Ordinanza ingiunzione o revoca n. 373 del 20/06/2024

Grafiche E. Gaspari S.r.l. – trattamento illecito per mancata designazione ex art. 28 GDPR nella gestione del sito del Comune di Nepi

Il Garante ha esaminato il trattamento di dati personali effettuato da Grafiche E. Gaspari S.r.l. nell’ambito dei servizi resi al Comune di Nepi per la gestione del sito web istituzionale. Il procedimento trae origine da un reclamo relativo alla pubblicazione online di una graduatoria concorsuale contenente dati personali dell’interessata, ma l’istruttoria ha portato a contestare alla società soprattutto la mancata regolamentazione del rapporto con il Comune ai sensi dell’art. 28 GDPR fino al 3 novembre 2022.

Origine del procedimento e oggetto dell’istruttoria

L’Autorità ha chiarito che il provvedimento riguarda esclusivamente i trattamenti effettuati dal Comune di Nepi e, per suo conto, dalla società nell’ambito della gestione del sito istituzionale, restando esclusi eventuali altri trattamenti connessi a servizi ulteriori. Il Comune aveva dichiarato di essersi attivato per rimuovere la pagina contenente la graduatoria e, solo in un momento successivo, di avere predisposto e sottoscritto un accordo ex art. 28 GDPR con la società.

Posizione difensiva della società

La società ha sostenuto di essere solo un intermediario commerciale e tecnico, di non avere mai gestito dati degli utenti o pubblicato dati personali sul sito del Comune e di non avere necessità di una formale nomina a responsabile del trattamento. Ha inoltre sostenuto che i contenuti del sito venivano caricati autonomamente dall’amministratore di sistema del Comune e che l’intervento del 18 febbraio 2022, con la rimozione del file della graduatoria, sarebbe stato una attività straordinaria e non ordinaria.

Qualificazione del ruolo: responsabile del trattamento

Il Garante ha ricostruito il quadro normativo di riferimento richiamando le definizioni di titolare e responsabile del trattamento, gli artt. 24, 28 e 32 GDPR e il considerando 81. Ha affermato che la società, svolgendo funzioni di "superamministratore" dei profili di accesso e intervenendo sulla rimozione del file, ha comunque posto in essere operazioni che integrano un trattamento di dati personali ai sensi dell’art. 4, n. 2, GDPR, effettuato per conto e nell’interesse del Comune. Ne consegue che la società doveva essere formalmente regolata quale responsabile del trattamento.

Mancata regolamentazione del rapporto e illiceità del trattamento

Secondo l’Autorità, il contratto o altro atto giuridico ex art. 28 GDPR è necessario non solo per ragioni formali, ma per assicurare che il trattamento sia svolto entro limiti e istruzioni documentate del titolare. La stipula dell’accordo solo il 3 novembre 2022 ha lasciato scoperto per un lungo periodo il trattamento effettuato dalla società. In assenza di altri presupposti di liceità, il Garante ha ritenuto violati gli artt. 5, par. 1, lett. a), e 6 GDPR e l’art. 2-ter del Codice privacy, evidenziando che le basi giuridiche di cui all’art. 6, par. 1, lett. c) ed e), legittimano il titolare, non il soggetto che tratta per suo conto senza valida designazione.

Profili temporali e natura permanente dell’illecito

Il provvedimento precisa che, ai fini della sanzione amministrativa, occorre applicare le norme vigenti al momento della cessazione della condotta illecita, in base al principio di legalità di cui all’art. 1, comma 2, della l. n. 689/1981. Poiché la violazione ha natura permanente, il momento rilevante è stato individuato nella stipula dell’accordo ex art. 28 GDPR del 3 novembre 2022. Il Garante richiama anche il previgente art. 29 del Codice privacy, evidenziando che già sotto il vecchio quadro normativo era richiesta la formalizzazione del rapporto tra titolare e responsabile.

Determinazione della sanzione amministrativa pecuniaria

Il Garante ha applicato l’art. 83, par. 3, GDPR, trattandosi di un’unica condotta da cui derivavano più violazioni. Il massimo teorico della sanzione era quello previsto dall’art. 83, par. 5, GDPR, fino a 20 milioni di euro, anche se il fatturato 2022 della società era pari a euro 10.506.637. Nel quantificare la sanzione, l’Autorità ha considerato:

• la natura, gravità e durata della violazione, che ha coinvolto i dati personali di tutti gli utenti del sito e di altri interessati i cui dati erano pubblicati;
• l’assenza di dati appartenenti a categorie particolari o relativi a condanne penali e reati;
• la cooperazione prestata dalla società nel corso dell’istruttoria;
• l’assenza di precedenti violazioni pertinenti;
• il supporto operativo fornito al Comune per rimediare alla pubblicazione online della graduatoria.

All’esito, la sanzione è stata fissata in euro 12.000, ritenuta effettiva, proporzionata e dissuasiva ai sensi dell’art. 83, par. 1, GDPR.

Dispositivi finali e ulteriori conseguenze

Nel dispositivo finale il Garante:

• dichiara l’illiceità del trattamento effettuato dalla società per violazione degli artt. 5, par. 1, lett. a), e 6 GDPR e dell’art. 2-ter del Codice privacy;
• ordina il pagamento della sanzione di euro 12.000;
• ricorda la facoltà di definizione agevolata con pagamento della metà entro 30 giorni ai sensi dell’art. 166, comma 8, del Codice privacy;
• ingiunge il pagamento entro 30 giorni dalla notificazione in caso di mancata definizione;
• dispone la pubblicazione del provvedimento sul sito del Garante ai sensi dell’art. 166, comma 7, del Codice;
• dispone l’annotazione nel registro interno delle violazioni e delle misure adottate.

È inoltre indicata la possibilità di ricorso all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione del provvedimento, ovvero 60 giorni se il ricorrente risiede all’estero.