Ordinanza ingiunzione o revoca n. 5 del 16/01/2025

Comune di Paternò - mancata designazione e mancata comunicazione/pubblicazione del RPD

Il provvedimento riguarda il Comune di Paternò ed è stato adottato all’esito di controlli d’ufficio del Garante. L’Autorità ha accertato l’assenza di evidenze sulla designazione del responsabile della protezione dei dati e la mancata pubblicazione e comunicazione dei relativi dati di contatto.

Origine del procedimento

Nel corso di verifiche svolte d’ufficio, il Garante ha rilevato che il Comune non aveva effettuato la comunicazione dei dati di contatto del RPD tramite l’apposita procedura online resa disponibile dall’Autorità. Contestualmente, dal sito istituzionale dell’ente non risultavano reperibili i dati di contatto del RPD, con conseguente impossibilità di verificare l’effettiva designazione del medesimo.

Con nota di avvio del procedimento ex art. 166, comma 5, del Codice, il Garante ha contestato al Comune la violazione dell’art. 37, parr. 1 e 7, GDPR, invitandolo a presentare scritti difensivi o a chiedere audizione. Non sono pervenute difese.

Trattamenti e obblighi in materia di RPD

Il provvedimento richiama l’art. 37 GDPR, che impone la designazione del RPD quando il trattamento è effettuato da un’autorità pubblica o da un organismo pubblico, nonché la pubblicazione dei dati di contatto del RPD e la loro comunicazione all’autorità di controllo.

Sono inoltre richiamate:

• le Linee guida sui responsabili della protezione dei dati adottate dal Gruppo di lavoro articolo 29 il 13 dicembre 2016 e aggiornate il 5 aprile 2017;
• il Documento di indirizzo del Garante del 29 aprile 2021 sulla designazione, posizione e compiti del RPD in ambito pubblico.

Tali atti chiariscono che i contatti del RPD devono essere facilmente accessibili agli interessati e all’Autorità, e che la comunicazione al Garante deve avvenire mediante l’unico canale online dedicato.

Violazioni accertate

Il Garante ha ritenuto accertate entrambe le violazioni contestate:

• violazione dell’art. 37, par. 7, GDPR, per la mancata pubblicazione dei dati di contatto del RPD e la mancata comunicazione degli stessi all’Autorità;
• violazione dell’art. 37, par. 1, lett. a), GDPR, poiché non sono emersi elementi idonei a dimostrare l’effettiva designazione del RPD da parte del Comune.

Il Garante ha osservato che l’assenza di riscontro difensivo e la mancata regolarizzazione hanno impedito di superare i rilievi istruttori e non consentono l’archiviazione del procedimento.

Misure correttive ordinate

Ai sensi dell’art. 58, par. 2, lett. d), GDPR, il Comune è stato ingiunto a:

• designare il RPD;
• pubblicarne i dati di contatto;
• comunicare i dati di contatto all’Autorità.

Inoltre, ai sensi degli artt. 58, par. 1, lett. a), GDPR e 157 del Codice, il Comune deve trasmettere entro 30 giorni dalla notifica un riscontro adeguatamente documentato sulle iniziative adottate e sulle ulteriori misure per assicurare la conformità alla normativa privacy.

Sanzione amministrativa pecuniaria

Il Garante ha ritenuto applicabile la sanzione di cui all’art. 83, par. 4, GDPR per la violazione dell’art. 37 GDPR. Nella quantificazione della sanzione, ha considerato:

• l’incidenza negativa della violazione sulla possibilità per interessati e Autorità di contattare agevolmente il RPD;
• la mancata collaborazione dell’ente, che non ha presentato scritti difensivi né posto rimedio alla violazione;
• l’assenza di precedenti violazioni pertinenti o di precedenti provvedimenti ai sensi dell’art. 58 GDPR.

Sulla base di tali elementi, il Garante ha determinato la sanzione in euro 6.000, qualificandola come effettiva, proporzionata e dissuasiva ai sensi dell’art. 83, par. 1, GDPR.

È stata inoltre richiamata la facoltà di definizione agevolata prevista dall’art. 166, comma 8, del Codice, mediante pagamento della metà della sanzione entro 30 giorni dalla notifica.

Misure accessorie, pubblicazione e impugnazione

Il provvedimento dispone:

• la pubblicazione dell’ordinanza ingiunzione sul sito web del Garante, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16 del regolamento del Garante n. 1/2019;
• la pubblicazione del provvedimento sul sito internet dell’Autorità, ai sensi dell’art. 154-bis, comma 3, del Codice;
• l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità.

Infine, il provvedimento indica la possibilità di ricorso innanzi all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, dell’art. 152 del Codice e dell’art. 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.