Ordinanza ingiunzione o revoca n. 697 del 14/11/2024

Comune di Torre Annunziata - omessa comunicazione dei dati di contatto del RPD al Garante

Il provvedimento riguarda il Comune di Torre Annunziata ed è conseguente a controlli d’ufficio del Garante. L’Autorità ha accertato la mancata comunicazione dei dati di contatto del Responsabile della protezione dei dati all’Autorità di controllo, nonostante la pubblicazione di tali dati sul sito istituzionale dell’ente.

Fatti e avvio del procedimento

Nel corso di una verifica effettuata in data non indicata nel testo, il Garante ha riscontrato che il Comune non aveva assolto all’obbligo previsto dall’art. 37, par. 7, GDPR, ossia la comunicazione all’Autorità dei dati di contatto del RPD tramite l’apposito canale online dedicato. La contestuale verifica sul sito web del Comune ha invece mostrato che i dati di contatto del RPD erano stati pubblicati, come pure richiesto dalla medesima disposizione.

Con nota di avvio del procedimento, adottata ai sensi dell’art. 166, comma 5, del Codice privacy, l’Ufficio ha contestato la violazione dell’art. 37, par. 7, GDPR e ha avviato il procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, GDPR.

Difese del Comune e sanatoria successiva

Il Comune ha presentato scritti difensivi nei quali ha ammesso l’omissione, spiegando il contesto in cui si era verificata. Ha inoltre dichiarato di aver successivamente adempiuto all’obbligo di comunicazione del RPD attraverso il canale istituito dal Garante, anche se dopo l’avvio del procedimento. Il provvedimento dà atto che tale comunicazione è stata poi effettivamente eseguita in data successiva.

Quadro normativo richiamato

Il Garante ha richiamato:

• l’art. 37, par. 1, lett. a), GDPR, che impone la designazione del RPD per i trattamenti effettuati da un’autorità pubblica o da un organismo pubblico;
• l’art. 37, par. 7, GDPR, che impone la pubblicazione dei dati di contatto del RPD e la loro comunicazione all’autorità di controllo;
• le Linee guida sui responsabili della protezione dei dati adottate dal Gruppo di lavoro articolo 29 il 13 dicembre 2016 e aggiornate il 5 aprile 2017, in particolare il par. 2.6, che sottolinea la finalità di rendere agevole il contatto con il RPD per interessati e autorità;
• il Documento di indirizzo del Garante del 29 aprile 2021, provvedimento n. 186, che precisa che per gli enti pubblici il canale online https://servizi.gpdp.it/comunicazionerpd/s/ costituisce l’unico strumento per la comunicazione, la variazione e la revoca del nominativo del RPD.

Valutazione dell’Autorità

Il Garante ha ritenuto accertata la violazione dell’art. 37, par. 7, GDPR in ragione della mancata comunicazione dei dati di contatto del RPD all’Autorità. Ha osservato che le dichiarazioni del Comune, pur meritevoli di considerazione, non erano idonee a superare i rilievi contenuti nell’atto di avvio del procedimento e non consentivano l’archiviazione. Il provvedimento esclude altresì la ricorrenza dei casi previsti dall’art. 11 del regolamento del Garante n. 1/2019.

Poiché il Comune aveva comunque provveduto alla comunicazione dopo l’avvio del procedimento, il Garante ha escluso l’adozione di misure correttive ai sensi dell’art. 58, par. 2, GDPR, ritenendo però sussistente la condotta illecita da sanzionare.

Sanzione amministrativa pecuniaria

L’Autorità ha fatto applicazione dell’art. 58, par. 2, lett. i), e dell’art. 83 GDPR, nonché dell’art. 166 del Codice privacy. La violazione è stata ricondotta all’art. 83, par. 4, GDPR.

Nella quantificazione della sanzione il Garante ha considerato, ai sensi dell’art. 83, par. 2, GDPR:

• l’incidenza negativa della mancata comunicazione sulla possibilità dell’Autorità di contattare il RPD in modo facile e diretto;
• l’attivazione del Comune per rimediare alla violazione;
• l’assenza di precedenti violazioni pertinenti o di precedenti provvedimenti ex art. 58 GDPR;
• il carattere colposo della condotta.

Sulla base di tali elementi la sanzione è stata determinata in euro 2.000, ritenuta effettiva, proporzionata e dissuasiva ai sensi dell’art. 83, par. 1, GDPR.

Misure accessorie, pubblicazione e rimedi

Il Garante ha disposto:

• la pubblicazione dell’ordinanza ingiunzione sul sito web dell’Autorità, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16 del regolamento n. 1/2019;
• la pubblicazione del provvedimento sul sito internet del Garante, ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del regolamento n. 1/2019;
• l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità, ai sensi dell’art. 17 del regolamento n. 1/2019 e dell’art. 57, par. 1, lett. u), GDPR.

È stato inoltre richiamato il diritto del trasgressore di definire la controversia mediante pagamento in misura ridotta pari alla metà della sanzione, entro 30 giorni dalla notifica, ai sensi dell’art. 166, comma 8, del Codice e dell’art. 10, comma 3, del d.lgs. 150/2011. Contro il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione, o entro 60 giorni se il ricorrente risiede all’estero.