Ordinanza ingiunzione o revoca n. 365 del 10/11/2022

Comune di Cisterna di Latina - comunicazione indebita di dati, mancato riscontro ai diritti e assenza temporanea di RPD

Il Garante per la protezione dei dati personali ha adottato un’ordinanza ingiunzione nei confronti del Comune di Cisterna di Latina, all’esito di due reclami e di una successiva istruttoria. Il procedimento riguarda la gestione di istanze di accesso agli atti, il riscontro alle richieste di esercizio dei diritti degli interessati e l’adempimento degli obblighi relativi al Responsabile della protezione dei dati.

Origine del procedimento e fatti emersi

Dai reclami è emerso che, nell’ambito di procedimenti di accesso documentale, il Comune avrebbe comunicato a terzi dati personali eccedenti rispetto alle finalità perseguite. I reclamanti lamentavano inoltre il mancato riscontro a istanze proposte ai sensi degli artt. 15 e seguenti del GDPR.

Nel corso dell’istruttoria è poi emersa una criticità ulteriore: il Comune sarebbe rimasto privo di RPD per diversi mesi, dopo le dimissioni del primo incaricato avvenute nell’aprile 2021 e fino alla nomina del successivo RPD nel gennaio 2022. È stata inoltre esaminata la contestazione relativa alla mancata comunicazione all’Autorità dei dati di contatto del primo RPD.

Violazione del principio di minimizzazione

Il Garante ha ricostruito che, nella gestione delle richieste di accesso agli atti, il Comune aveva trasmesso a terzi dati personali dei reclamanti eccedenti rispetto alle finalità del procedimento. Il Comune ha attribuito l’evento a errori materiali dei funzionari, ma ha comunque riconosciuto la mancata oscurazione di alcuni dati identificativi.

L’Autorità ha quindi ritenuto integrata la violazione dell’art. 5, par. 1, lett. c), GDPR, richiamando il principio di minimizzazione secondo cui i dati devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità del trattamento.

Mancato riscontro alle istanze di esercizio dei diritti

Il provvedimento accerta anche la violazione dell’art. 12 GDPR, poiché il Comune non ha dato tempestivo riscontro alle richieste di accesso formulate dagli interessati ai sensi dell’art. 15 GDPR. Il Garante richiama il termine di un mese per rispondere, prorogabile di due mesi nei casi complessi, nonché l’obbligo di informare l’interessato in caso di mancato accoglimento della richiesta.

Obblighi sul RPD e violazione dell’art. 37 GDPR

L’Autorità ha accertato che il Comune è rimasto senza RPD per il periodo intercorrente tra le dimissioni del primo incaricato e la nomina del successivo. Trattandosi di un organismo pubblico, la designazione del RPD è obbligatoria ai sensi dell’art. 37, par. 1, lett. a), GDPR.

Diversamente, la contestazione relativa alla mancata comunicazione all’Autorità dei dati di contatto del primo RPD non ha portato a sanzione: il Garante ha ritenuto che la procedura di comunicazione fosse stata avviata e non completata per un errore scusabile, disponendo l’archiviazione di tale specifico profilo.

Valutazioni conclusive del Garante

Alla luce degli elementi acquisiti, il Garante ha ritenuto che i trattamenti effettuati dal Comune fossero illeciti per violazione degli artt. 5, 12 e 37 GDPR. Le difese del Comune, pur considerate, non sono state ritenute sufficienti a determinare l’archiviazione del procedimento.

L’Autorità ha valorizzato, ai fini sanzionatori, il carattere non doloso delle violazioni, l’assenza di precedenti e la cooperazione con il Garante, nonché alcune misure organizzative adottate per prevenire il ripetersi di episodi simili.

Sanzione pecuniaria e misure accessorie

In applicazione degli artt. 58, par. 2, lett. i), e 83 GDPR, il Garante ha irrogato al Comune di Cisterna di Latina una sanzione amministrativa pecuniaria di 5.000 euro per le violazioni degli artt. 5, 12 e 37 GDPR.

È stata inoltre disposta:

• la pubblicazione del provvedimento sul sito web del Garante, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16 del Regolamento n. 1/2019;
• l’annotazione nel registro interno dell’Autorità.

Il provvedimento ricorda infine la possibilità, per il contravventore, di definire la controversia mediante pagamento entro 30 giorni di un importo pari alla metà della sanzione comminata, nonché la proponibilità del ricorso giurisdizionale nei termini di legge.