Ordinanza ingiunzione o revoca n. 377 del 20/06/2024

Comune di XX: sanzione per mancata ottemperanza a un ordine del Garante e per omesso riscontro

Il provvedimento riguarda il Comune di XX, destinatario di una sanzione e di nuovi ordini correttivi in relazione alla persistente pubblicazione sulla propria pagina Facebook di post contenenti dati personali, anche appartenenti a categorie particolari, già oggetto di precedente contestazione.

Fatti e origine del procedimento

Il caso si inserisce nel solco del precedente provvedimento del 24 gennaio 2024, n. 34, con il quale il Garante aveva già sanzionato il Comune per la diffusione online, tramite Facebook, di dati anagrafici, di contatto e relativi alla salute, non adeguatamente oscurati. In quel provvedimento l’Autorità aveva ordinato al Comune di cessare l’ulteriore diffusione dei dati personali pubblicati in specifici post e di fornire entro 30 giorni un riscontro documentato sulle iniziative intraprese.

A seguito delle verifiche successive, il Garante ha accertato che il Comune non aveva fornito alcun riscontro nei termini assegnati e che i post risultavano ancora pubblicati sulla pagina Facebook istituzionale.

Attività istruttoria

Con nota di avvio del procedimento, l’Ufficio ha contestato al Comune:

• l’omissione del riscontro alla richiesta di informazioni dell’Autorità, ai sensi degli artt. 58, par. 1, lett. a), GDPR e 157 del Codice;
• l’omessa ottemperanza all’ordine di cessare la diffusione dei dati, impartito ai sensi dell’art. 58, par. 2, lett. d), GDPR.

Il Comune non ha presentato memorie difensive né ha chiesto di essere sentito.

Violazioni accertate e norme richiamate

Il Garante ha confermato l’illiceità della condotta del Comune per:

• violazione dell’art. 157 del Codice privacy, in connessione con l’art. 58, par. 1, lett. a), GDPR, per non aver fornito le informazioni richieste;
• violazione dell’art. 58, par. 2, lett. d), GDPR, per non aver conformato il trattamento e per non aver cessato la diffusione dei dati personali.

L’Autorità ha richiamato la sanzionabilità delle violazioni ai sensi dell’art. 83, par. 5, GDPR e ha considerato l’art. 83, par. 3, GDPR, poiché le violazioni derivano da un’unica condotta. È stato evidenziato che, in linea astratta, la sanzione massima applicabile è quella prevista fino a 20.000.000 euro.

Valutazioni sulla gravità della condotta

Nel motivare la sanzione, il Garante ha valorizzato diversi profili aggravanti:

• la reiterazione della medesima violazione già censurata nel precedente provvedimento;
• la persistenza online dei post contenenti dati personali oscurati in modo incompleto o non adeguato;
• il contributo ulteriore alla diffusione di dati personali, comprese categorie particolari di dati;
• il carattere doloso della condotta, ravvisato nell’intenzionale mancata conformazione agli ordini impartiti;
• la mancata cooperazione con l’Autorità;
• la precedente violazione per omesso riscontro già contestata nel provvedimento n. 34/2024.

In senso favorevole al Comune è stata considerata solo la limitata dimensione dell’ente, pari a circa 6005 abitanti.

Sanzione pecuniaria e sanzione accessoria

All’esito della valutazione complessiva, il Garante ha irrogato al Comune una sanzione amministrativa pecuniaria di euro 10.000, ritenuta effettiva, proporzionata e dissuasiva ai sensi dell’art. 83, par. 1, GDPR.

È stata inoltre disposta la sanzione accessoria della pubblicazione del provvedimento sul sito web del Garante, ai sensi dell’art. 166, comma 7, del Codice, ritenendo sussistenti i presupposti previsti dal Regolamento del Garante n. 1/2019.

Misure correttive e ordini impartiti

Il Garante ha nuovamente ordinato al Comune:

• di cessare l’ulteriore diffusione dei dati personali contenuti nei post ancora consultabili sulla pagina Facebook istituzionale;
• di comunicare all’Autorità, entro 30 giorni dalla notifica del provvedimento, con riscontro adeguatamente documentato, le iniziative adottate per dare esecuzione all’ordine e le eventuali misure intraprese per garantire la conformità del trattamento alla normativa.

Impugnazioni

Avverso il provvedimento è possibile proporre ricorso dinanzi all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 del Codice e 10 del d.lgs. n. 150/2011, entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all’estero.