Ordinanza ingiunzione o revoca n. 7 del 11/01/2024

Libero Consorzio comunale di Caltanissetta: mancata comunicazione dei dati di contatto del RPD all’Autorità e sanzione

Il Garante ha esaminato la condotta del Libero Consorzio comunale di Caltanissetta, ente pubblico che aveva pubblicato sul proprio sito istituzionale i dati di contatto del Responsabile della protezione dei dati, senza però comunicarli all’Autorità di controllo tramite il canale dedicato. Il procedimento è stato definito con ordinanza-ingiunzione e ha portato all’accertamento dell’illecito e all’irrogazione di una sanzione amministrativa pecuniaria.

Fatti e avvio del procedimento

A seguito di un controllo sul sito web istituzionale del Consorzio, il Garante ha rilevato che i dati di contatto del RPD erano disponibili online, ma non risultava effettuata la comunicazione all’Autorità. L’Ufficio ha quindi notificato l’avvio del procedimento ai sensi dell’art. 166, comma 5, del Codice, contestando la violazione dell’art. 37, par. 7, GDPR. Al Consorzio è stato concesso di presentare scritti difensivi o di chiedere audizione.

Difese dell’ente e valutazione del Garante

Il Consorzio ha rappresentato difficoltà organizzative legate alla significativa riduzione del personale, al mancato turnover per il blocco delle assunzioni e all’impatto del periodo Covid e post Covid sul funzionamento dei servizi, anche per il ricorso allo smart working. Il Garante ha preso atto di tali elementi, ma ha ritenuto che non fossero sufficienti a giustificare l’omissione né a consentire l’archiviazione del procedimento.

Quadro normativo richiamato

Il provvedimento richiama:

• l’art. 37, par. 1, lett. a), GDPR, che impone la designazione del RPD per le autorità e gli organismi pubblici;
• l’art. 37, par. 7, GDPR, che prevede la pubblicazione e la comunicazione dei dati di contatto del RPD all’autorità di controllo;
• le Linee guida del Gruppo art. 29 sui RPD, che chiariscono la finalità di rendere agevole il contatto con il RPD da parte di interessati e autorità;
• il Documento di indirizzo del Garante del 29 aprile 2021 sul RPD in ambito pubblico, che indica la procedura online come unico canale per la comunicazione, variazione e revoca dei dati del RPD.

Violazione accertata

Il Garante ha ritenuto accertata la violazione dell’art. 37, par. 7, GDPR, sottolineando che la mancata comunicazione dei dati di contatto del RPD ha inciso negativamente sulla possibilità per l’Autorità di contattarlo in modo facile e diretto. La condotta è stata qualificata come illecita.

Sanzione e criteri di quantificazione

Per la determinazione della sanzione, il Garante ha fatto riferimento agli artt. 58, par. 2, lett. i), e 83 GDPR, nonché all’art. 166 del Codice. Ha considerato, ai sensi dell’art. 83, par. 2, GDPR:

• l’effetto pregiudizievole della mancata comunicazione sulla contattabilità del RPD;
• l’avvenuta regolarizzazione, poiché il Consorzio ha comunicato i dati di contatto all’Autorità il 30 maggio 2023;
• l’assenza di precedenti violazioni pertinenti o di precedenti provvedimenti ex art. 58 GDPR;
• il carattere colposo della violazione.

Sulla base di tali elementi, è stata irrogata una sanzione amministrativa pecuniaria di euro 2.000, ritenuta effettiva, proporzionata e dissuasiva.

Misure accessorie, pagamento e impugnazione

Oltre alla sanzione pecuniaria, il Garante ha disposto la pubblicazione del provvedimento sul proprio sito web ai sensi dell’art. 166, comma 7, del Codice, ritenendola opportuna per il mancato assolvimento di un adempimento divenuto obbligatorio da oltre cinque anni. Il Consorzio deve pagare entro 30 giorni dalla notificazione, con richiamo alla facoltà di definire la controversia pagando metà della sanzione entro lo stesso termine, ai sensi dell’art. 166, comma 8, del Codice. È inoltre indicata la possibilità di ricorso all’autorità giudiziaria ordinaria entro 30 giorni, ovvero 60 giorni se il ricorrente risiede all’estero.