Ordinanza ingiunzione o revoca n. 318 del 04/06/2025

Comune di Pompei – tardiva designazione e comunicazione del RPD

Il provvedimento riguarda il Comune di Pompei ed è stato adottato a seguito di controlli d’ufficio del Garante sulla corretta designazione del Responsabile della protezione dei dati (RPD) e sulla comunicazione/pubblicazione dei relativi dati di contatto. L’Autorità ha accertato un inadempimento protratto e ha irrogato una sanzione amministrativa pecuniaria, disponendo anche alcune misure accessorie.

Fatti e avvio del procedimento

Nel corso di una verifica svolta d’ufficio, il Garante ha rilevato che il Comune non aveva effettuato la comunicazione dei dati di contatto del RPD tramite l’apposito canale online messo a disposizione dall’Autorità, come richiesto dall’art. 37, par. 7, GDPR. Inoltre, sul sito istituzionale non risultavano inizialmente reperibili i dati di contatto del RPD, circostanza che non consentiva di comprovare la designazione stessa del responsabile.

Con nota di avvio del procedimento, l’Ufficio ha contestato al Comune:

• la violazione dell’art. 37, par. 7, GDPR per omessa comunicazione dei dati di contatto all’Autorità;
• la violazione dell’art. 37, par. 1, GDPR per mancata prova della designazione del RPD.

Al Comune è stata data possibilità di presentare scritti difensivi o documenti e di chiedere audizione, ai sensi dell’art. 166 del Codice privacy e della legge n. 689/1981.

Difese del Comune

Il Comune ha sostenuto di aver adempiuto all’obbligo di designazione del RPD, producendo il decreto sindacale di nomina. Ha inoltre dichiarato che sul sito istituzionale erano state pubblicate le informazioni necessarie per raggiungere facilmente il RPD, inserite in una sezione dedicata denominata “Protezione Dati”, accessibile dalla homepage.

Valutazioni del Garante

Il Garante ha richiamato l’art. 37 GDPR e le Linee guida del WP29 sui responsabili della protezione dei dati, nonché il Documento di indirizzo adottato dall’Autorità nel 2021 in materia di designazione, posizione e compiti del RPD nel settore pubblico. In tale quadro è stato ribadito che:

• per le autorità pubbliche e gli organismi pubblici la designazione del RPD è obbligatoria;
• i dati di contatto del RPD devono essere pubblicati sul sito e comunicati all’Autorità di controllo;
• la comunicazione deve avvenire tramite l’apposita procedura online predisposta dal Garante.

L’istruttoria ha portato a distinguere tre profili:

• pubblicazione sul sito web: il procedimento è stato archiviato, perché al momento degli scritti difensivi la pubblicazione risultava effettuata e non erano emersi elementi per dimostrare un precedente mancato adempimento;
• designazione del RPD: è stata confermata la violazione, perché il decreto di nomina era successivo di quasi tre anni all’entrata in vigore del GDPR;
• comunicazione all’Autorità: è stata confermata la violazione, poiché la prima comunicazione dei dati di contatto risultava avvenuta solo dopo i rilievi del Garante, oltre tre anni dopo la designazione.

Violazioni accertate

Il Garante ha quindi dichiarato illecita la condotta del Comune di Pompei per la violazione:

• dell’art. 37, par. 1, GDPR, per la tardiva designazione del RPD;
• dell’art. 37, par. 7, GDPR, limitatamente al profilo della mancata/ritardata comunicazione dei dati di contatto all’Autorità.

Non sono state disposte misure correttive ai sensi dell’art. 58, par. 2, lett. d), GDPR, poiché il Comune aveva nel frattempo provveduto agli adempimenti richiesti.

Sanzione amministrativa e criteri di quantificazione

Il Garante ha ritenuto applicabile la sanzione dell’art. 83, par. 4, GDPR e ha quantificato la sanzione in 5.000 euro. Nella determinazione dell’importo sono stati considerati, ai sensi dell’art. 83, par. 2, GDPR:

• la mancata disponibilità, per lungo tempo, di una figura obbligatoria ed essenziale per il presidio della protezione dati;
• l’effetto negativo della mancata comunicazione sulla possibilità per l’Autorità di contattare direttamente il RPD;
• il carattere colposo della violazione;
• l’assenza di precedenti pertinenti o di altri provvedimenti ex art. 58 GDPR;
• l’avvenuto rimedio, almeno parziale, alla violazione.

La sanzione è stata ritenuta effettiva, proporzionata e dissuasiva.

Dispositivo e adempimenti successivi

Nel dispositivo il Garante ha:

• ordinato al Comune di Pompei il pagamento di 5.000 euro a titolo di sanzione amministrativa pecuniaria;
• ingiunto il pagamento entro 30 giorni dalla notificazione del provvedimento, con gli avvertimenti conseguenti in caso di inadempimento;
• richiamato la possibilità di definizione agevolata con il pagamento della metà della sanzione entro 30 giorni dalla notifica, ai sensi dell’art. 166, comma 8, del Codice privacy;
• disposto la pubblicazione dell’ordinanza ingiunzione sul sito web del Garante;
• disposto la pubblicazione del provvedimento sul sito web del Garante ai sensi dell’art. 154-bis, comma 3, del Codice;
• disposto l’annotazione delle violazioni nel registro interno dell’Autorità.

Tutela giurisdizionale

Avverso il provvedimento è possibile proporre ricorso dinanzi all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, dell’art. 152 del Codice privacy e dell’art. 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione del provvedimento, oppure entro 60 giorni se il ricorrente risiede all’estero.