Ordinanza ingiunzione o revoca n. 6 del 16/01/2025

Comune di Melito di Napoli: mancata designazione/pubblicazione e comunicazione dei dati di contatto del RPD

Il provvedimento conclude un controllo d’ufficio svolto dal Garante su un ente locale, in relazione agli obblighi connessi alla figura del Responsabile della protezione dei dati (RPD/DPO). L’Autorità ha accertato la mancata pubblicazione sul sito istituzionale dei dati di contatto del RPD, la mancata comunicazione degli stessi all’Autorità e l’assenza di elementi idonei a comprovare la designazione del RPD.

Origine del procedimento

Nel corso delle verifiche, il Garante ha rilevato che il Comune non aveva utilizzato il canale dedicato per la comunicazione dei dati di contatto del RPD previsto dalla procedura online dell’Autorità. Un controllo sul sito web istituzionale non consentiva di reperire tali dati, né di verificare la designazione del responsabile. Con nota di avvio del procedimento, ai sensi dell’art. 166, comma 5, del Codice privacy, è stata contestata la violazione dell’art. 37, parr. 1 e 7, del GDPR e il Comune è stato invitato a presentare difese o a chiedere di essere sentito. Non sono pervenuti scritti difensivi.

Quadro normativo richiamato

Il provvedimento richiama l’art. 37 GDPR, che impone:

• la designazione sistematica del RPD quando il trattamento è effettuato da un’autorità o organismo pubblico, salvo le autorità giurisdizionali nell’esercizio delle funzioni giurisdizionali (par. 1, lett. a);
• la pubblicazione dei dati di contatto del RPD e la loro comunicazione all’autorità di controllo (par. 7).

Sono richiamate anche le Linee guida sui responsabili della protezione dei dati adottate dal Gruppo di lavoro articolo 29 il 13 dicembre 2016 ed emendate il 5 aprile 2017, che chiariscono la finalità della pubblicazione e della comunicazione dei dati di contatto, rendendoli facilmente accessibili a interessati e autorità. È inoltre richiamato il Documento di indirizzo del Garante del 29 aprile 2021 in materia di RPD in ambito pubblico, che specifica le modalità di pubblicazione sul sito dell’amministrazione e indica la procedura online del Garante come unico canale per la comunicazione, variazione o revoca del nominativo del RPD.

Accertamento delle violazioni

All’esito dell’istruttoria, il Garante ha ritenuto accertata:

• la violazione dell’art. 37, par. 7, GDPR, per la mancata pubblicazione e comunicazione dei dati di contatto del RPD;
• la violazione dell’art. 37, par. 1, GDPR, per la mancata dimostrazione dell’effettiva designazione del RPD.

L’assenza di difese del Comune e la persistente mancata pubblicazione sul sito hanno impedito l’archiviazione del procedimento. Il Garante ha rilevato che, in ogni caso, il Comune aveva poi provveduto a comunicare i dati di contatto all’Autorità dopo l’avvio del procedimento, ma ciò non elideva l’illecito già consumato né la persistente inadempienza relativa alla pubblicazione.

Misure correttive ordinate

Ai sensi dell’art. 58, par. 2, lett. d), GDPR, il Garante ha ingiunto al Comune di:

• pubblicare i dati di contatto del RPD sul sito web istituzionale;
• comunicare all’Autorità, entro 30 giorni dalla notifica del provvedimento, un riscontro documentato sulle iniziative intraprese e sulle eventuali ulteriori misure adottate per assicurare la conformità alla normativa privacy.

La base normativa per la richiesta di riscontro è stata individuata anche negli artt. 58, par. 1, lett. a), GDPR, e 157 del Codice.

Sanzione amministrativa pecuniaria

Il Garante ha applicato l’art. 58, par. 2, lett. i), e l’art. 83 GDPR, nonché l’art. 166 del Codice privacy, ritenendo la violazione soggetta alla sanzione dell’art. 83, par. 4, GDPR. Nella quantificazione della sanzione sono stati valutati i criteri dell’art. 83, par. 2, GDPR, in particolare:

• l’incidenza negativa della mancata pubblicazione/comunicazione sulla possibilità per interessati e Autorità di contattare facilmente il RPD;
• l’avvenuta comunicazione all’Autorità solo dopo l’avvio del procedimento;
• l’assenza di precedenti violazioni pertinenti o di precedenti provvedimenti ex art. 58 GDPR.

La sanzione è stata determinata in euro 4.000, considerata effettiva, proporzionata e dissuasiva.

Ulteriori statuizioni

È stata disposta:

• la pubblicazione dell’ordinanza ingiunzione sul sito web del Garante, quale sanzione accessoria;
• la pubblicazione del provvedimento sul sito dell’Autorità;
• l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità.

Il provvedimento richiama infine la facoltà di proporre ricorso all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, dell’art. 152 del Codice e dell’art. 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all’estero.