Prescrizioni del Garante n. 486 del 11/09/2025

Ammonimento al Comune di Castelnuovo di Conza per riscontro incompleto a istanza di accesso ex art. 15 GDPR

Il provvedimento riguarda il Comune di Castelnuovo di Conza, destinatario di un ammonimento per aver fornito un riscontro parziale e non corretto a un'istanza di accesso ai dati personali presentata dal reclamante ai sensi dell'art. 15 del GDPR. Il procedimento nasce da un reclamo presentato al Garante in relazione a dati personali connessi a un contenzioso per competenze professionali non pagate.

Origine del reclamo e contenuto dell'istanza

Il reclamante aveva chiesto al Comune di confermare se fossero in corso trattamenti di dati personali che lo riguardavano, originati dal contenzioso relativo al mancato pagamento delle competenze professionali per incarichi svolti in favore dell'ente. In caso di risposta positiva, aveva chiesto copia dei dati trattati e tutte le informazioni di cui all'art. 15, par. 1, GDPR, tra cui finalità, categorie di dati, origine, destinatari, periodo di conservazione ed eventuale processi decisionali automatizzati.

Riscontro iniziale del Comune e prima archiviazione

Il Comune, per il tramite del proprio Responsabile della protezione dei dati, aveva risposto che non era in corso alcun trattamento di dati personali del reclamante. L'Ufficio del Garante, dopo un primo sollecito nell'ambito della procedura sul reclamo, aveva ritenuto allo stato degli atti insussistenti gli estremi di una violazione e aveva disposto l'archiviazione. Anche la successiva richiesta di riesame non aveva inizialmente modificato tale esito.

Nuovi elementi e riapertura dell'istruttoria

Dopo la chiusura del reclamo, il reclamante ha trasmesso ulteriori elementi documentali, informando l'Autorità dell'esistenza di un decreto ingiuntivo nei confronti del Comune, opposto da quest'ultimo e ancora pendente dinanzi al Tribunale di Salerno. Tali elementi, non forniti in precedenza, sono stati ritenuti idonei ad aprire una nuova istruttoria, perché dimostravano l'esistenza di un contenzioso e quindi di trattamenti di dati personali connessi.

Accertamento della violazione

All'esito degli approfondimenti, il Garante ha accertato che il Comune aveva omesso di fornire un riscontro completo ed esaustivo all'istanza di accesso. In particolare, il riscontro iniziale aveva indotto a ritenere inesistente il trattamento richiesto, mentre dagli atti successivamente acquisiti emergeva la pendenza di un contenzioso relativo alle competenze professionali. La condotta è stata ritenuta in contrasto con il principio di liceità, correttezza e trasparenza di cui all'art. 5, par. 1, lett. a), GDPR, nonché con gli obblighi di cui all'art. 12, parr. 1, 3 e 4, e con il diritto di accesso di cui all'art. 15 GDPR.

Difese dell'ente e regolarizzazione successiva

Nel corso del procedimento il Comune ha ammesso l'errore, attribuendolo a una distorsione informativa e al carico di lavoro dell'ente, oltre che alla situazione organizzativa interna e al successivo decesso del sindaco che aveva reso le dichiarazioni iniziali. Ha sostenuto che non vi fosse alcuna volontà di nascondere informazioni e che il reclamante era già in possesso della documentazione relativa al contenzioso. Successivamente, con una nuova nota, il Comune ha fornito il riscontro corretto, confermando il trattamento dei dati personali nell'ambito della gestione del rapporto di collaborazione tecnica presso l'U.T.C. e della gestione del contenzioso.

Valutazioni finali del Garante

Il Garante ha ritenuto che la ricostruzione dell'ente non fosse sufficiente a escludere la violazione, ma ha valutato il caso come una violazione minore ai sensi del considerando 148 e dell'art. 83, par. 2, GDPR. Ha dato rilievo a vari elementi attenuanti: le ridotte dimensioni del Comune, il numero limitato di personale, la natura colposa dell'errore, la cessazione della condotta con la successiva integrazione del riscontro, l'assenza di precedenti pertinenti e il fatto che i dati richiesti fossero già nella disponibilità del reclamante. Inoltre, non è emerso alcun vantaggio tratto dall'ente dalla condotta contestata.

Dispositivo

Il Garante ha quindi ammonito il Comune di Castelnuovo di Conza per la violazione degli artt. 5, par. 1, lett. a), 12, parr. 1, 3 e 4, e 15 GDPR, disponendo l'annotazione nel registro interno delle violazioni e delle misure adottate ai sensi dell'art. 17 del Regolamento del Garante n. 1/2019. Non è stata irrogata una sanzione pecuniaria. Avverso il provvedimento è ammesso ricorso all'autorità giudiziaria ordinaria nei termini di cui all'art. 78 GDPR, agli artt. 152 del Codice privacy e 10 del d.lgs. n. 150/2011.