Ordinanza ingiunzione o revoca n. 9 del 11/01/2024

Provincia di Sassari – omessa comunicazione dei dati di contatto del RPD/DPO all’Autorità

Il Garante ha sanzionato la Provincia di Sassari per non aver comunicato all’Autorità i dati di contatto del Responsabile della protezione dei dati, nonostante tali dati fossero stati pubblicati sul sito istituzionale dell’ente. Il procedimento è stato avviato a seguito di un controllo d’ufficio sul sito della Provincia e si è concluso con un’ordinanza ingiunzione e con la dichiarazione di illiceità della condotta.

Fatti e avvio del procedimento

L’Autorità ha rilevato che la Provincia aveva nominato il RPD ai sensi dell’art. 37 GDPR, ma non aveva assolto l’obbligo, previsto dal par. 7 del medesimo articolo, di comunicare i dati di contatto all’Autorità di controllo. L’Ufficio ha quindi notificato l’avvio del procedimento ex art. 166, comma 5, del Codice privacy, invitando l’ente a presentare memorie difensive o a chiedere audizione.

Difese presentate dalla Provincia

La Provincia ha sostenuto che la mancata comunicazione fosse imputabile a un mero disguido informatico. Ha inoltre rappresentato di aver successivamente riscontrato la carenza e di aver comunicato il nominativo del nuovo DPO, inserendolo nella sezione privacy del sito istituzionale.

Quadro normativo richiamato

Il Garante ha richiamato:

• l’art. 37, par. 1, lett. a), GDPR, che impone la designazione del RPD per i trattamenti effettuati da un’autorità o organismo pubblico;
• l’art. 37, par. 7, GDPR, che impone la pubblicazione dei dati di contatto del RPD e la loro comunicazione all’Autorità di controllo;
• le Linee guida WP29 sui responsabili della protezione dei dati, che evidenziano la finalità di consentire contatti facili e diretti con il RPD;
• il Documento di indirizzo del Garante del 29 aprile 2021, che individua nella procedura online il canale unico per comunicazione, variazione e revoca dei dati del RPD in ambito pubblico.

Valutazione dell’illecito

L’Autorità ha ritenuto accertata la violazione dell’art. 37, par. 7, GDPR, osservando che l’omessa comunicazione aveva inciso negativamente sulla possibilità di contattare il RPD in modo facile e diretto. Le dichiarazioni della Provincia, pur considerate, non hanno consentito di superare i rilievi contestati e non è stata ritenuta ricorrente alcuna ipotesi di archiviazione ai sensi del Regolamento interno del Garante.

Sanzione amministrativa e criteri applicati

Ai sensi degli artt. 58, par. 2, lett. i), e 83 GDPR, nonché dell’art. 166 del Codice, il Garante ha irrogato una sanzione amministrativa pecuniaria di 2.000 euro. Nella quantificazione sono stati considerati:

• l’effetto pregiudizievole della mancata comunicazione sulla reperibilità del RPD;
• la successiva regolarizzazione da parte dell’ente, avvenuta il 27 aprile 2023;
• l’assenza di precedenti violazioni pertinenti o di precedenti provvedimenti sanzionatori;
• il carattere colposo della violazione.

Misure accessorie, pagamento e impugnazione

Il Garante ha inoltre disposto la pubblicazione del provvedimento sul proprio sito web, ai sensi dell’art. 166, comma 7, del Codice, e l’annotazione nel registro interno delle violazioni. La Provincia deve pagare la sanzione entro 30 giorni dalla notifica; è fatta salva la possibilità di definire la controversia pagando, nello stesso termine, la metà della sanzione irrogata ai sensi dell’art. 166, comma 8, del Codice e dell’art. 10 del d.lgs. n. 150/2011. Avverso il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria entro 30 giorni, o 60 giorni se il ricorrente risiede all’estero.