Ordinanza ingiunzione o revoca n. 68 del 12/02/2026

Comune di Aversa: mancata designazione e mancata pubblicazione/comunicazione del RPD

Il provvedimento riguarda il Comune di Aversa ed è stato adottato all’esito di controlli d’ufficio dell’Autorità. Il Garante ha accertato la mancata designazione del responsabile della protezione dei dati e la mancata pubblicazione e comunicazione dei suoi dati di contatto, in violazione dell’art. 37, paragrafi 1 e 7, del GDPR.

Origine del procedimento e accertamenti iniziali

Nel corso di verifiche svolte d’ufficio, l’Autorità ha rilevato che il Comune non aveva effettuato la comunicazione dei dati di contatto del RPD mediante l’apposita procedura online del Garante. Parallelamente, sul sito istituzionale del Comune non risultavano pubblicati i dati di contatto del RPD. Da tali riscontri l’Ufficio ha ritenuto non comprovata la designazione del RPD e ha notificato l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, GDPR, contestando la violazione dell’art. 37, par. 1 e 7, GDPR.

Difese del Comune e regolarizzazione successiva

Il Comune ha presentato scritti difensivi, richiamando criticità organizzative e gestionali, la riduzione del personale, la procedura di riequilibrio finanziario pluriennale e gli impegni connessi alle elezioni amministrative e a procedure assunzionali. Ha dichiarato che la procedura di nomina del RPD era già stata avviata e che avrebbe provveduto alla comunicazione nel più breve tempo possibile.

Successivamente, nel corso dell’istruttoria, il Comune ha trasmesso all’Autorità i dati di contatto del RPD e ha pubblicato tali dati sul proprio sito istituzionale, nella sezione informativa privacy.

Quadro normativo richiamato

Il Garante ha richiamato:

• l’art. 37, par. 1, lett. a), GDPR, che impone la designazione del RPD per le autorità pubbliche e gli organismi pubblici;
• l’art. 37, par. 7, GDPR, che obbliga a pubblicare i dati di contatto del RPD e a comunicarli all’autorità di controllo;
• le Linee guida del Gruppo di lavoro articolo 29 sui responsabili della protezione dei dati, che chiariscono la finalità della pubblicazione e comunicazione dei contatti;
• il Documento di indirizzo del Garante del 29 aprile 2021 sul RPD in ambito pubblico, che indica modalità e canali per la pubblicazione e la comunicazione dei dati di contatto.

Valutazione del Garante

L’Autorità ha ritenuto che le giustificazioni organizzative ed economiche addotte dal Comune, pur considerate, non fossero sufficienti a superare i rilievi contestati. Ha osservato che gli adempimenti relativi alla designazione del RPD e alla pubblicazione/comunicazione dei relativi dati sono stati effettuati solo a seguito dell’avvio del procedimento.

Di conseguenza, il Garante ha confermato la violazione dell’art. 37, parr. 1 e 7, GDPR. Ha invece escluso l’adozione di misure correttive ulteriori ai sensi dell’art. 58, par. 2, lett. d), GDPR, poiché il Comune aveva comunque regolarizzato la posizione nel corso del procedimento.

Sanzione amministrativa e criteri applicati

Il Garante ha ritenuto applicabile la sanzione amministrativa pecuniaria prevista dall’art. 83, par. 4, GDPR. Nella quantificazione ha considerato, ai sensi dell’art. 83, par. 2, GDPR:

• la mancata designazione del RPD fino alla data della regolarizzazione, con conseguente assenza di una figura obbligatoria ed essenziale per il rispetto del Regolamento;
• l’attivazione successiva del Comune per porre rimedio alle violazioni;
• l’assenza di precedenti violazioni pertinenti o di precedenti provvedimenti ex art. 58 GDPR.

Sulla base di tali elementi, la sanzione è stata determinata in euro 3.000, ritenuta effettiva, proporzionata e dissuasiva.

Dispositivo finale

Il Garante:

• ha dichiarato illecita la condotta del Comune di Aversa per violazione dell’art. 37, parr. 1 e 7, GDPR;
• ha ordinato il pagamento della sanzione amministrativa pecuniaria di euro 3.000;
• ha ingiunto il pagamento entro 30 giorni dalla notificazione, con facoltà di definizione agevolata mediante pagamento della metà dell’importo entro lo stesso termine, ai sensi dell’art. 166, comma 8, del Codice privacy;
• ha disposto la pubblicazione dell’ordinanza-ingiunzione sul sito del Garante;
• ha disposto la pubblicazione del provvedimento sul sito del Garante ai sensi dell’art. 154-bis, comma 3, del Codice;
• ha disposto l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità.

Impugnazione

Avverso il provvedimento è ammesso ricorso dinanzi all’autorità giudiziaria ordinaria, ai sensi dell’art. 78 GDPR, dell’art. 152 del Codice privacy e dell’art. 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.