Ordinanza ingiunzione o revoca n. 406 del 04/07/2024

Lapis s.a.s. – trattamento senza accordo ex art. 28 GDPR nell’app "TrevisoSicura"

Il Garante ha sanzionato Lapis s.a.s. per aver trattato dati personali per conto del Comune di Treviso nell’ambito dell’applicazione "TrevisoSicura" senza la preventiva stipula di un contratto o altro atto giuridico conforme al GDPR. Il procedimento si inserisce nella più ampia istruttoria avviata nei confronti del Comune e riguarda il rapporto con la società che aveva sviluppato, gestito e mantenuto l’app.

Origine e svolgimento dell’istruttoria

L’Autorità è venuta a conoscenza della vicenda tramite un articolo di stampa relativo all’app messa a disposizione dei cittadini per segnalare reati alla Polizia locale. A seguito dell’attività istruttoria, il Garante ha notificato alla società l’avvio del procedimento per la possibile violazione dell’art. 28, par. 3, GDPR, invitandola a presentare memorie o a essere sentita.

La società ha rappresentato, in sintesi, di aver sviluppato l’app su richiesta del Comune a partire dal 2020, che il rapporto sarebbe stato regolato solo in modo minimale, e che nel 2022 aveva segnalato al Comune la necessità di una nomina come responsabile esterno per le attività di manutenzione. Ha inoltre riferito che il contratto non era stato rinnovato e che l’app era stata disattivata dal 2 gennaio 2023.

Qualificazione del ruolo e trattamento esaminato

Il Garante ha ritenuto che la società avesse agito come responsabile del trattamento ai sensi dell’art. 4, n. 8, GDPR, poiché trattava i dati degli utenti per conto del Comune nell’ambito delle attività di gestione e manutenzione dell’app. Il trattamento contestato si è svolto dal 27 luglio 2020 al 31 dicembre 2022.

Violazione accertata: mancata stipula dell’accordo sulla protezione dei dati

L’Autorità ha rilevato che, ai sensi dell’art. 28, par. 3, GDPR, i trattamenti affidati a un responsabile devono essere disciplinati da un contratto o altro atto giuridico vincolante, che indichi materia, durata, natura e finalità del trattamento, tipo di dati, categorie di interessati, obblighi e diritti del titolare, oltre alle altre garanzie previste dalla norma. Il contratto o atto deve essere stipulato in forma scritta, anche elettronica, ex art. 28, par. 9, GDPR.

Richiamando le Linee guida EDPB 07/2020 sui concetti di titolare e responsabile, il Garante ha ricordato che l’assenza di un valido atto scritto integra una violazione dell’art. 28, par. 3, anche quando in concreto il rapporto titolare-responsabile sia desumibile dall’assetto fattuale. Nel caso esaminato, il rapporto tra Comune e società non era stato formalizzato in un accordo sulla protezione dei dati prima dell’inizio del trattamento.

Valutazioni del Garante e criteri sanzionatori

Ai fini della quantificazione della sanzione, l’Autorità ha considerato diversi elementi ex art. 83, par. 2, GDPR:

• durata del trattamento e delle violazioni;
• numero contenuto di segnalazioni (414) rispetto agli abitanti del Comune (circa 85.000);
• assenza di un corretto inquadramento privacy anche nel contratto di manutenzione;
• carattere colposo della violazione;
• assenza di precedenti violazioni pertinenti;
• iniziativa della società nel segnalare al Comune la necessità della nomina/accordo;
• rischio, seppure non concretizzatosi come dato certo, di inserimento di dati particolari o relativi a reati tramite testo libero.

Il Garante ha qualificato la gravità complessiva come media e ha richiamato le Linee guida EDPB 4/2022 sul calcolo delle sanzioni amministrative pecuniarie.

Decisione finale, sanzione e adempimenti

Il Garante ha dichiarato l’illiceità del trattamento effettuato da Lapis s.a.s. per violazione dell’art. 28, par. 3, GDPR e ha ordinato il pagamento della sanzione amministrativa pecuniaria di 1.500 euro.

Ha inoltre precisato che la società poteva definire la controversia pagando, entro 30 giorni, la metà della sanzione ai sensi dell’art. 166, comma 8, del Codice privacy; in difetto, avrebbe dovuto pagare l’importo ingiunto entro 30 giorni dalla notificazione, con possibilità di attivazione delle misure esecutive previste dalla l. n. 689/1981.

Sono stati disposti anche:

• la pubblicazione del provvedimento sul sito del Garante;
• l’annotazione nel registro interno delle violazioni e delle misure adottate.

Il Garante non ha ritenuto necessario adottare ulteriori misure correttive ex art. 58, par. 2, GDPR, poiché il rapporto contrattuale era cessato e le funzionalità di segnalazione dell’app erano state disattivate.

Tutela giurisdizionale

Contro il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 del Codice privacy e 10 del d.lgs. n. 150/2011, entro 30 giorni dalla comunicazione, o entro 60 giorni se il ricorrente risiede all’estero.