[doc. web n. 10201385]

Provvedimento del 27 marzo 2025

Registro dei provvedimenti
n. 165 del 27 marzo 2025

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l'avv. Guido Scorza, componenti e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore il dott. Agostino Ghiglia;

PREMESSO

1. Introduzione

Con reclami presentati tra il XX e il XX ai sensi dell’art. 77 del Regolamento, aventi il medesimo oggetto, i Sigg. XX, XX, XX e XX hanno lamentato una presunta violazione della disciplina in materia di protezione dei dati personali da parte del Comando di Polizia locale del Comune di Milazzo (di seguito il “Comune”).

In particolare, è stato rappresentato che il verbale di contestazione, notificato a ciascuno degli interessati in merito alle rispettive violazioni al Decreto Legislativo 30 aprile 1992, n. 285 (Nuovo Codice della strada) agli stessi contestate, era privo di idonea informativa ai sensi degli artt. 13 e 14 del Regolamento posto che, “[…] nella parte retrostante del modello su cui viene redatto il verbale impugnato vi si può leggere, esclusivamente, il mero richiamo generico al Regolamento UE 2016/679 […]”.

Nello specifico, i verbali di contestazione allegati ai reclami recavano una sezione, denominata “Informativa privacy”, in cui era genericamente indicato che la stessa era consultabile in Internet al link indicato, o presso le sedi del Corpo di Polizia Locale di Milazzo.

Per quanto concerne il sito web istituzionale del Comune, dalle preliminari verifiche effettuate dall’Autorità in data XX, l’informativa sul trattamento dei dati personali in merito a procedure connesse ad attività sanzionatorie per infrazioni al Codice della strada e violazioni amministrative, risultava reperibile nella sezione relativa alla modulistica inerente ai servizi di Polizia locale (in particolare, alla URL https://www.comune.milazzo.me.it/download/informativa-sul-trattamento-dei-dati-personali/). Nella predetta informativa, oltre a riferimenti non aggiornati in merito alla normativa sulla protezione dei dati, (“art. 13 del D.Lgs. 196/2003” anziché i riferimenti al Regolamento), sono stati riscontrati diversi elementi non conformi alla normativa in materia di protezione dei dati personali, tra i quali il riferimento al consenso (indicato, tra l’altro, in alcuni casi come “obbligatorio”) come base giuridica per il trattamento dei dati (cfr. sezioni d) ed i) della predetta informativa).

2. L’attività istruttoria

In riscontro alla richiesta di informazioni dell’Ufficio, ai sensi dell’art. 157 del Codice, il Comune, con nota del XX (prot. n. XX), ha dichiarato, in particolare, che:

- “Il verbale ricevuto dagli istanti riporta in maniera sintetica il richiamo alla normativa comunitaria e soprattutto al fatto che ogni informazione può essere rinvenuta sul sito dell'Amministrazione Comunale o direttamente assunta presso il Comando di Polizia Locale”;

- “[…] il verbale riporta in ogni caso, in più punti, i riferimenti PEC presso il quale gli aventi diritto possono far pervenire osservazioni, richieste e contestazioni”;

- “Nel ravvisare comunque la necessità di implementare la sezione riguardante "Informativa Privacy" […] sono già state adottate delle misure migliorative […] nella modulistica del verbale […]”;

- “Con riferimento all'Informativa presente sul sito, […] nel precisare che la medesima sezione richiama esplicitamente l'art. 6 comma l lett. e) ed il successivo art. 9 lett. g) del GDPR, si è ritenuto, nel rispetto di quanto previsto dall'art. 12 par. I del Regolamento, riportare una tabella che rappresentasse "... in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro ... "quando il consenso è dovuto o facoltativo” […]. Certamente la frase "obbligatorio" in relazione all'esercizio "... di pubblici poteri di cui è investito il titolare del trattamento...", quale quello di sanzionare le infrazioni al CdS, ai regolamenti comunali, etc., può risultare pleonastica in quanto non è assolutamente previsto il rilascio del consenso al trattamento dei dati da parte del contravventore. Ad ogni buon fine si è provveduto ad aggiornare l'informativa richiamando per ogni specifico procedimento la base di liceità del trattamento […]. Inoltre, si è provveduto a correggere il mero refuso con il richiamo all'art. 13 del D.Lgs. 196/2003 […]”.

Con riferimento alla condotta del Comune, l’Ufficio, sulla base degli elementi acquisiti e dei fatti emersi a seguito dell’attività istruttoria, con nota del XX (prot. n. XX), in considerazione del medesimo oggetto dei reclami e del medesimo titolare del trattamento, ricorrendo i presupposti previsti dall’art. 10, comma 4, del Regolamento del Garante n. 1/2019, ha disposto la riunione dei procedimenti e ha notificato, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento per aver agito in maniera non conforme al principio di “liceità, correttezza e trasparenza” e in violazione degli artt. 5, par. 1, lett. a), 12 e 13 del Regolamento.

Il Comune, con l’atto sopra citato, è stato invitato a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, dalla legge 24 novembre 1981, n. 689).

Con nota del XX (prot. n. XX), il Comune ha presentato una memoria difensiva, dichiarando, in particolare, che:

-“si è provveduto ad adottare le misure correttive inserendo nell'informativa sintetica presente sul verbale l'espresso riferimento al Sindaco quale Titolare del Trattamento e del Responsabile per la Protezione dei Dati”;

- “Le finalità del trattamento sono orientate all'espletamento di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri. Sono acquisiti i soli dati di pertinenza presso l'interessato o autonomamente accedendo alle proprie banche dati o alle banche dati di soggetti pubblici terzi deputati alla conservazione dei dati necessari”;

- “Il Comune ha sempre agito in buona fede. Anche se non pienamente conformi alle norme vigenti, le informazioni in ordine al trattamento dei dati risultavano facilmente reperibili sul sito od a semplice richiesta presso gli uffici. Non si riscontrano ad oggi fatti e circostanze che abbiano comportato danni ai cittadini in materia di trattamento dei dati personali che sono e restano riservati all'ambito operativo dei procedimenti di che trattasi”;

- “Il Comune si è mostrato sin da subito disponibile ad adottare le misure correttive e permane ovviamente tale disponibilità per adottare quanto l'Autorità vorrà prescrivere”;

- “Non sono interessati dati “particolari” (di cui all'art, 9 del Regolamento) ovvero relativi a condanne penali e reati (di cui all'art. 10 del Regolamento)“;

- “Il procedimento è stato avviato a seguito di segnalazione degli interessati direttamente dall’Autorità Garante. Nessuna segnalazione è stata fatta dagli stessi a questo Comune in ordine alle violazioni contestate o agli eventuali danni subiti”;

- “Non si ravvisano benefici finanziari conseguiti o perdite evitate direttamente o indirettamente”.

Il Comune non ha chiesto di essere audito.

3. Esito dell’attività istruttoria

3.1. La normativa applicabile in materia di protezione dei dati personali.

In base alla disciplina in materia di protezione dei dati personali i soggetti pubblici possono trattare i dati personali degli interessati se il trattamento è necessario, in generale, per adempiere a specifici obblighi o compiti previsti da leggi o per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento (art. 6, paragrafo 1, lett. c) ed e) e paragrafo 2 e 3 del Regolamento; art. 2-ter del Codice).

Il titolare del trattamento è tenuto altresì, in ogni caso, a rispettare i principi in materia di protezione dei dati personali, fra cui quello di “liceità, correttezza e trasparenza”, in base al quale i dati personali devono essere “trattati in modo lecito, corretto e trasparente nei confronti dell’interessato” (art. 5, par. 1, lett. a) del Regolamento).

In particolare, alla luce del suddetto principio di trasparenza, il titolare del trattamento deve adottare misure appropriate per fornire all'interessato tutte le informazioni di cui agli artt. 13 (qualora i dati personali siano raccolti presso l'interessato) e 14 del Regolamento (qualora i dati personali non siano stati ottenuti presso l'interessato) in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro (art. 12, par. 1, del Regolamento).

3.2. L’informativa agli interessati

Dall’accertamento compiuto sulla base degli elementi acquisiti, delle dichiarazioni rese e dei fatti emersi nell’ambito dell’attività istruttoria condotta, è stato rilevato che il Comune ha fornito un’informativa sul trattamento dei dati personali connesso alle procedure di accertamento delle violazioni al codice della strada non conforme ai requisiti previsti dalla normativa in materia di protezione dei dati.

Sul punto occorre precisare che, nel rendere all’interessato le informazioni finalizzate al rispetto del citato principio di trasparenza, il titolare del trattamento può adottare - anche in ambiente offline/non digitale -  un approccio stratificato, al fine di “facilitare la fornitura delle informazioni”; in ogni caso, quale che sia il formato utilizzato in tale approccio stratificato, occorre che “il primo “strato” (in altre parole, la modalità principale con cui il titolare del trattamento si rivolge inizialmente all’interessato) trasmetta di regola le informazioni più importanti […], vale a dire le finalità del trattamento, l’identità del titolare e una descrizione dei diritti dell’interessato, oltre a informazioni sull’impatto più consistente del trattamento o informazioni sul trattamento che potrebbe cogliere di sorpresa l’interessato. […]” (cfr. “Linee guida sulla trasparenza ai sensi del regolamento 2016/679” del Gruppo di Lavoro Articolo 29 per la Protezione dei Dati del 29 novembre 2017, come modificate e adottate in ultimo l’11 aprile 2018 e fatte proprie dal Comitato europeo per la protezione dei dati il 25 maggio 2018, punto 38, nonché punto 36 per quanto concerne la stratificazione in ambiente digitale; cfr. anche provv.  27 novembre 2024, n. 727, doc. web n. 10097307). Al riguardo, il considerando 39 del Regolamento evidenzia che: “Il principio della trasparenza impone che le informazioni e le comunicazioni relative al trattamento di tali dati personali siano facilmente accessibili e comprensibili e che sia utilizzato un linguaggio semplice e chiaro. Tale principio riguarda, in particolare, l'informazione degli interessati sull'identità del titolare del trattamento e sulle finalità del trattamento e ulteriori informazioni per assicurare un trattamento corretto e trasparente con riguardo alle persone fisiche interessate e ai loro diritti di ottenere conferma e comunicazione di un trattamento di dati personali che le riguardano. È opportuno che le persone fisiche siano sensibilizzate ai rischi, alle norme, alle garanzie e ai diritti relativi al trattamento dei dati personali, nonché alle modalità di esercizio dei loro diritti relativi a tale trattamento […]”.

In aggiunta, nel caso di titolari del trattamento che hanno una presenza digitale/online, “una “misura appropriata” per fornire informazioni finalizzate alla trasparenza è fornirle mediante una dichiarazione/informativa sulla privacy elettronica. In funzione delle circostanze della raccolta e del trattamento dei dati, il titolare del trattamento potrebbe tuttavia dover far uso di altre modalità e forme in aggiunta a detto metodo […]” combinando pertanto, in tale approccio stratificato, metodi distinti e garantendo, in ogni caso, “che le informazioni più importanti […] siano sempre trasmesse nella prima modalità usata per comunicare con l’interessato. […]” (cfr. Linee guida, cit., punto 40).

Per quanto concerne il secondo “strato” (o “livello”) di informazioni, risulta opportuno evidenziare che quest’ultimo, oltre a dover essere facilmente raggiungibile da parte dell’interessato, deve contenere tutti gli elementi obbligatori a norma degli articoli 13 e 14 del Regolamento stesso, in ossequio a quanto previsto dal citato art. 12 del Regolamento.

Ciò premesso, l’informativa riportata nei verbali di contestazione notificati agli interessati, essendo costituita unicamente da un mero rinvio alla consultazione in Internet, al link indicato nel verbale, o presso le sedi del Comando di Polizia Locale del Comune, non risultava conforme ai requisiti previsti dalla normativa in materia di protezione dei dati, in quanto sprovvista di qualsiasi informazione in merito al trattamento dei dati personali effettuato nelle procedure di accertamento delle violazioni al Nuovo Codice della strada, di competenza del servizio di polizia locale. In relazione, invece, all’informativa estesa rinvenuta sul sito web istituzionale, oltre a riferimenti non aggiornati alla normativa vigente, la stessa riportava diversi elementi non conformi alla predetta normativa, tra i quali il riferimento al consenso (indicato, tra l’altro, in alcuni casi come “obbligatorio”) come base giuridica per il trattamento dei dati.

Con riferimento, invece, alle modifiche apportate in corso d’istruttoria deve evidenziarsi, in primo luogo, che per quanto concerne l’indicazione del “Sindaco quale Titolare del Trattamento”, inserita nell’informativa di “primo livello”, il riferimento non risulta corretto. Come chiarito nelle Linee guida 07/2020 sui concetti di titolare del trattamento e di responsabile del trattamento ai sensi del Regolamento, adottate dal Comitato europeo per la protezione dei dati il 7 luglio 2021, “è solitamente l’organizzazione in quanto tale e non una persona fisica all’interno dell’organizzazione (come l’amministratore delegato, un dipendente o un membro del consiglio di amministrazione) ad agire in qualità di titolare del trattamento ai sensi del […Regolamento]” (cfr. punto 17).

Per quanto concerne l’informativa estesa attualmente pubblicata sul sito web istituzionale, si osserva in primo luogo che, dagli ulteriori accertamenti effettuati dall’Ufficio, la stessa non risulta facilmente raggiungibile dagli interessati. Nella sezione “Modulistica” contenuta nel sito web istituzionale del Comune (https://www.comune.milazzo.me.it/) è presente una sotto-sezione relativa alla “Polizia locale” in cui sono presenti numerosi documenti relativi alle funzioni e procedimenti di competenza della Polizia locale, tra i quali alcuni recanti la denominazione “Informativa” (tra cui, “Informativa sul Trattamento dei Dati Personali” e “Informativa”). In particolare, l’informativa relativa all’accertamento delle violazioni al Nuovo Codice della strada - disponibile al collegamento denominato “Informativa sul Trattamento dei Dati Personali” della sezione “Modulistica” - indica quali dati di contatto del Responsabile della Protezione dei dati, anche ai fini dell’esercizio dei diritti di cui agli artt. 15-22 del Regolamento, i seguenti indirizzi email e PEC: XX e XX. Diversamente, nella sezione “Siti tematici” presente sulla pagina “Home” del sito web istituzionale – in cui non viene fatto riferimento ai servizi di Polizia locale – è presente una sezione “Data Protection Officer” in cui al link “Informazione sul trattamento dei dati ai sensi dell’art. 13 del regolamento generale sulla protezione dei dati personali (RGPD)” i recapiti del Responsabile della Protezione dei dati sono invece indicati come indirizzo email e PEC del protocollo generale del Comune (XX e XX).

Con riguardo al riferimento al consenso indicato nel testo dell’informativa, si ricorda che quando il titolare del trattamento è un’autorità pubblica il consenso non costituisce, generalmente, un valido fondamento giuridico per il trattamento dei dati personali, in considerazione dell’”evidente squilibrio tra l'interessato e il titolare del trattamento” (cons. 43 del Regolamento).

In ragione delle considerazioni che precedono, risulta accertato che il Comune ha operato in violazione dell’obbligo che impone al titolare del trattamento di rendere agli interessati una preventiva e idonea informativa, secondo quanto previsto dagli artt. 12 e 13 del Regolamento, e del “principio di liceità, correttezza e trasparenza” di cui all’art. 5, lett. a) del Regolamento).

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dal Comune, in qualità di titolare del trattamento, nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗, seppure meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento ai sensi dell’art. 14, comma 1, del Regolamento del Garante n. 1/2019 non ricorrendo alcuno dei casi previsti dall’art. 11 ivi richiamato.

Si confermano, pertanto, le valutazioni preliminari dell’Ufficio e si rileva l’illiceità del trattamento di dati personali effettuato dal Comune, per aver effettuato il trattamento di dati personali in violazione degli artt. 5, par. 1, lett. a), 12 e 13 del Regolamento.

La violazione delle predette disposizioni rende applicabile la sanzione amministrativa prevista dall’art. 83, par. 5, del Regolamento, ai sensi degli artt. 58, par. 2, lett. i), e 83, par. 3, del Regolamento medesimo, come richiamato anche dall’art. 166, comma 2, del Codice.

5. Misure correttive (art. 58, par. 2, lett. d), del Regolamento).

L’art. 58, par. 2, del Regolamento attribuisce al Garante il potere di “ingiungere al titolare del trattamento o al responsabile del trattamento di conformare i trattamenti alle disposizioni del presente regolamento, se del caso, in una determinata maniera ed entro un determinato termine” (lett. d).

Prendendo atto di quanto emerso in fase di istruttoria e tenendo conto della circostanza che, come illustrato nel precedente paragrafo 3.2., nonostante gli interventi migliorativi del Comune, l’informativa stratificata fornita agli interessati risulta attualmente ancora non conforme a quanto previsto dalla normativa in materia di protezione dei dati personali, si rende necessario, ai sensi dell’art. 58, par. 2, lett. d), del Regolamento, ingiungere al Comune di adottare misure idonee a:

- inserire i corretti riferimenti al titolare del trattamento nell’informativa di “primo livello”;

- rendere l’informativa di secondo livello facilmente reperibile e accessibile da parte degli interessati, provvedere alla cancellazione di eventuali informative obsolete e/o duplicate, indicare in modo omogeneo e coerente i dati di contatto del Responsabile della Protezione dei dati nelle diverse sezioni del sito web istituzionale nonché rivedere l’organizzazione del predetto sito web in modo da evitare percorsi di navigazione eccessivamente complessi per raggiungere l’informativa ed evitare la cosiddetta “click fatigue” per gli interessati.

Ai sensi degli artt. 58, par. 1, lett. a), del Regolamento e 157 del Codice, il Comune dovrà, inoltre, provvedere a comunicare a questa Autorità, fornendo un riscontro adeguatamente documentato, entro trenta giorni dalla notifica del presente provvedimento, le iniziative intraprese al fine di dare attuazione a quanto sopra ordinato ai sensi del citato art. 58, par. 2, lett. d), nonché le eventuali misure poste in essere per assicurare la conformità del trattamento alla normativa in materia di protezione dei dati personali.

6. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

Tenuto conto che la violazione delle disposizioni sopra citate da parte del Comune ha avuto luogo in conseguenza di una condotta che può essere considerata unitaria (stesso trattamento o trattamenti tra loro collegati), trova applicazione l’art. 83, par. 3, del Regolamento, ai sensi del quale l'importo totale della sanzione amministrativa pecuniaria non supera l'importo specificato per la violazione più grave. Considerato che, nel caso di specie, tutte le violazioni accertate – artt. 5, 12 e 13 del Regolamento - sono soggette alla sanzione prevista dall’art. 83, par. 5, del Regolamento, come richiamato anche dall’art. 166, comma 2, del Codice, l’importo totale della sanzione è da quantificarsi fino a euro 20.000.000 (ventimilioni/00).

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

Con specifico riguardo alla natura e alla gravità della violazione (art. 83, par. 2, lett. a), del Regolamento), occorre considerare che il Comune ha omesso di fornire le informazioni essenziali agli interessati – incluso ai reclamanti - in merito ai trattamenti di dati personali effettuati in materia di circolazione stradale, limitandosi ad effettuare, nel modello di verbale di contestazione, un mero rinvio alla consultazione dell’informativa sul proprio sito web istituzionale o presso gli uffici del Comando di Polizia Locale.

Deve, inoltre, considerarsi:

-  che non risultano comprovati eventuali danni subiti dagli interessati (art. 83 par. 2, lett. a) del Regolamento);

- il carattere colposo della violazione, atteso l’erroneo convincimento da parte del Comune circa la possibilità per gli interessati di reperire comunque tutte le informazioni in merito al trattamento di dati personali presso gli uffici della Polizia locale o sul sito web istituzionale (art. 83, par. 2, lett. b) del Regolamento);

- che i trattamenti in questione non sono relativi a categorie particolari di dati (art. 83, par. 2, lett. g).

Alla luce di tali circostanze, si ritiene che, nel caso di specie, il livello di gravità della violazione commessa dal titolare del trattamento possa essere considerato di grado medio (cfr. Comitato europeo per la protezione dei dati, “Guidelines 04/2022 on the calculation of administrative fines under the GDPR” del 23 maggio 2023, punto 60).

Ciò premesso, si ritiene che, ai fini della quantificazione della sanzione, debba essere presa in considerazione, in senso favorevole al Comune, che non risultano precedenti violazioni pertinenti commesse dal titolare del trattamento (art. 83, par. 2, lett. e), del Regolamento) nonché il grado di cooperazione manifestato dal titolare con l'autorità di controllo al fine di porre rimedio alla violazione e attenuarne i possibili effetti negativi, tenendo conto, in particolare, che lo stesso ha provveduto ad integrare l’informativa di “primo livello” presente nei verbali di accertamento e ad aggiornare l’informativa estesa, pubblicata sul proprio sito web istituzionale (art. 83, par. 2, lett. f) del Regolamento).

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 3.600,00 (tremilaseicento/00) per la violazione degli artt. 5, par. 1, lett. a), 12 e 13 del Regolamento, quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, par. 1, del Regolamento, effettiva, proporzionata e dissuasiva.

In tale quadro si ritiene, altresì, che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente capo contenente l'ordinanza ingiunzione sul sito Internet del Garante.

Ciò in considerazione delle specifiche circostanze del caso concreto, riguardanti il mancato rispetto da parte del Comune del principio di trasparenza di cui all’art. 5, par. 1, lett. a) del Regolamento, avendo predisposto un’informativa di “primo livello” carente degli elementi previsti dalla normativa in materia di protezione dei dati personali e un’informativa estesa non conforme ai requisiti previsti dalla predetta normativa.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

ai sensi degli artt. 57, par. 1, lett. f), e 83 del Regolamento, rileva l’illiceità del trattamento effettuato dal Comune di Milazzo nei termini di cui in motivazione, per la violazione degli artt. 5, par. 1, lett. a), 12 e 13 del Regolamento;

ORDINA

ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento, nonché dell’art. 166 del Codice, al Comune di Milazzo, con sede legale in Via Francesco Crispi, 1, 98057, Milazzo (ME), C.F. 00226540839, di pagare la complessiva somma di euro 3.600,00 (tremilaseicento/00) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione. Si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata;

INGIUNGE

al Comune di Milazzo:

- di pagare la complessiva somma di 3.600,00 (tremilaseicento/00) in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, secondo le modalità indicate in allegato, entro trenta giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981;

- ai sensi dell’art. 58, par. 2, lett. d) del Regolamento, di adottare le misure idonee, per quanto concerne i trattamenti di dati personali effettuati ai fini dell’accertamento di violazioni al Nuovo Codice della strada, ad inserire i corretti riferimenti al titolare del trattamento nell’informativa di “primo livello” e a rendere l’informativa di secondo livello facilmente reperibile e accessibile da parte degli interessati, provvedendo alla cancellazione di eventuali informative obsolete e/o duplicate, all’indicazione omogenea e coerente dei dati di contatto del Responsabile della Protezione dei dati nelle diverse sezioni del sito web istituzionale e all’organizzazione del predetto sito web in modo da evitare percorsi di navigazione eccessivamente complessi per raggiungere l’informativa informativa;

- ai sensi degli artt. 58, par. 1, lett. a), del Regolamento e 157 del Codice, di comunicare a questa Autorità, fornendo un riscontro adeguatamente documentato, entro trenta giorni dalla notifica del presente provvedimento, le iniziative intraprese al fine di dare attuazione a quanto sopra ordinato ai sensi del citato art. 58, par. 2, lett. d), nonché le eventuali misure poste in essere per assicurare la conformità del trattamento alla normativa in materia di protezione dei dati personali.

DISPONE

ai sensi dell'art. 166, comma 7, del Codice e dell'art. 16, comma 1, del Regolamento del Garante n. 1/2019, la pubblicazione dell'ordinanza ingiunzione sul sito internet del Garante;

ai sensi dell’art. 154-bis, comma 3 del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito web del Garante;

ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione del presente provvedimento nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u), del Regolamento.

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero. 

Roma, 27 marzo 2025

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE
Mattei