Ordinanza ingiunzione o revoca n. 384 del 10/07/2025

Comune di Conversano: violazione sull’RPD e sanzione pecuniaria

Il provvedimento riguarda il Comune di Conversano e prende le mosse da controlli d’ufficio del Garante sulla corretta designazione e pubblicazione dei dati di contatto del Responsabile della protezione dei dati (RPD). L’Autorità ha ritenuto non dimostrata la designazione del RPD almeno fino a una certa data, mentre ha archiviato in parte le contestazioni relative alla pubblicazione e alla comunicazione dei recapiti.

Fatto e avvio del procedimento

Nel corso delle verifiche, il Garante non ha rinvenuto la comunicazione dei dati di contatto del RPD tramite l’apposita procedura online e non ha trovato sul sito istituzionale del Comune i riferimenti al RPD. Per questo ha avviato il procedimento ai sensi dell’art. 166, comma 5, del Codice, contestando:

• la violazione dell’art. 37, par. 1, GDPR, per mancata comprovata designazione del RPD;
• la violazione dell’art. 37, par. 7, GDPR, per mancata pubblicazione e comunicazione dei dati di contatto.

Difese dell’ente

Il Comune ha sostenuto di aver effettivamente comunicato i dati di contatto del RPD e di averli pubblicati sul sito istituzionale. Ha inoltre rappresentato che, in un determinato periodo, il sito aveva avuto problemi di accessibilità a causa del cambio di fornitore per dominio, DNS e certificati SSL.

Quadro normativo richiamato

Il Garante ha richiamato:

• l’art. 37, par. 1, lett. a), GDPR, che impone la designazione del RPD per le autorità e gli organismi pubblici;
• l’art. 37, par. 7, GDPR, che impone la pubblicazione e comunicazione dei dati di contatto del RPD;
• le Linee guida WP29 sui responsabili della protezione dei dati;
• il Documento di indirizzo del Garante del 29 aprile 2021 sulla designazione, posizione e compiti del RPD in ambito pubblico.

Valutazione della violazione sull’art. 37, par. 1, GDPR

L’Autorità ha ribadito che per gli enti pubblici la nomina del RPD è obbligatoria e che la comunicazione dei dati di contatto deve essere corretta e facilmente reperibile. Nel caso esaminato ha ritenuto che il Comune non avesse fornito elementi sufficienti a provare l’effettiva designazione del RPD nel periodo rilevante. Ha inoltre osservato che la comunicazione disponibile in atti riportava l’indicazione errata del titolare del trattamento, rendendo impossibile reperirla correttamente nei controlli interni.

Esito sulla contestazione ex art. 37, par. 7, GDPR

La mancata pubblicazione e comunicazione dei dati di contatto è stata considerata assorbita dalla violazione dell’art. 37, par. 1, per la fase iniziale. Per il periodo successivo, invece, il Garante ha disposto l’archiviazione, ritenendo che:

• la pagina con i contatti del RPD era stata effettivamente pubblicata, ma era temporaneamente irraggiungibile per problemi tecnici del sito;
• la comunicazione all’Autorità era stata comunque effettuata, sebbene con dati errati.

Sanzione, criteri di quantificazione e misure accessorie

Per la sola violazione dell’art. 37, par. 1, GDPR, il Garante ha applicato l’art. 83 GDPR e ha determinato la sanzione in euro 3.000. Nella quantificazione ha considerato, in particolare, l’assenza di precedenti violazioni o precedenti provvedimenti a carico del Comune. La sanzione è stata ritenuta effettiva, proporzionata e dissuasiva.

È stata inoltre disposta:

• la pubblicazione dell’ordinanza ingiunzione sul sito del Garante, ai sensi dell’art. 166, comma 7, del Codice;
• la pubblicazione del provvedimento sul sito del Garante ai sensi dell’art. 154-bis, comma 3, del Codice;
• l’annotazione nel registro interno dell’Autorità.

Pagamento e impugnazione

Il Comune deve pagare 3.000 euro entro 30 giorni dalla notificazione del provvedimento, con facoltà di definire la controversia pagando la metà della sanzione entro lo stesso termine, ai sensi dell’art. 166, comma 8, del Codice. Contro il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.