanzione amministrativa pecuniaria di euro 6.000. È stata inoltre prevista la facoltà di definire la controversia con il pagamento della metà della sanzione entro 30 giorni, nonché la possibilità di ricorso all’autorità giudiziaria ordinaria nei termini di legge.