Ordinanza ingiunzione o revoca n. 68 del 13/02/2025

Comune di Tuscania: sanzione per mancato riscontro a richieste istruttorie del Garante in un reclamo su videosorveglianza

Il provvedimento riguarda il Comune di Tuscania, destinatario di un reclamo ex art. 77 GDPR relativo a trattamenti di dati personali effettuati mediante dispositivi video. Nel corso dell’istruttoria, il Garante ha riscontrato la mancata cooperazione dell’Ente rispetto a due richieste di informazioni formulate ai sensi dell’art. 157 del Codice privacy.

Origine del procedimento e attività istruttoria

L’Autorità ha avviato l’istruttoria a seguito del reclamo dell’interessato e ha richiesto al Comune un primo riscontro ai sensi dell’art. 157 del Codice. Poiché il Comune non ha risposto nei termini, il Garante ha contestato una prima violazione amministrativa ex art. 166, comma 5, del Codice per inosservanza dell’art. 157.

Il Comune non ha presentato memorie difensive né ha chiesto di essere sentito entro il termine di 30 giorni dalla notifica della violazione. Ha trasmesso solo successivamente una risposta parziale, chiedendo anche di essere audito, ma l’istanza è stata respinta perché tardiva rispetto al termine previsto dagli artt. 166, commi 6 e 7, del Codice e dall’art. 18, comma 1, l. n. 689/1981.

Successivamente, l’Autorità ha inviato una seconda richiesta di informazioni, sempre ai sensi dell’art. 157 del Codice, per acquisire ulteriori elementi e chiarire profili rimasti scoperti. Anche questa richiesta è rimasta senza alcun riscontro entro il termine assegnato e, a tutt’oggi, non risulta evasa.

Violazioni accertate

Il Garante ha concluso che il Comune ha omesso di fornire riscontro alle due richieste istruttorie, realizzando due violazioni dell’art. 157 del Codice nel contesto del medesimo reclamo.

In particolare, l’Autorità ha rilevato:

• il mancato riscontro pieno e tempestivo alla prima richiesta di informazioni;
• il totale omesso riscontro alla seconda richiesta di informazioni;
• la perdurante inadempienza all’obbligo di cooperare con l’Autorità nell’istruttoria.

Valutazione giuridica e cumulo sanzionatorio

Il provvedimento richiama la possibilità che più violazioni della medesima disposizione, compiute in stretta successione spazio-temporale nell’ambito di un’unica condotta, siano considerate unitarie ai fini sanzionatori. A tal fine il Garante richiama le Linee guida 4/2022 dell’EDPB sul calcolo delle sanzioni amministrative pecuniarie, adottate il 24 maggio 2023.

In applicazione dell’art. 83, par. 3, GDPR, l’importo complessivo della sanzione non può superare quello previsto per la violazione più grave. Poiché si tratta di violazioni multiple dell’art. 157 del Codice nel medesimo procedimento, il Garante ha ricondotto il fatto all’art. 83, par. 5, GDPR, richiamato dall’art. 166, comma 2, del Codice, con sanzione teorica fino a 20 milioni di euro.

Criteri di quantificazione della sanzione

Ai fini della determinazione concreta, il Garante ha considerato i criteri di cui all’art. 83, par. 2, GDPR. In particolare ha evidenziato:

• il particolare disvalore della condotta, per la doppia omissione di riscontro e per la dilazione del procedimento a danno della posizione del reclamante;
• il carattere doloso della violazione;
• il livello di gravità alto;
• la scarsa cooperazione con l’Autorità, poiché il Comune ha fornito solo una risposta parziale e tardiva a una delle due richieste;
• l’assenza di precedenti violazioni pertinenti;
• la limitata dimensione del Comune, con circa 8.000 abitanti, e quindi risorse economiche contenute.

Sulla base di tali elementi, la sanzione è stata quantificata in euro 4.000, ritenuti importo effettivo, proporzionato e dissuasivo ai sensi dell’art. 83, par. 1, GDPR.

Misure correttive e ordini impartiti

Oltre alla sanzione pecuniaria, il Garante ha adottato una misura correttiva ai sensi dell’art. 58, par. 2, lett. a), GDPR, ingiungendo al Comune di fornire riscontro entro 30 giorni dalla notifica del provvedimento:

• alla prima richiesta di informazioni, rispetto alla quale erano stati forniti solo elementi parziali e tardivi;
• alla seconda richiesta di informazioni, rimasta del tutto inevasa.

Il Comune è stato inoltre destinatario dell’ordinanza ingiunzione di pagamento della somma di euro 4.000. È stata richiamata la facoltà di definire la controversia, ai sensi dell’art. 166, comma 8, del Codice, mediante pagamento in misura ridotta entro 30 giorni pari alla metà della sanzione.

Pubblicazione e ulteriori conseguenze

Il Garante ha disposto:

• la pubblicazione dell’ordinanza ingiunzione sul sito internet dell’Autorità, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019;
• la pubblicazione del provvedimento sul sito internet dell’Autorità, ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del Regolamento n. 1/2019;
• l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità.

Impugnazione

Contro il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 del Codice e 10 del d.lgs. n. 150/2011, entro 30 giorni dalla comunicazione del provvedimento, ovvero entro 60 giorni se il ricorrente risiede all’estero.