Ordinanza ingiunzione o revoca n. 483 del 11/09/2025

Comune di Buccino: diffusione illecita di immagini di minori e omessa pubblicazione dei contatti del RPD

Il provvedimento riguarda il Comune di Buccino ed è originato da una segnalazione relativa alla pubblicazione, sulla pagina Facebook istituzionale, di immagini di minori e di soggetti con disabilità mentale. Nel corso dell’istruttoria il Garante ha inoltre rilevato che il sito istituzionale del Comune non riportava i dati di contatto del Responsabile della protezione dei dati, pur essendo ciò obbligatorio.

Origine del procedimento e attività istruttoria

L’Autorità è intervenuta a seguito di una segnalazione ex art. 144 del Codice privacy, dalla quale emergeva la presenza sulla pagina Facebook del Comune di molteplici post contenenti foto di minori e di persone ricoverate presso una struttura del Comune. L’Ufficio ha avviato il procedimento contestando inizialmente la mancanza di base giuridica per la diffusione e la violazione dei principi di base del trattamento.

Successivamente, a fronte di una nuova segnalazione, l’Autorità ha accertato ulteriori pubblicazioni di volti di bambini, anche in video, nonché la permanenza online di alcuni dei post già contestati. È stato inoltre verificato che sul sito istituzionale non risultavano pubblicati i dati di contatto del RPD, benché l’informativa privacy facesse riferimento alla sua designazione.

Trattamenti esaminati

Il Garante ha esaminato due distinti profili:

• la diffusione, tramite pagina Facebook del Comune, di immagini riconducibili a minori e, in un caso, a soggetti con disabilità mentale;
• l’omessa pubblicazione sul sito istituzionale dei dati di contatto del Responsabile della protezione dei dati, e la mancata indicazione degli stessi nell’informativa privacy.

Per quanto riguarda le immagini, l’Autorità ha ritenuto che si trattasse di trattamento di dati personali e, in alcuni casi, di categorie particolari di dati, suscettibili di rivelare informazioni sulla salute.

Violazioni contestate e quadro normativo

Per la diffusione delle immagini il Comune è stato ritenuto in violazione di:

• art. 5, par. 1, lett. a) e c), GDPR, per violazione dei principi di liceità, correttezza, trasparenza e minimizzazione;
• art. 6, parr. 1, lett. c) ed e), 2 e 3, lett. b), GDPR, per mancanza di base giuridica adeguata;
• art. 9 GDPR, per il trattamento di categorie particolari di dati;
• artt. 2-ter, commi 1 e 3, 2-sexies e 2-septies, comma 8, del Codice privacy.

Per la mancata pubblicazione dei contatti del RPD sono stati richiamati:

• art. 37, par. 7, GDPR, sull’obbligo di pubblicazione e comunicazione dei dati di contatto;
• art. 13, par. 1, lett. b), GDPR, che impone di indicare tali dati nell’informativa agli interessati.

Valutazioni del Garante sulla diffusione delle immagini

L’Autorità ha ritenuto non fondata la difesa del Comune secondo cui le foto sarebbero state relative a eventi pubblici e comunque inidonee a ledere dati sensibili. Il Garante ha sottolineato che la diffusione su social network ha un’alta capacità espansiva e che, in contesti territoriali ristretti, anche immagini parzialmente oscurate o pixelate possono consentire l’identificazione degli interessati per elementi di contesto.

È stato inoltre evidenziato che, per i soggetti pubblici, la diffusione di dati personali è ammessa solo se prevista da una norma di legge, di regolamento o da atti amministrativi generali. Il Comune non ha indicato una base giuridica idonea, e il Garante ha escluso che il consenso degli interessati potesse assumere rilievo come fondamento del trattamento in questo contesto.

Valutazioni sull’omessa pubblicazione dei dati del RPD

Quanto al RPD, il Garante ha ricordato che l’art. 37, par. 7, GDPR impone al titolare di pubblicare i dati di contatto del responsabile e di comunicarli all’Autorità di controllo. Nel settore pubblico, tale pubblicazione deve avvenire in una sezione facilmente accessibile del sito istituzionale e anche nell’area dedicata all’organigramma e ai contatti.

Nel caso concreto, l’Autorità ha accertato che i dati di contatto non erano reperibili sul sito del Comune e che l’informativa privacy riportava solo un generico riferimento alla designazione del RPD, senza indicarne i recapiti. La violazione è stata quindi ritenuta perdurante e non sanata.

Misure correttive ordinate

Ai sensi dell’art. 58, par. 2, lett. d), GDPR, il Garante ha ingiunto al Comune di:

• cessare l’ulteriore diffusione dei dati personali contenuti nei post indicati e in quelli analoghi, anche successivi;
• pubblicare i dati di contatto del RPD sul sito istituzionale;
• indicare gli stessi dati anche nell’informativa privacy presente sul sito.

Il Comune deve inoltre comunicare all’Autorità, entro trenta giorni dalla notifica, le iniziative adottate e le eventuali ulteriori misure per assicurare la conformità del trattamento.

Sanzione amministrativa e criteri di quantificazione

Il Garante ha ritenuto applicabile l’art. 83, par. 5, GDPR per entrambe le condotte. Considerata l’unitarietà della prima condotta, la sanzione è stata quantificata in 4.000 euro per la diffusione illecita delle immagini; per la seconda condotta, relativa al RPD, in 2.000 euro.

Nella quantificazione sono stati considerati, tra gli altri elementi:

• la natura pubblica e social del trattamento;
• la durata prolungata della diffusione;
• la presenza di soggetti vulnerabili, in particolare minori;
• la delicatezza di alcuni dati, potenzialmente idonei a rivelare lo stato di salute;
• la mancata rimozione di tutti i post contestati;
• le ridotte dimensioni demografiche del Comune;
• l’assenza di precedenti pertinenti per la seconda violazione.

La sanzione complessiva è stata quindi determinata in 6.000 euro, ritenuta effettiva, proporzionata e dissuasiva.

Ulteriori disposizioni

Il Garante ha disposto:

• la pubblicazione dell’ordinanza ingiunzione sul sito internet dell’Autorità, ai sensi dell’art. 166, comma 7, del Codice;
• la pubblicazione del provvedimento sul sito del Garante;
• l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità.

È stato infine indicato il termine per l’eventuale ricorso davanti all’autorità giudiziaria ordinaria, nei termini previsti dagli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. 150/2011.