[doc. web n. 10114785]

Provvedimento del 13 febbraio 2025

Registro dei provvedimenti
n. 68 del 13 febbraio 2025

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l'avv. Guido Scorza, componenti e il dott. Claudio Filippi, vice segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore l’avv. Guido Scorza;

PREMESSO

1. Introduzione.

Con reclamo presentato ai sensi dell’art. 77 del Regolamento, un interessato ha lamentato una presunta violazione della disciplina in materia di protezione dei dati personali, relativa a trattamenti posti in essere dal Comune di Tuscania mediante dispositivi video.

Con nota prot. n. XX del XX, l’Autorità, ai sensi dell’art. 157 del Codice, ha rivolto al Comune una richiesta d’informazioni in relazione ai fatti oggetto di reclamo.

Non avendo il Comune fornito riscontro entro il termine impartitogli, l’Autorità, con nota del XX (prot. n. XX), ha notificato all’Ente la contestazione di violazione amministrativa di cui all’art. 166, comma 5, del Codice, per aver agito in violazione dell’art. 157 del Codice.

Sebbene il Comune fosse stato informato della possibilità di inviare al Garante scritti difensivi o documenti, nonché di chiedere di essere sentito in audizione, entro il termine di 30 giorni dalla data di notificazione della violazione, effettuata in data XX, il Comune non ha né presentato memorie difensive né ha chiesto di essere audito entro tale termine.

Soltanto con nota del XX (prot. n. XX), dunque tardivamente, il Comune ha solo parzialmente fornito gli elementi informativi a suo tempo richiesti. L’Ente ha, inoltre, fatto richiesta di essere audito, istanza che è stata respinta con nota del XX (prot. n. XX), in quanto presentata oltre il termine di trenta giorni previsto dalla legge (v. art. 166, commi 6 e 7 del Codice, nonché art. 18, comma 1 della l. n. 689 del 24 novembre 1981), spirato in data XX.

Con nota del XX (prot. n. XX), formulata ai sensi dell’art. 157 del Codice, l’Autorità ha, pertanto, rivolto al Comune una seconda richiesta d’informazioni, in relazione sia agli elementi informativi già a suo tempo richiesti, ma che non erano stati forniti, sia a ulteriori profili connessi ai fatti oggetto di reclamo.

Il Comune non ha, tuttavia, fornito alcun riscontro entro il termine impartitogli e l’Autorità, con nota del XX (prot. n. XX), ha notificato allo stesso un’ulteriore contestazione di violazione amministrativa di cui all’art. 166, comma 5, del Codice, per aver nuovamente agito in violazione dell’art. 157 del Codice.

A fronte di tale contestazione, il Comune, oltre a non aver presentato memorie difensive o chiesto di essere audito nel termine di trenta giorni dalla data di notificazione della violazione, non ha a tutt’oggi fornito alcun riscontro alla predetta richiesta d’informazioni, nonostante il lungo tempo trascorso.

2. Esito dell’attività istruttoria.

Alla luce di quanto illustrato al precedente par. 1, risulta accertato che il Comune ha omesso di fornire riscontro alle predette richieste d’informazioni formulate dall’Autorità ai sensi dell’art. 157 del Codice, avendo posto in essere due violazioni di tale disposizione e risultando tutt’ora inadempiente all’obbligo di rispondere all’Autorità nell’ambito del procedimento di trattazione del reclamo.

3. Conclusioni.

Sulla base delle valutazioni sopra richiamate, si rileva, stante anche l’assenza di scritti difensivi da parte del Comune, l’impossibilità di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento, non essendovi in atti elementi che possano consentire l’archiviazione del presente procedimento e non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Si confermano, pertanto, le valutazioni preliminari dell’Ufficio e si rileva la violazione da parte del Comune della disciplina in materia di protezione dei dati, per aver il Comune omesso di fornire pieno e tempestivo riscontro alla richiesta d’informazioni di cui alla nota del XX (prot. n. XX) e del tutto omesso di fornire riscontro alla richiesta d’informazioni di cui alla nota del XX (prot. n. XX), in duplice violazione dell’art. 157 del Codice.

Tenuto conto che le violazioni della predetta disposizione hanno avuto luogo in conseguenza di un’unica condotta (v. le “Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR”, adottate dal Comitato europeo per la protezione dei dati il 24 maggio 2023, par. 40, ove si evidenzia che “si potrebbe anche ipotizzare un'unità di azione quando una singola azione viola più volte la stessa disposizione di legge […] quando le circostanze costituiscono una violazione iterativa e congenere della stessa disposizione di legge in una stretta successione spazio-temporale), trova applicazione l’art. 83, par. 3, del Regolamento, ai sensi del quale l'importo totale della sanzione amministrativa pecuniaria non supera l'importo specificato per la violazione più grave. Considerato che, nel caso di specie, è stata violato più volte l’art. 157 del Codice nell’ambito del procedimento di trattazione di uno stesso reclamo, si applica la sanzione prevista dall’art. 83, par. 5, del Regolamento, come richiamato dall’166, comma 2, del Codice, e, pertanto, l’importo totale della sanzione è da quantificarsi fino a euro 20.000.000.

4. Misure correttive (art. 58, par. 2, lett. a), del Regolamento).

Perdurando l’inadempimento del Comune, si ritiene necessario ingiungere allo stesso, ai sensi degli artt. 58, par. 2, lett. a), del Regolamento e 157 del Codice, di fornire riscontro all’Autorità, entro trenta giorni dalla notifica del presente provvedimento, sia alla richiesta d’informazioni di cui alla nota del XX (prot. n. XX), rispetto alla quale l’Ente ha solo parzialmente e tardivamente fornito gli elementi necessari ai fini dell’istruttoria relativa al reclamo, sia alla richiesta d’informazioni di cui alla nota del XX (prot. n. XX), a tutt’oggi del tutto inevasa.

5. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

Al riguardo, tenuto conto dell’art. 83, par. 3, del Regolamento, nel caso di specie la violazione delle disposizioni citate è soggetta all’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento.

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

Tenuto conto che:

la violazione si connota di particolare disvalore, atteso che il Comune, nell’ambito dell’istruttoria relativa a un medesimo reclamo, ha omesso per due volte di fornire pieno e tempestivo riscontro a richieste d’informazioni dell’Autorità, dimostrando scarsa considerazione della disciplina in materia di protezione dei dati personali e del ruolo del Garante, nonché determinando una dilatazione dei tempi del procedimento, a detrimento della posizione del reclamante nell’ambito dello stesso (art. 83, par. 2, lett. a), del Regolamento);

la violazione ha carattere doloso (art. 83, par. 2, lett. b), del Regolamento);

si ritiene che, nel caso di specie, il livello di gravità della violazione commessa dal titolare del trattamento sia alto (cfr. Comitato europeo per la protezione dei dati, “Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR” del 24 maggio 2023, punto 60).

Ciò premesso, nel considerare che il titolare del trattamento è un Comune di piccole dimensioni (circa 8.000 abitanti), dotato, pertanto, di limitate risorse economiche, si ritiene che, ai fini della quantificazione della sanzione, debbano essere prese in considerazione le seguenti circostanze:

il Comune ha scarsamente cooperato con l’Autorità nel corso del procedimento, avendo fornito un parziale e tardivo riscontro soltanto con riferimento a una delle predette richieste d’informazioni (art. 83, par. 2, lett. f), del Regolamento);

non risultano precedenti violazioni pertinenti commesse dal Comune (art. 83, par. 2, lett. e), del Regolamento).

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 4.000 (quattromila) per la violazione dell’art. 157 del Codice, quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, par. 1, del Regolamento, effettiva, proporzionata e dissuasiva.

Si ritiene, altresì, che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente capo contenente l'ordinanza ingiunzione sul sito Internet del Garante. Ciò in considerazione del particolare disvalore della condotta del Comune, come sopra evidenziato.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

dichiara, ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, l’illiceità del trattamento effettuato dal Comune di Tuscania per violazione dell’art. 157 del Codice, nei termini di cui in motivazione;

ORDINA

al Comune di Tuscania, in persona del legale rappresentante pro-tempore, con sede legale in Piazza F. Basile, 5 - 01017 Tuscania (VT), C.F. 00171510563, di pagare la somma di euro 4.000 (quattromila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione. Si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata;

INGIUNGE

- al predetto Comune, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 4.000 (quattromila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981;

- al predetto Comune, ai seni degli artt. 58, par. 1, lett. a), del Regolamento e 157 del Codice, di fornire riscontro all’Autorità, entro trenta giorni dalla notifica del presente provvedimento, sia alla richiesta d’informazioni di cui alla nota del XX (prot. n. XX), rispetto alla quale l’Ente ha solo parzialmente e tardivamente fornito gli elementi necessari ai fini dell’istruttoria relativa al reclamo, sia alla richiesta d’informazioni di cui alla nota del XX (prot. n. XX), a tutt’oggi del tutto inevasa;

DISPONE

- ai sensi dell’art. 166, comma 7, del Codice e dell'art. 16, comma 1, del Regolamento del Garante n. 1/2019, la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;

- ai sensi dell’art. 154-bis, comma 3 del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet dell’Autorità;

- ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2 del Regolamento, nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u) del Regolamento.

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 13 febbraio 2025

IL PRESIDENTE
Stanzione

IL RELATORE
Scorza

IL VICE SEGRETARIO GENERALE
Filippi