Ordinanza ingiunzione o revoca n. 8 del 11/01/2024

Provincia di Catanzaro - omessa comunicazione dei dati di contatto del RPD all’Autorità

Il Garante per la protezione dei dati personali ha sanzionato la Provincia di Catanzaro per non aver comunicato all’Autorità i dati di contatto del Responsabile della protezione dei dati, pur avendo pubblicato tali dati sul proprio sito istituzionale. Il procedimento è stato avviato a seguito di verifiche d’ufficio e si è concluso con l’accertamento della violazione dell’art. 37, par. 7, GDPR.

Fatti e avvio del procedimento

A seguito di un controllo sul sito istituzionale della Provincia, l’Autorità ha rilevato che i dati di contatto del RPD erano stati pubblicati online, ma non risultava effettuata la prescritta comunicazione al Garante tramite l’apposito canale telematico predisposto dall’Autorità. Con nota di avvio del procedimento, la Provincia è stata contestata della violazione e invitata a presentare scritti difensivi o a chiedere audizione ai sensi dell’art. 166 del Codice privacy.

Difese della Provincia

La Provincia ha sostenuto di aver provveduto con immediatezza, in data 27 aprile, alla comunicazione dei dati di contatto del RPD tramite il canale indicato. Ha inoltre richiamato le difficoltà organizzative connesse alla crisi economico-finanziaria delle Province, alla riduzione dell’organico e agli effetti della pandemia, che avrebbero inciso sulla gestione degli adempimenti amministrativi.

Valutazioni del Garante e norme richiamate

Il Garante ha richiamato l’art. 37, par. 1, lett. a), GDPR, che impone la designazione del RPD per le autorità e gli organismi pubblici, e soprattutto il par. 7 del medesimo articolo, che richiede la pubblicazione e la comunicazione dei dati di contatto all’autorità di controllo. Sono state richiamate anche le Linee guida del Gruppo art. 29 e il documento di indirizzo del Garante del 29 aprile 2021 sul RPD in ambito pubblico, che identifica la procedura online come unico canale per la comunicazione, la variazione e la revoca.

Accertamento dell’illecito

Poiché la comunicazione all’Autorità non era stata effettuata nei termini e con le modalità richieste, il Garante ha ritenuto accertata la violazione dell’art. 37, par. 7, GDPR. Le difese dell’Ente non sono state ritenute idonee a giustificare l’omissione né a consentire l’archiviazione del procedimento.

Sanzione, pubblicazione e termini di pagamento

L’Autorità ha applicato una sanzione amministrativa pecuniaria pari a 2.000 euro, ritenendola effettiva, proporzionata e dissuasiva ai sensi dell’art. 83, par. 1, GDPR. Nella quantificazione sono stati considerati: l’incidenza della violazione sulla possibilità del Garante di contattare facilmente il RPD, l’attivazione successiva della Provincia per rimediare, l’assenza di precedenti e il carattere colposo della condotta.

È stata inoltre disposta la pubblicazione del provvedimento sul sito del Garante ai sensi dell’art. 166, comma 7, del Codice privacy. La Provincia deve pagare la sanzione entro 30 giorni dalla notificazione, restando ferma la possibilità di definizione agevolata con il pagamento della metà dell’importo entro lo stesso termine, secondo l’art. 166, comma 8, del Codice.

Impugnazione

Contro il provvedimento è ammesso ricorso dinanzi all’autorità giudiziaria ordinaria nei termini di cui agli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. 150/2011: 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.