Ordinanza ingiunzione o revoca n. 199 del 11/04/2024

Libero Consorzio comunale di Enna: violazioni in materia di RPD/DPO

Il provvedimento riguarda il Libero Consorzio comunale di Enna e trae origine da verifiche del Garante sul sito istituzionale dell’ente, dalle quali non risultavano i dati di contatto del Responsabile della protezione dei dati personali né la comunicazione di tali dati all’Autorità. Nel corso dell’istruttoria è emerso anche che la designazione del RPD non era stata tempestiva e che il soggetto nominato cumulava ulteriori incarichi interni suscettibili di determinare un conflitto di interessi.

Origine dell’istruttoria e contestazioni

L’Autorità ha avviato il procedimento ai sensi dell’art. 166, comma 5, del Codice privacy, contestando inizialmente:

• la mancata pubblicazione e comunicazione dei dati di contatto del RPD, in violazione dell’art. 37, parr. 1 e 7, GDPR;
• la mancata dimostrazione dell’effettiva designazione del RPD;
• successivamente, la designazione di un RPD incompatibile per cumulo di funzioni, in violazione dell’art. 38, parr. 2 e 6, GDPR.

Il Consorzio ha presentato memorie difensive, allegando una relazione del RPD e richiamando le difficoltà organizzative dell’ente, le ridotte dimensioni della struttura, le risorse disponibili e l’asserita assenza di conflitti di interessi. Ha inoltre dichiarato di aver pubblicato i dati di contatto sul sito e di aver provveduto, seppur tardivamente, alla comunicazione al Garante.

Quadro normativo richiamato

Il Garante ha richiamato in particolare:

• art. 37, parr. 1, lett. a), e 7, GDPR, sulla designazione del RPD e sulla pubblicazione/comunicazione dei dati di contatto;
• art. 38, parr. 2 e 6, GDPR, sull’indipendenza del RPD e sull’assenza di conflitti di interessi;
• art. 39, par. 1, lett. a), GDPR, sui compiti del RPD;
• considerando 97 GDPR;
• le Linee guida WP29 sui responsabili della protezione dei dati, in particolare i paragrafi 2.6, 3.2 e 3.5;
• il Documento di indirizzo del Garante del 29 aprile 2021 sulla designazione, posizione e compiti del RPD in ambito pubblico.

Valutazioni del Garante sulla designazione del RPD

L’Autorità ha ritenuto accertato che il Consorzio abbia provveduto alla designazione del RPD solo nel 2021/2022 indicati nel provvedimento come XX, quindi dopo oltre tre anni e mezzo dall’entrata in vigore del GDPR. Poiché si tratta di un soggetto pubblico, l’obbligo di designazione è obbligatorio, e il ritardo integra una violazione dell’art. 37, par. 1, GDPR.

Il Garante ha inoltre osservato che la documentazione difensiva non era sufficiente a giustificare il ritardo, pur tenendo conto delle difficoltà organizzative rappresentate dall’ente.

Comunicazione e pubblicazione dei dati di contatto

Il provvedimento accerta anche la violazione dell’art. 37, par. 7, GDPR, perché la comunicazione dei dati di contatto del RPD all’Autorità è avvenuta solo dopo la contestazione del Garante. Quanto alla pubblicazione sul sito istituzionale, le schermate prodotte non sono state ritenute idonee a provare una reale ostensione dei dati di contatto, poiché rinviavano ad atti di designazione o ad adempimenti in materia di trasparenza che non rendevano immediatamente individuabile il RPD da parte degli interessati.

Il Garante ha ribadito che la finalità della norma è consentire agli interessati e all’Autorità un contatto facile e diretto con il RPD, senza passaggi intermedi o difficoltà di reperimento delle informazioni.

Conflitto di interessi e adeguatezza delle risorse

Un ulteriore profilo di violazione è stato ravvisato nell’art. 38, parr. 2 e 6, GDPR. Il soggetto designato come RPD era contemporaneamente responsabile di diversi servizi dell’ente, tra cui segreteria del dirigente del settore I, assistenza agli organi, sistemi informatici, turismo e servizio legale.

Secondo il Garante, tale cumulo di incarichi può compromettere:

• l’indipendenza del RPD;
• la disponibilità di tempo sufficiente per svolgere i compiti di controllo e consulenza;
• l’assenza di conflitti di interessi, in quanto talune funzioni interne possono comportare la definizione di finalità o modalità del trattamento.

L’Autorità ha richiamato le linee guida europee e il proprio documento di indirizzo del 2021, evidenziando che il caso va valutato concretamente, ma che ruoli come responsabile IT, risorse umane, contabilità o comunque posizioni manageriali o comunque incidenti sui trattamenti presentano frequentemente profili di incompatibilità.

Esito: illecito accertato e sanzione

All’esito dell’istruttoria il Garante ha confermato tre violazioni:

• mancata designazione del RPD fino al periodo indicato nel provvedimento, in violazione dell’art. 37, par. 1, GDPR;
• tardiva pubblicazione e comunicazione dei dati di contatto del RPD, in violazione dell’art. 37, par. 7, GDPR;
• designazione di un RPD privo di adeguate risorse e in possibile conflitto di interessi, in violazione dell’art. 38, parr. 2 e 6, GDPR.

Tenuto conto della natura colposa della condotta, dell’attivazione dell’ente per rimediare, dell’assenza di precedenti specifici e dell’esigenza di una misura effettiva, proporzionata e dissuasiva ai sensi dell’art. 83 GDPR, il Garante ha determinato la sanzione in euro 6.000 complessivi.

Dispositivo e termini

Il Garante ha quindi:

• ordinato al Libero Consorzio comunale di Enna il pagamento di euro 6.000;
• ingiunto il pagamento entro 30 giorni dalla notificazione del provvedimento, con applicazione delle ordinarie conseguenze esecutive in caso di inadempimento;
• ricordato la possibilità di definire la controversia pagando metà della sanzione entro 30 giorni ai sensi dell’art. 166, comma 8, del Codice;
• disposto la pubblicazione del provvedimento sul sito del Garante;
• disposto l’annotazione nel registro interno delle violazioni e delle misure adottate.

È altresì indicata la possibilità di proporre ricorso davanti all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione del provvedimento, o 60 giorni se il ricorrente risiede all’estero.