Ordinanza ingiunzione o revoca n. 166 del 27/03/2025

Comune di Palma di Montechiaro: mancata designazione e pubblicazione/comunicazione del RPD

Il provvedimento riguarda il Comune di Palma di Montechiaro ed è stato adottato a seguito di controlli d’ufficio del Garante. L’Autorità ha accertato il mancato rispetto degli obblighi previsti dall’art. 37 GDPR in materia di Responsabile della protezione dei dati (RPD/DPO), con successiva irrogazione di una sanzione amministrativa pecuniaria.

Fatti e avvio del procedimento

Nel corso delle verifiche svolte d’ufficio, il Garante ha rilevato che il Comune non aveva effettuato la comunicazione dei dati di contatto del RPD tramite l’apposita procedura online messa a disposizione dall’Autorità. Contestualmente, dal sito web istituzionale non risultavano reperibili i dati di contatto del RPD, né elementi idonei a comprovare l’avvenuta designazione della figura.

Con nota di avvio del procedimento, notificata ai sensi dell’art. 166, comma 5, del Codice, l’Ufficio ha contestato al Comune:

• la violazione dell’art. 37, par. 7, GDPR, per omessa pubblicazione e comunicazione dei dati di contatto del RPD;
• la violazione dell’art. 37, par. 1, GDPR, in quanto non risultava comprovata la designazione del RPD.

Il Comune è stato invitato a produrre scritti difensivi o documenti e a chiedere eventuale audizione.

Difese del Comune e successive interlocuzioni

Il Comune ha depositato scritti difensivi dichiarando di aver designato il RPD con determinazione del Segretario generale e di aver successivamente trasmesso i dati di contatto tramite procedura online. A seguito di ulteriori interlocuzioni, è emerso inoltre che l’ente aveva pubblicato sul proprio sito istituzionale i dati di contatto del RPD, in una pagina dedicata raggiungibile anche dalla homepage.

Quadro normativo richiamato

Il Garante richiama l’art. 37 GDPR, evidenziando che:

• il titolare designa sistematicamente un RPD quando il trattamento è effettuato da un’autorità pubblica o da un organismo pubblico (par. 1, lett. a);
• il titolare o il responsabile pubblica i dati di contatto del RPD e li comunica all’autorità di controllo (par. 7).

Sono richiamate anche le Linee guida sui responsabili della protezione dei dati del Gruppo di lavoro articolo 29, nonché il Documento di indirizzo del Garante del 29 aprile 2021 in ambito pubblico, che ribadiscono:

• l’obbligatorietà della designazione per tutti i soggetti pubblici;
• la necessità di pubblicare i contatti del RPD in una sezione del sito facilmente individuabile e accessibile dalla homepage;
• l’uso della procedura online del Garante come unico canale per la comunicazione, variazione o revoca del RPD.

Valutazioni del Garante

L’Autorità ha ritenuto che le dichiarazioni del Comune non fossero sufficienti a determinare l’archiviazione del procedimento. In particolare, ha osservato che la designazione del RPD e i connessi adempimenti di pubblicazione e comunicazione sono stati effettuati solo successivamente all’avvio del procedimento.

Ne consegue la conferma della violazione dell’art. 37, parr. 1 e 7, GDPR, poiché fino a quel momento il Comune non aveva designato il RPD e non aveva reso disponibili, né pubblicamente né all’Autorità, i relativi dati di contatto.

Poiché gli adempimenti sono stati poi eseguiti, il Garante ha escluso l’adozione di specifiche misure correttive ex art. 58, par. 2, lett. d), GDPR.

Sanzione amministrativa e criteri di quantificazione

La violazione è stata inquadrata nell’ambito dell’art. 83, par. 4, GDPR. Nella determinazione dell’importo, il Garante ha considerato:

• la mancata disponibilità di una figura obbligatoria ed essenziale per assicurare il rispetto del Regolamento;
• la successiva attivazione del Comune per porre rimedio alle violazioni;
• l’assenza di precedenti violazioni pertinenti o di precedenti provvedimenti ex art. 58 GDPR.

Alla luce di tali elementi, la sanzione è stata fissata in euro 3.000, ritenuta effettiva, proporzionata e dissuasiva ai sensi dell’art. 83, par. 1, GDPR.

Dispositivo e adempimenti successivi

Il Garante ha quindi:

• dichiarato illecita la condotta del Comune di Palma di Montechiaro per violazione dell’art. 37, parr. 1 e 7, GDPR;
• ordinato il pagamento della sanzione amministrativa pecuniaria di euro 3.000;
• ingiunto il pagamento entro 30 giorni dalla notificazione del provvedimento, con possibilità di definizione agevolata mediante pagamento di metà della sanzione entro lo stesso termine, ai sensi dell’art. 166, comma 8, del Codice.

Sono inoltre disposte:

• la pubblicazione dell’ordinanza ingiunzione sul sito web del Garante;
• la pubblicazione del provvedimento sul sito del Garante;
• l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità.

Tutela giurisdizionale

Contro il provvedimento è ammesso ricorso davanti all’autorità giudiziaria ordinaria, ai sensi dell’art. 78 GDPR, dell’art. 152 del Codice e dell’art. 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all’estero.