[doc. web n. 10314022]

Provvedimento del 20 ottobre 2026

Registro dei provvedimenti
n. 789 del 20 ottobre 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27/4/2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito “RGPD”);

VISTO il d. lgs. 30/6/2003, n. 196 recante “Codice in materia di protezione dei dati personali” (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4/4/2019, pubblicato in G.U. n. 106 dell’8/5/2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal Segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, in www.gpdp.it, doc. web n. 1098801;

Relatore il prof. Pasquale Stanzione;

PREMESSO

1. Introduzione

Questa Autorità ha ricevuto un reclamo, presentato da XX (di seguito “reclamante”), con il quale è stata lamentata una violazione della disciplina in materia di protezione dei dati personali da parte del Comune di San Nicandro Garganico per aver diffuso dati personali online contenuti in alcuni atti pubblicati sul sito web istituzionale. 

Al riguardo, dalla verifica preliminare effettata dall’Ufficio, è emerso che sul sito web istituzionale del predetto Comune, all’url https://..., nella sezione «Amministrazione trasparente», seguendo il percorso «Provvedimenti»/«Provvedimenti organi indirizzo politico»/«Delibere», compilando l’apposita maschera di ricerca, era possibile scaricare la Deliberazione del Consiglio Comunale n. 13 del 24/6/2025, avente a oggetto «Sentenza del Tribunale del Lavoro di Foggia nr. 801/2025. Causa promossa da XX. Riconoscimento debito fuori bilancio» (url: https://…).

Inoltre, sempre nella sezione «Amministrazione trasparente», seguendo il percorso «Provvedimenti»/«Provvedimenti dirigenti amministrativi»»/«Determine», compilando l’apposita maschera di ricerca, era possibile scaricare la Determinazione n. 71 dell’8/7/2025, avente a oggetto «Liquidazione debito fuori bilancio. Sentenza del Tribunale del Lavoro di Foggia nr. 801/2025. Causa promossa da XX» (url: https://...), con allegati due file denominati «Visto Contabile.PDF» (https://...) e «Pubblicazione.pdf» (url: https://...).

La Deliberazione del Consiglio Comunale n. 13/2025 e la Determinazione n. 71/2025 con i relativi allegati (Visto Contabile e Pubblicazione) contenevano sia nell’oggetto che nel testo dati personali del reclamante. In particolare, sono stati riportati e diffusi online il nominativo e le informazioni riguardanti un procedimento giudiziario nei confronti del Comune incardinato dinnanzi il giudice del lavoro, con indicazione degli importi riconosciuti nella sentenza a favore al reclamante. 

Quest’ultimo ha anche rappresentato di avere già esercitato i diritti in materia di protezione dei dati personali nei confronti del Comune con nota del XX, chiedendo fra l’altro l’oscuramento dei propri dati personali, ma l’amministrazione con nota prot. n. XX del XX ha respinto la predetta richiesta, ritenendo corretta la diffusione dei dati personali effettuata dall’ente.

A ciò si aggiunge che nel corso dell’istruttoria è stata verificata l’area denominata «Informativa privacy» presente nell’home page del sito web istituzionale, con particolare riferimento ai dati del «Responsabile della Protezione dei Dati» che risulta essere XX, ossia un soggetto diverso da quello che era stato comunicato da codesto Comune con nota prot. n. XX del XX – ai sensi dell’art. 37, par. 7, del RGPD – tramite la procedura prevista sul sito web del Garante.

2. Valutazioni preliminari dell’Ufficio sul trattamento di dati personali effettuato.

Dalle verifiche compiute sulla base degli elementi acquisiti e dei fatti emersi a seguito dell’attività istruttoria, nonché delle successive valutazioni, l’Ufficio con nota prot. n. XX del XX ha ritenuto che il Comune di San Nicandro Garganico – diffondendo i dati personali prima descritti e non avendo provveduto a comunicare al Garante la variazione dei dati di contatto del RPD – ha assunto una condotta non conforme alla disciplina rilevante in materia di protezione dei dati personali contenuta nel RGPD. Pertanto, con la medesima nota sono state notificate al predetto ente le presunte violazioni effettuate (ai sensi dell’art. 166, comma 5, del Codice), comunicando l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del RGPD e invitando l’amministrazione a far pervenire al Garante scritti difensivi o documenti ed, eventualmente, a chiedere di essere sentita da questa Autorità, entro il termine di 30 giorni (art. 166, commi 6 e 7, del Codice; nonché art. 18, comma 1, dalla legge n. 689 del 24/11/1981). 

3. Memorie difensive.

Il Comune di San Nicandro Garganico, con la nota prot. n. XX del XX, ha inviato al Garante i propri scritti difensivi in relazione alle violazioni notificate.

Al riguardo, si ricorda come, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell’art. 168 del Codice, intitolato «Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante».

Nello specifico, quanto alla condotta tenuta, l’amministrazione ha evidenziato, fra l’altro che:

- «si è provveduto all’oscuramento dei dati personali sui seguenti provvedimenti amministrativi: Delibera del Consiglio comunale n. 13 del 24/06/2025 (atto consultabile al link https://... - Determinazione del Settore n. 71 del 08/07/2025 (atto consultabile al link (https://...)»;

- «La designazione del DPO è stata effettuata giusta decreto del Sindaco n. 9 del 20/10/2022.

- «Della mancata comunicazione altri uffici non avevano alcuna contezza essendo un adempimento rimesso espressamente a carico del XX,

- «Ad ogni buon conto si comunica che con determinazione 65/910 del 27/07/2026 l’Ente ha provveduto all’affidamento del servizio RDP ad altro soggetto e che in data odierna è stata aggiornata la prevista comunicazione a codesto Garante dei dati del nuovo RPD, come da comunicazione che si allega alla presente».

- «la pubblicazione del solo nome e cognome dell’XX è sostanzialmente dipesa da un’interpretazione estensiva del principio di minimizzazione, considerato che nel testo del provvedimento consiliare era riportato esclusivamente il nome e cognome del soggetto interessato ed al quale in seguito alla pronuncia giurisdizionale erano stati riconosciuti, di fatto, meri importi a titolo retributivo»;

- «si è pertanto ritenuto che, nei rapporti tra privacy e trasparenza, fosse ammissibile l'indicazione del solo cognome e nome nei due richiamati atti amministrativi».

4. La normativa in materia di protezione dei dati personali

Ai sensi della disciplina in materia, «dato personale» è «qualsiasi informazione riguardante una persona fisica identificata o identificabile (“interessato”)» e «si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale» (art. 4, par. 1, n. 1, del RGPD). 

I soggetti pubblici, come il Comune, possono diffondere «dati personali» nel rispetto della disciplina in materia di protezione dei dati personali (art. 2-ter, commi 1 e 3, del Codice) e – in ogni caso – del principio di «minimizzazione», in base al quale i dati personali devono essere «adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati» (art. 5, par. 1, lett. c, del RGPD). 

La normativa statale di settore prevede che «Tutte le deliberazioni del comune e della provincia sono pubblicate mediante pubblicazione all’albo pretorio, nella sede dell’ente, per quindici giorni consecutivi, salvo specifiche disposizioni di legge» (art. 124, comma 1, d. lgs. n. 267 del 18/8/2000).

Tuttavia come indicato fin dal 2014 da questa Autorità – proprio in riferimento alle pubblicazioni nell’albo pretorio online ai sensi dell’art. 124 del d. lgs. n. 267/2000 – la presenza di uno specifico regime di pubblicità non può comportare alcun automatismo rispetto alla diffusione online dai dati e informazioni personali (cfr. parte seconda, parr. 1 e 3.2 del provvedimento generale n. 243 del 15/5/2014, recante le «Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati», pubblicato in G.U. n. 134 del 12/6/2014 e in www.gpdp.it, doc. web n. 3134436, in corso di aggiornamento, ma ancora attuale nella parte sostanziale). Anche in caso di un obbligo normativo che impone la pubblicazione dell’atto o del documento nel sito web istituzionale è infatti «necessario selezionare i dati personali da inserire in tali atti e documenti, verificando, caso per caso, se ricorrono i presupposti per l’oscuramento di determinate informazioni» (ivi). 

Si ricorda, inoltre, che anche in relazione alle delibere di giunta comunale con le quali si autorizza la costituzione in giudizio dell’Ente, questa Autorità ha più volte indicato che, ai fini della pubblicazione sul sito web istituzionale, risulta «del tutto irrilevante, e dunque sproporzionato, diffondere su Internet anche i[l] nominativ[o] dell[a] part[e] in causa […]», essendo sufficiente, nel rispetto del principio di adeguata motivazione, indicare gli elementi essenziali della vicenda o «anche solo il numero di ruolo generale della causa» (cfr. i provvedimenti n. 65 del 2/3/2023, in www.gpdp.it, doc. web n. 9874480; n. 212 del 9/6/2022, ivi, doc. web n. 9789037; n. 213 del 9/6/2022, ivi, doc. web n. 9789488; n. 149 del 28/4/2022, ivi, doc. web n. 9777127).

Nelle Linee guida del Garante sopra citate, è inoltre espressamente sancito che una volta trascorso il periodo temporale previsto per la pubblicazione degli atti e documenti nell’albo pretorio:

- «gli enti locali non possono continuare a diffondere i dati personali in essi contenuti. In caso contrario, si determinerebbe, per il periodo eccedente la durata prevista dalla normativa di riferimento, una diffusione dei dati personali illecita perché non supportata da idonei presupposti normativi […]. A tal proposito, ad esempio, la permanenza nel web di dati personali contenuti nelle deliberazioni degli enti locali oltre il termine di quindici giorni, previsto dall’art. 124 del citato d. lgs. n. 267/2000, può integrare una violazione del suddetto art. 19, comma 3, del Codice [n.d.r. oggi riprodotto nell’art. 2-ter, commi 1 e 3, del Codice], laddove non esista un diverso parametro legislativo o regolamentare che preveda la relativa diffusione […]. [In tal caso] se gli enti locali vogliono continuare a mantenere nel proprio sito web istituzionale gli atti e i documenti pubblicati, ad esempio nelle sezioni dedicate agli archivi degli atti e/o della normativa dell’ente, devono apportare gli opportuni accorgimenti per la tutela dei dati personali. In tali casi, quindi, è necessario provvedere a oscurare nella documentazione pubblicata i dati e le informazioni idonei a identificare, anche in maniera indiretta, i soggetti interessati» (parte seconda, par. 3.a). 

Inoltre, in relazione agli obblighi riguardanti la designazione del Responsabile della protezione dei dati (RPD), la disciplina europea in materia di protezione dei dati prevede che il «titolare del trattamento […] pubblica i dati di contatto del responsabile della protezione dei dati e li comunica all’autorità di controllo» (art. 37, par. 7, RGPD). Tale comunicazione deve essere effettuata seguendo l’apposita procedura indicata sul sito istituzionale del Garante all’indirizzo https://servizi.gpdp.it/comunicazionerpd/s/. 

5. Valutazioni del Garante

5.1. Sulla diffusione di dati personali online

La questione oggetto del caso sottoposto all’attenzione del Garante riguarda la diffusione di dati e informazioni personali, contenuti nella Deliberazione del Consiglio Comunale n. 13 del 24/6/2025 e nella Determinazione n. 71 dell’8/7/2025 con i relativi allegati (Visto Contabile e Pubblicazione) pubblicate online. In particolare, risultavano riportati, sia nell’oggetto che nel corpo del testo, dati personali del reclamante, quali il nominativo e le informazioni riguardanti un procedimento giudiziario nei confronti del Comune incardinato dinnanzi il giudice del lavoro, con indicazione degli importi riconosciuti nella sentenza a favore al reclamante. 

Nelle memorie difensive il Comune ha confermato l’avvenuta diffusione dei dati personali online, rappresentando che «nei rapporti tra privacy e trasparenza», è stato ritenuto possibile pubblicare il nominativo del reclamante (XX) a cui «in seguito alla pronuncia giurisdizionale erano stati riconosciuti […] importi a titolo retributivo», interpretando in modo «estensiv[o il] principio di minimizzazione».

In ogni caso, è stato dichiarato di aver provveduto all’oscuramento dei dati personali sui provvedimenti amministrativi contestati.

5.2. Sulla mancata comunicazione dei dati di contatto del RPD

Quanto all’ulteriore questione, emersa nel corso dell’istruttoria, riguardante la mancata comunicazione della variazione dei dati di contatto al Garante del Responsabile della protezione dei dati tramite l’apposita procedura online – ai sensi dell’art. 37, par. 7, del RGPD – l’ente ha ammesso tale mancanza, rappresentando di non avere conoscenza della circostanza, in quanto l’adempimento era rimesso a un soggetto interno all’organizzazione responsabile di uno specifico settore. Si tratta, tuttavia, di un’argomentazione inidonea a giustificare l’illiceità della condotta, considerando che gli obblighi (e le conseguenti responsabilità), derivanti dagli adempimenti previsti dalla citata disposizione, ricadono ai sensi del RGPD sul titolare del trattamento, ossia sul Comune che, in quanto tale, è tenuto – in base al principio di accountability/«responsabilizzazione» – a «mette[re] in atto misure tecniche e organizzative adeguate per garantire, ed essere in grado di dimostrare, che il trattamento è effettuato conformemente al presente regolamento» (art. 5, par. 2, e 24 del RGPD). Ciò «tenuto conto della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, nonché dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche» (ibidem).

La situazione è in ogni caso stata sanata, in quanto il Comune ha provveduto a effettuare la corretta comunicazione al Garante, che risulta acquisita al prot. n. XX del XX. 

6. Esito dell’istruttoria relativa al reclamo presentato

Le circostanze riportate negli scritti difensivi del Comune, esaminate nel loro complesso, anche se sicuramente meritevoli di considerazione ai fini della valutazione della condotta, non risultano sufficienti a consentire l’archiviazione del presente procedimento. Ciò in quanto, nel caso in esame, non ricorre alcuna delle ipotesi previste dall’art. 11 del Regolamento del Garante n. 1/2019. 

In tale quadro, si confermano le valutazioni preliminari dell’Ufficio contenute nella nota prot. n. XX del XX. Si rileva pertanto che il trattamento di dati personali effettuato dal Comune di San Nicandro Garganico non è conforme alla disciplina rilevante in materia di protezione dei dati personali, in quanto il predetto Comune:

I) ha diffuso sul sito web istituzionale dati e informazioni personali del reclamante (nominativo e informazioni riguardanti il procedimento giudiziario dinnanzi al giudice del lavoro), contenuti nell’oggetto e nel testo della Deliberazione del Consiglio Comunale n. 13/2025 e nella Determinazione n. 71/2025 con i relativi allegati (Visto Contabile e Pubblicazione) pubblicati online, in violazione: 

a. del principio di «minimizzazione» dei dati, che non sono «limitati a quanto necessario rispetto alle finalità per le quali sono trattati», previsto dall’art. 5, par. 1, lett. c), del RGPD;

b.    

c. dell’art. 124, comma 1, del d. lgs. n. 267/2000; dell’art. 2-ter, commi 1 e 3, del Codice; nonché dei principi di base del trattamento contenuti negli artt. 5, par. 1, lett. a) e c); 6, par. 1, lett. c) ed e), par. 2 e par. 3, lett. b), del RGPD, in quanto i dati sono stati in ogni caso mantenuti online oltre il termine di quindici giorni previsto per la pubblicazione nell’albo pretorio e, quindi, in assenza di idonei presupposti normativi.

II) non ha effettuato la comunicazione obbligatoria al Garante della variazione dei dati di contatto del Responsabile della Protezione dei Dati (RPD) designato dal Comune, in violazione dell’art. 37, par. 7, del RGPD.

7. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria (artt. 58, par. 2, lett. i; 83 del RGPD) 

Il Garante, ai sensi ai sensi degli artt. 58, par. 2, lett. i) e 83 del RGPD, nonché dell’art. 166 del Codice, ha il potere correttivo di «infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso». In tale quadro, «il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice» (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

Nel caso di specie, il Comune di San Nicandro Garganico ha posto in essere due condotte distinte, le quali devono, pertanto, essere considerate separatamente ai fini della quantificazione delle sanzioni amministrative da applicarsi.

7.1 La violazione di cui al par. 5.1 del presente provvedimento

In relazione alla illecita diffusione di dati personali descritta nel par. 5.1, il Comune risulta aver violato (cfr. par. 6, n. I.a. e I.b.) gli artt. 5, par. 1, lett. a) e c); 6, par. 1, lett. c) ed e), par. 2 e par. 3, lett. b) del RGPD nonché gli artt. 2-ter, commi 1 e 3, del Codice.

Al riguardo, l’art. 83, par. 3, del RGPD, prevede che «Se, in relazione allo stesso trattamento o a trattamenti collegati, un titolare del trattamento o un responsabile del trattamento viola, con dolo o colpa, varie disposizioni del presente regolamento, l’importo totale della sanzione amministrativa pecuniaria non supera l’importo specificato per la violazione più grave». 

Nel caso di specie, la violazione delle disposizioni citate – considerando anche il richiamo contenuto nell’art. 166, comma 2, del Codice – è soggetta all’applicazione della stessa sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, lett. a) del RGPD, che si applica pertanto al caso in esame. 

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del RGPD.

In tal senso, si tiene conto del fatto che la condotta contestata risulta essere di natura colposa e ha avuto a oggetto l’illecita diffusione online di dati personali non appartenenti a categorie particolari né a condanne penali o reati (artt. 9 e 10, del RGPD), riferiti a un solo soggetto interessato, mantenuti sul sito web istituzionale almeno fino alla data dell’invio delle memorie difensive del Comune (XX) e quindi per circa un anno. 

Si ritiene pertanto che, nel caso di specie, il livello di gravità della condotta tenuta dal titolare del trattamento sia medio (cfr. Comitato europeo per la protezione dei dati, “Guidelines 04/2022 on the calculation of administrative fines under the GDPR” del 23/5/2023, punto 60).

Ciò premesso, oltre a tener conto della circostanza che il Comune di San Nicandro Garganico è un ente di medie dimensioni con più di 13.000 abitanti, si prendono in considerazione anche le seguenti circostanze attenuanti: 

- il titolare del trattamento, a seguito della richiesta dell’Ufficio è intervenuto tempestivamente, collaborando con l’Autorità nel corso dell’istruttoria del presente procedimento al fine di porre rimedio alle violazioni, attenuandone i possibili effetti negativi; dichiarando, a tal fine, che la condotta è cessata avendo provveduto a rimuovere i dati personali oggetto di contestazione dal sito web istituzionale;

- non risultano precedenti violazioni del RGPD pertinenti commesse dall’ente.

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di dover determinare ai sensi dell’art. 83, parr. 2 e 3, del RGPD l’ammontare della sanzione pecuniaria, prevista dall’art. 83, par. 5, lett. a) del RGPD, nella misura di euro 2.400,00 (duemilaquattrocento) per la violazione degli artt. 5, par. 1, lett. a) e c); 6, par. 1, lett. c) ed e), par. 2 e par. 3, lett. b) del RGPD nonché gli artt. 2-ter, commi 1 e 3, del Codice (cfr. anche art. 26, comma 4, del d. lgs. n. 33/2013), quale sanzione amministrativa pecuniaria ritenuta effettiva, proporzionata e dissuasiva sensi dell’art. 83, par. 1, del medesimo RGPD.

7.2 La violazione di cui al par. 5.2 del presente provvedimento

In relazione alla condotta descritta nel par. 5.2 riguardante l’omessa comunicazione obbligatoria al Garante della variazione dei dati di contatto del Responsabile della Protezione dei Dati (RPD), in violazione dell’art. 37, par. 7, del RGPD tramite l’apposita procedura online, il Comune risulta aver violato (cfr. par. 6, n. II) l’art. 37, par. 7, del RGPD.

In ordine alla condotta in esame, la violazione della disposizione citata è soggetta alla sanzione amministrativa pecuniaria prevista dall’art. 83, par. 4, lett. a) del RGPD. 

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del RGPD.

Con specifico riguardo alla natura e alla gravità della violazione (art. 83, par. 2, lett. a, del RGPD), si rileva che il Comune è un ente di medie dimensioni con più di 13.000 abitanti e che la situazione è stata in ogni caso sanata con la comunicazione dei dati di contatto del RPD al Garante – ai sensi dell’art. 37, par. 7, del RGPD – tramite l’apposita procedura online con nota prot. n. XX del XX.

In tale contesto, si ritiene che, nello specifico caso in esame, il livello di gravità della violazione commessa dal titolare del trattamento sia medio (cfr. Comitato europeo per la protezione dei dati, «Guidelines 04/2022 on the calculation of administrative fines under the GDPR» del 23/5/2023, punto 60).

Ciò premesso, ai fini della quantificazione della sanzione, devono essere prese in considerazione le seguenti circostanze attenuanti:

- il titolare del trattamento, a seguito della richiesta dell’Ufficio è intervenuto tempestivamente, collaborando con l’Autorità nel corso dell’istruttoria del presente procedimento al fine di porre rimedio alle violazioni, attenuandone i possibili effetti negativi;

- non risultano precedenti violazioni del RGPD pertinenti commesse dall’ente.

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di dover determinare ai sensi dell’art. 83, parr. 2 e 3, del RGPD l’ammontare della sanzione pecuniaria, prevista dall’art. 83, par. 4, lett. a) del RGPD, nella misura di euro 1.200,00 (milleduecento) per la violazione dell’art. 37, par. 7, del RGPD, quale sanzione amministrativa pecuniaria ritenuta effettiva, proporzionata e dissuasiva sensi dell’art. 83, par. 1, del medesimo RGPD.

7.3. La sanzione accessoria della pubblicazione

Considerate le specifiche circostanze del presente caso, riguardanti la diffusione di dati personali online in assenza di una idonea base normativa e in violazione del principio di minimizzazione dei dati (art. 2-ter, commi 1 e 3, del Codice; art. 5, par.1, lett. c, del RGPD) nonché la mancata comunicazione della variazione dei dati di contatto del RPD a questa Autorità, si ritiene che debba essere applicata anche la sanzione accessoria della pubblicazione del presente provvedimento sul sito Internet del Garante, prevista dall’art. 166, comma 7, del Codice e dall’art. 16, comma 1, del Regolamento del Garante n. 1/2019.

Si ritiene, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento del Garante n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

rilevata l’illiceità del trattamento effettuato dal Comune di San Nicandro Garganico nei termini indicati in motivazione ai sensi degli artt. 58, par. 2, lett. i), e 83 del RGPD per la violazione degli artt. 5, par. 1, lett. a) e c); 6, par. 1, lett. c) ed e), par. 2 e par. 3, lett. b), 37, par. 7, del RGPD, nonché gli artt. 2-ter, commi 1 e 3, del Codice,

ORDINA 

al Comune di San Nicandro Garganico, in persona del legale rappresentante pro-tempore, con sede legale in Corso Garibaldi, 54 - 71015 San Nicandro Garganico (FG) – C.F. 84001770712 di pagare la somma complessiva di euro di euro 3.600,00 (tremilaseicento) a titolo di sanzione amministrativa pecuniaria per le violazioni di cui in motivazione; 

INGIUNGE

al medesimo Comune di pagare la somma di euro 3.600,00 (tremilaseicento), secondo le modalità indicate in allegato, entro 30 giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981.

Si ricorda che resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento – sempre secondo le modalità indicate in allegato – di un importo pari alla metà della sanzione irrogata, entro il termine di cui all’art. 10, comma 3, del d. lgs. n. 150 dell’1/9/2011 previsto per la proposizione del ricorso come sotto indicato (art. 166, comma 8, del Codice).

DISPONE

- la pubblicazione del presente provvedimento sul sito web del Garante ai sensi dell’art. 166, comma 7, del Codice e dall’art. 16, comma 1, del Regolamento del Garante n. 1/2019; 

- l’annotazione nel registro interno dell’Autorità delle violazioni e delle misure adottate ai sensi dell’art. 58, par. 2, del RGPD con il presente provvedimento, come previsto dall’art. 17 del Regolamento del Garante n. 1/2019.

Ai sensi dell’art. 78 del RGPD, degli artt. 152 del Codice e 10 del d. lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 20 ottobre 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Montuori