Ordinanza ingiunzione o revoca n. 698 del 14/11/2024

Comune di Maddaloni – omessa comunicazione dei dati di contatto del RPD al Garante

Il provvedimento riguarda il Comune di Maddaloni ed è stato adottato a seguito di controlli d’ufficio svolti dal Garante. L’Autorità ha accertato la mancata comunicazione dei dati di contatto del Responsabile della protezione dei dati all’Autorità di controllo, in violazione dell’art. 37, par. 7, GDPR, pur a fronte della pubblicazione di tali dati sul sito istituzionale dell’ente.

Fatti e origine del procedimento

Nel corso della verifica, il Garante ha rilevato che il Comune non aveva utilizzato l’apposita procedura online predisposta dall’Autorità per la comunicazione dei dati di contatto del RPD. Contestualmente, era stata invece riscontrata la pubblicazione dei dati di contatto sul sito web del Comune. Sulla base di tali elementi, l’Ufficio ha notificato l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, GDPR.

Difese del Comune e regolarizzazione tardiva

Il Comune, negli scritti difensivi, ha ammesso l’omissione e ha illustrato il contesto nel quale era maturata. Ha inoltre dichiarato di aver provveduto alla comunicazione dei dati di contatto del RPD, adempimento poi effettivamente eseguito nella medesima data. Il Garante ha tuttavia ritenuto che la regolarizzazione successiva all’avvio del procedimento non fosse sufficiente a superare la violazione già consumata.

Quadro normativo richiamato

Il provvedimento richiama:

• l’art. 37, par. 1, lett. a), GDPR, che impone la designazione del RPD nelle pubbliche amministrazioni;
• l’art. 37, par. 7, GDPR, che prevede la pubblicazione dei dati di contatto del RPD e la loro comunicazione all’autorità di controllo;
• le Linee guida del Gruppo di lavoro ex art. 29 sui responsabili della protezione dei dati, che evidenziano la finalità di consentire un contatto facile e diretto con il RPD;
• il Documento di indirizzo del Garante del 29 aprile 2021, che ribadisce come la procedura online sul sito del Garante costituisca l’unico canale utilizzabile per la comunicazione, variazione o revoca del RPD in ambito pubblico.

Valutazioni del Garante

L’Autorità ha affermato che la mancata comunicazione dei dati di contatto del RPD all’Autorità integra una violazione dell’art. 37, par. 7, GDPR. Le dichiarazioni del Comune, pur considerate, non sono state ritenute idonee a giustificare l’archiviazione del procedimento, non ricorrendo neppure i casi previsti dall’art. 11 del regolamento del Garante n. 1/2019. Poiché il Comune ha poi effettuato la comunicazione, il Garante ha escluso l’adozione di misure correttive ex art. 58, par. 2, GDPR.

Sanzione amministrativa e criteri di quantificazione

Per la violazione è stata applicata la sanzione amministrativa pecuniaria prevista dall’art. 83, par. 4, GDPR. Nella quantificazione, il Garante ha tenuto conto, ai sensi dell’art. 83, par. 2, GDPR, dei seguenti elementi:

• l’impatto negativo della condotta sulla possibilità dell’Autorità di contattare il RPD in modo facile e diretto;
• l’attivazione successiva del Comune per porre rimedio all’omissione;
• l’assenza di precedenti violazioni pertinenti o di precedenti provvedimenti sanzionatori ex art. 58 GDPR;
• il carattere colposo della violazione.

Alla luce di tali circostanze, l’importo è stato determinato in euro 2.000, ritenuto effettivo, proporzionato e dissuasivo ai sensi dell’art. 83, par. 1, GDPR.

Dispositivo

Il Garante:

• dichiara illecita la condotta del Comune di Maddaloni per violazione dell’art. 37, par. 7, GDPR;
• ordina il pagamento della sanzione amministrativa pecuniaria di euro 2.000 entro 30 giorni dalla notificazione;
• consente la definizione agevolata mediante pagamento della metà della sanzione entro 30 giorni dalla notifica, ai sensi dell’art. 166, comma 8, del Codice privacy;
• dispone la pubblicazione dell’ordinanza-ingiunzione sul sito web del Garante;
• dispone la pubblicazione del provvedimento sul sito internet dell’Autorità;
• dispone l’annotazione della violazione e delle misure adottate nel registro interno dell’Autorità.

Impugnazioni

Avverso il provvedimento è possibile proporre ricorso all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, dell’art. 152 del Codice privacy e dell’art. 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all’estero.