[doc. web n. 10097307]

Provvedimento del 27 novembre 2024

Registro dei provvedimenti
n. 727 del 27 novembre 2024

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, il dott. Agostino Ghiglia e l'avv. Guido Scorza, componenti e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore il dott. Agostino Ghiglia;

PREMESSO

1. Introduzione.

Con reclamo presentato in data XX ai sensi dell’art. 77 del Regolamento, nei confronti del Comune di Torrenova (di seguito il “Comune”), il Sig. XX ha lamentato una presunta violazione della disciplina in materia di protezione dei dati personali da parte del Comando di Polizia locale del Comune.

In particolare, il reclamante ha rappresentato che nel verbale di contestazione ad esso notificato per violazione del Decreto Legislativo 30 aprile 1992, n. 285 (Nuovo Codice della strada) è riportato che "il trattamento dei dati avviene per finalità connesse alla notificazione degli atti concernenti illeciti amministrativi. In relazione ai predetti trattamenti l’interessato potrà esercitare i diritti di cui agli artt. 7, 8, 9 e 10 del D.Lgs. n. 196/2003. Titolare dei dati è il Comune di Torrenova. Responsabile del Trattamento dei dati è il Comandante del Comando di Polizia Locale […]" e, altresì, non è indicato dove è possibile reperire l’informativa estesa.

In aggiunta, a seguito di istanza di accesso agli atti, il reclamante è venuto “a conoscenza che il responsabile del settore della Polizia Locale del Comune di Torrenova, […] aveva affidato alla XX […] la gestione globale dei procedimenti sanzionatori al C.d.S., indicando come responsabile del trattamento dei dati personali […l’] amministratore unico della XX […]”.

2. L’attività istruttoria

Preliminarmente, si rappresenta che, in occasione delle verifiche effettuate per accertare quanto rappresentato nel reclamo, l’Ufficio, con nota dell’XX (prot. n. XX) ha invitato il Comune a fornire ogni informazione utile in relazione alla vicenda sopra rappresentata, ai sensi dell’art. 157 del Codice. Il Comune, con nota del XX (prot. n. XX), ha fornito riscontro alla suddetta richiesta di informazioni dichiarando, in particolare, che:

- “già a seguito delle rimostranze dell’interessato colpito dalla sanzione e dell’annunciata intenzione di intraprendere eventuali azioni a propria tutela, il Comune aveva prontamente contattato il proprio DPO, che, in data XX affermava che: "pur nella considerazione che la procedura di accertamento e individuazione del soggetto sia svolta interamente all'interno dell'ente e affidata esclusivamente a operatori della polizia locale, per il futuro, pur nella correttezza e regolarità dell'affidamento del servizio, peraltro limitato esclusivamente all'imbustamento e al recapito, e avendo rilevato che è stata individuata la specifica responsabilità esterna della società di postalizzazione, si ritiene opportuno aggiungere, nel documento con il quale di comunica la contestazione della violazione, una dicitura che informi di tale affidamento all'esterno";

- “già prima della ricezione del provvedimento di codesta Autorità, il Comune si era attivato al fine di procedere alla integrazione dell'informativa contenuta nel verbale di accertamento delle violazioni al codice della strada. Peraltro, traendo spunto dalla nota di codesta Autorità e dalle precisazioni riguardo alle modalità di predisposizione dell'informativa, quest'ultima è stata nuovamente adeguata affinché possa essere maggiormente rispondente alle prescrizioni vigenti”.
Con riferimento alla condotta del Comune, l’Ufficio, sulla base degli elementi acquisiti e dei fatti emersi a seguito dell’attività istruttoria, ha notificato allo stesso, in data XX (prot. n. XX) ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento per aver agito in maniera non conforme al principio di “liceità, correttezza e trasparenza” e in violazione degli artt. 5, par. 1, lett. a), 12 e 13 del Regolamento.

Il Comune, con l’atto sopra citato, è stato invitato a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, dalla legge 24 novembre 1981, n. 689).
Con nota del XX (prot. n. XX), il Comune, ha presentato una memoria difensiva, dichiarando, in particolare, che:

- “La violazione è palesemente involontaria e deriva dall'utilizzo di un modello che non reca le generalità di un soggetto esterno a cui è stata comunque affidata formalmente la responsabilità del trattamento per la fase della domiciliazione. Peraltro si precisa che l'omissione del Responsabile del trattamento nel modello di accertamento è colmata, pur se tardivamente, con la trasmissione all'interessato dell'avviso di accertamento che contiene tutte le generalità del Responsabile esterno”;

- “si è prontamente provveduto colmando ogni lacuna provvedendo come segue:

a) indicazione esplicita del DPO

b) predisposizione di una informativa completa e rispondente alle prescrizioni di Legge

c) predisposizione di un nuovo modello di accertamento contenente l'indicazione del Responsabile esterno e i riferimenti normativi aggiornati […]”.

- “Il trattamento oggetto del processo non riguarda "dati particolari", ma esclusivamente le informazioni desumibili dalla targa del veicolo, dalla velocità tenuta nel tratto di strada specificamente controllato”.
Il Comune non ha chiesto di essere audito.

3. Esito dell’attività istruttoria.

3.1. La normativa applicabile in materia di protezione dei dati personali.

In base alla disciplina in materia di protezione dei dati personali i soggetti pubblici possono trattare i dati personali degli interessati se il trattamento è necessario, in generale, per adempiere a specifici obblighi o compiti previsti da leggi (artt. 6, paragrafo 1, lett. c), del Regolamento). Il trattamento è, inoltre, lecito quando sia “necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (art. 6, paragrafo 1, lett. e) e paragrafo 2 e 3 del Regolamento; 2-ter del Codice).

Il titolare del trattamento è tenuto altresì, in ogni caso, a rispettare i principi in materia di protezione dei dati personali, fra cui quelli di “liceità, correttezza e trasparenza”, in base ai quali i dati personali devono essere “trattati in modo lecito, corretto e trasparente nei confronti dell’interessato” (art. 5, par. 1, lett. a) del Regolamento).

In particolare, alla luce del suddetto principio di trasparenza, il titolare del trattamento deve adottare misure appropriate per fornire all'interessato tutte le informazioni di cui agli artt. 13 (qualora i dati personali siano raccolti presso l'interessato) e 14 (qualora i dati personali non siano stati ottenuti presso l'interessato) del Regolamento in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro (art. 12, par. 1, del Regolamento).

3.2. L’informativa agli interessati.

Dall’accertamento compiuto sulla base degli elementi acquisiti, delle dichiarazioni rese e dei fatti emersi nell’ambito dell’attività istruttoria condotta, è stato rilevato che il Comune ha fornito un’informativa sul trattamento dei dati personali, effettuato nelle procedure di accertamento delle violazioni al codice della strada non conforme ai requisiti previsti dalla normativa in materia di protezione dei dati.

Sul punto occorre precisare che, nel rendere all’interessato le informazioni finalizzate al rispetto del citato principio di trasparenza, il titolare del trattamento può adottare un approccio stratificato, al fine di “facilitare la fornitura delle informazioni”; in ogni caso, quale che sia il formato utilizzato in tale approccio stratificato, occorre che “il primo “strato” (in altre parole, la modalità principale con cui il titolare del trattamento si rivolge inizialmente all’interessato) trasmetta di regola le informazioni più importanti […], vale a dire le finalità del trattamento, l’identità del titolare e una descrizione dei diritti dell’interessato, oltre a informazioni sull’impatto più consistente del trattamento o informazioni sul trattamento che potrebbe cogliere di sorpresa l’interessato. […]” (cfr. “Linee guida sulla trasparenza ai sensi del regolamento 2016/679” del Gruppo di Lavoro Articolo 29 per la Protezione dei Dati del 29 novembre 2017, come modificate e adottate in ultimo l’11 aprile 2018 e fatte proprie dal Comitato europeo per la protezione dei dati il 25 maggio 2018, punto 38, nonché punto 36 per quanto concerne la stratificazione in ambiente digitale). Al riguardo, risulta opportuno evidenziare quanto previsto, altresì, dal considerando 39 del Regolamento, in cui è indicato, in particolare, che: “Il principio della trasparenza impone che le informazioni e le comunicazioni relative al trattamento di tali dati personali siano facilmente accessibili e comprensibili e che sia utilizzato un linguaggio semplice e chiaro. Tale principio riguarda, in particolare, l'informazione degli interessati sull'identità del titolare del trattamento e sulle finalità del trattamento e ulteriori informazioni per assicurare un trattamento corretto e trasparente con riguardo alle persone fisiche interessate e ai loro diritti di ottenere conferma e comunicazione di un trattamento di dati personali che le riguardano. È opportuno che le persone fisiche siano sensibilizzate ai rischi, alle norme, alle garanzie e ai diritti relativi al trattamento dei dati personali, nonché alle modalità di esercizio dei loro diritti relativi a tale trattamento […]”.

In aggiunta, nel caso di titolari del trattamento che hanno una presenza digitale/online, “una “misura appropriata” per fornire informazioni finalizzate alla trasparenza è fornirle mediante una dichiarazione/informativa sulla privacy elettronica. In funzione delle circostanze della raccolta e del trattamento dei dati, il titolare del trattamento potrebbe tuttavia dover far uso di altre modalità e forme in aggiunta a detto metodo […]” combinando pertanto, in tale approccio stratificato, metodi distinti e garantendo, in ogni caso, “che le informazioni più importanti […] siano sempre trasmesse nella prima modalità usata per comunicare con l’interessato. […]” (cfr. Linee guida, cit., punto 40).

Per quanto concerne il secondo “strato” (o “livello”) di informazioni, risulta opportuno evidenziare che quest’ultimo, oltre a dover essere facilmente raggiungibile da parte dell’interessato, deve contenere tutti gli elementi obbligatori a norma degli articoli 13 e 14 del Regolamento stesso, in ossequio a quanto previsto dal citato art. 12 del Regolamento.

Ciò premesso, nella informativa inizialmente riportata nel format di verbale di contestazione è stato rilevato, in particolare, che:

- sono stati indicati riferimenti non aggiornati in merito alla normativa sulla protezione dei dati personali;

- non sono state indicate le modalità attraverso le quali gli interessati possono accedere ad un’informativa completa di “secondo livello” nella quale poter reperire gli ulteriori e completi elementi tra cui i dati di contatto del responsabile della protezione dei dati, nominato ai sensi dell’art. art. 37 del Regolamento, i soggetti coinvolti nel trattamento dei dati personali (anche mediante l’indicazione degli “eventuali destinatari o [del]le eventuali categorie di destinatari dei dati personali” ai sensi dell’art. 13, par. 1, lett. e) del Regolamento), l’indicazione dei diritti riconosciuti agli interessati ai sensi degli articoli da 15 a 22 del Regolamento, le modalità di esercizio degli stessi, nonché il diritto di proporre reclamo all’Autorità.

Per quanto concerne gli aggiornamenti effettuati dal Comune in corso d’istruttoria a seguito della richiesta d’informazioni inviata da parte dell’Autorità deve evidenziarsi, in primo luogo, che l’informativa dallo stesso adottata, mediante un approccio stratificato, risulta ancora carente di alcuni elementi obbligatori a norma degli articoli 13 e 14 del Regolamento  (modalità di esercizio dei diritti riconosciuti agli interessati ai sensi degli articoli da 15 a 22 del Regolamento, nonché il diritto di proporre reclamo all’Autorità) non essendo tali elementi ancora adeguatamente integrati almeno nell’informativa di “secondo livello” da fornire agli interessati. Ciò in quanto, nella suddetta informativa, risulta indicato, in particolare, che per l’esercizio dei diritti di cui agli artt. 15-22 del Regolamento “ogni interessato può rivolgersi al titolare o ai responsabili sopra indicati o in alternativa al Garante per la protezione dei dati personali all’indirizzo protocollo@gpdp.it” (documentazione acquisita in atti).

Su tale informativa estesa si osserva inoltre che, dagli accertamenti effettuati dall’Ufficio, la stessa non risulta essere facilmente raggiungibile da parte degli interessati, posto che nella sezione “Modulistica” contenuta nel sito web istituzionale del Comune (https://www.comune.torrenova.me.it/) è presente una sotto-sezione relativa al “Trattamento dei dati personali” in cui sono presenti tre distinte informative concernenti il trattamento dei dati personali, ma non quella relativa ai trattamenti inerenti alle procedure di accertamento delle violazioni al Codice della strada. La predetta informativa risulta disponibile al link “Privacy UE - GDPR 2016/679 - RDP-DPO (informazioni generali)” della sezione “Modulistica”, oppure nella sezione “Privacy UE - GDPR 2016/679 - RDP-DPO”.

In ragione delle considerazioni che precedono, risulta accertato che il Comune ha operato in violazione dell’obbligo che impone al titolare del trattamento di rendere agli interessati una preventiva e idonea informativa, secondo quanto previsto dagli artt. 12 e 13 del Regolamento, e del “principio di liceità, correttezza e trasparenza” di cui all’art. 5, lett. a) del Regolamento).

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dal Comune, in qualità di titolare del trattamento, nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗, seppure meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento ai sensi dell’art. 14, comma 1, del Regolamento del Garante n. 1/2019, non ricorrendo alcuno dei casi previsti dall’art. 11 ivi richiamato.

Si confermano, pertanto, le valutazioni preliminari dell’Ufficio e si rileva l’illiceità del trattamento di dati personali effettuato dal Comune, per aver effettuato il trattamento di dati personali in violazione degli artt. 5, par. 1, lett. a), 12 e 13 del Regolamento.

La violazione delle predette disposizioni rende applicabile la sanzione amministrativa prevista dall’art. 83, par. 5, del Regolamento, ai sensi degli artt. 58, par. 2, lett. i), e 83, par. 3, del Regolamento medesimo, come richiamato anche dall’art. 166, comma 2, del Codice.
5. Misure correttive (art. 58, par. 2, lett. d), del Regolamento).

L’art. 58, par. 2, del Regolamento attribuisce al Garante il potere di “ingiungere al titolare del trattamento o al responsabile del trattamento di conformare i trattamenti alle disposizioni del presente regolamento, se del caso, in una determinata maniera ed entro un determinato termine” (lett. d).

Prendendo atto di quanto emerso in fase di istruttoria e tenendo conto della circostanza che, come illustrato nel precedente paragrafo 3.2., nonostante gli interventi migliorativi del Comune, l’informativa stratificata fornita agli interessati risulta attualmente ancora non conforme a quanto previsto dalla normativa in materia di protezione dei dati personali. Pertanto, si rende altresì necessario, ai sensi dell’art. 58, par. 2, lett. d), del Regolamento, ingiungere al Comune di adottare misure idonee a provvedere a:

1) rendere l’informativa di secondo livello facilmente reperibile e accessibile da parte degli interessati, provvedendo alla cancellazione di eventuali informative obsolete e/o duplicate e valutando, altresì, di organizzare il proprio sito web istituzionale evitando percorsi di navigazione multipli per raggiungere la predetta informativa nonché la cosiddetta “click fatigue” per gli interessati;

2) rendere l’informativa di secondo livello completa degli ulteriori elementi obbligatori previsti dagli artt. 13 e 14 del Regolamento, descritti nel precedente paragrafo 3.2. (in particolare, corretta indicazione delle modalità di esercizio dei diritti degli interessati di cui agli artt. 15-22 del Regolamento e diritto di proporre reclamo all’Autorità).

Ai sensi degli artt. 58, par. 1, lett. a), del Regolamento e 157 del Codice, il Comune dovrà, inoltre, provvedere a comunicare a questa Autorità, fornendo un riscontro adeguatamente documentato, entro trenta giorni dalla notifica del presente provvedimento, le iniziative intraprese al fine di dare attuazione a quanto sopra ordinato ai sensi del citato art. 58, par. 2, lett. d), nonché le eventuali misure poste in essere per assicurare la conformità del trattamento alla normativa in materia di protezione dei dati personali.

6. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

Tenuto conto che la violazione delle disposizioni sopra citate da parte del Comune ha avuto luogo in conseguenza di un’unica condotta, trova applicazione l’art. 83, par. 3, del Regolamento, ai sensi del quale l'importo totale della sanzione amministrativa pecuniaria non supera l'importo specificato per la violazione più grave. Considerato che, nel caso di specie, tutte le violazioni accertate – artt. 5, 12 e 13 del Regolamento - sono soggette alla sanzione prevista dall’art. 83, par. 5, del Regolamento, come richiamato anche dall’art. 166, comma 2, del Codice, l’importo totale della sanzione è da quantificarsi fino a euro 20.000.000 (ventimilioni/00).

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

Con specifico riguardo alla natura e alla gravità della violazione (art. 83, par. 2, lett. a), del Regolamento), occorre considerare che il Comune ha provveduto, sebbene in maniera non completa e adeguata, a fornire alcune informazioni agli interessati – incluso al reclamante - in merito ai trattamenti di dati personali effettuati in materia di circolazione stradale, indicandole direttamente nel format di verbale di contestazione, senza però indicare le modalità attraverso le quali accedere ad un’informativa completa di “secondo livello” nella quale poter reperire gli ulteriori e completi elementi previsti dagli artt. 13 e 14 del Regolamento.

In senso favorevole al Comune deve, tuttavia, considerarsi:

- che non risultano comprovati eventuali danni subiti dagli interessati (art. 83 par. 2, lett. a) del Regolamento);

- il carattere colposo della violazione, atteso l’erroneo convincimento da parte del Comune circa la conformità del format utilizzato alla normativa in materia di protezione dei dati personali (art. 83, par. 2, lett. b) del Regolamento);

- che i trattamenti in questione non sono relativi a categorie particolari di dati (art. 83, par. 2, lett. g).

Alla luce di tali circostanze, si ritiene che, nel caso di specie, il livello di gravità della violazione commessa dal titolare del trattamento possa essere considerato di grado medio (cfr. Comitato europeo per la protezione dei dati, “Guidelines 04/2022 on the calculation of administrative fines under the GDPR” del 23 maggio 2023, punto 60).

Ciò premesso, si ritiene che, ai fini della quantificazione della sanzione, debba essere presa in considerazione, in senso favorevole al Comune, che titolare del trattamento è un Comune di modeste dimensioni (circa 4.490 abitanti), che non risultano precedenti violazioni pertinenti commesse dal titolare del trattamento (art. 83, par. 2, lett. e), del Regolamento) nonché il grado di cooperazione manifestato dal titolare con l'autorità di controllo al fine di porre rimedio alla violazione e attenuarne i possibili effetti negativi, tenendo conto che lo stesso ha provveduto ad integrare il format di informativa “di primo livello” presente nei verbali di accertamento e ad adottare l’informativa estesa, pubblicata sul proprio sito web istituzionale, nonché a notificare nuovamente al reclamante il verbale di accertamento contenente l’informativa aggiornata (art. 83, par. 2, lett. f) del Regolamento).

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 4.000,00 (quattromila/00) per la violazione degli artt. 5, par. 1, lett. a), 12 e 13 del Regolamento, quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, par. 1, del Regolamento, effettiva, proporzionata e dissuasiva.

In tale quadro si ritiene, altresì, che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente capo contenente l'ordinanza ingiunzione sul sito Internet del Garante.

Ciò in considerazione delle specifiche circostanze del caso concreto, riguardanti il mancato rispetto da parte del Comune del principio di trasparenza di cui all’art. 5, par. 1, lett. a) del Regolamento, mediante l’adozione di un’informativa di “primo livello” carente degli elementi previsti dalla normativa in materia di protezione dei dati personali e la mancata adozione di un’informativa estesa.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

ai sensi degli artt. 57, par. 1, lett. f), e 83 del Regolamento, rileva l’illiceità del trattamento effettuato dal Comune di Torrenova nei termini di cui in motivazione, per la violazione degli artt. 5, par. 1, lett. a), 12 e 13 del Regolamento;

ORDINA

ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento, nonché dell’art. 166 del Codice, al Comune di Torrenova, con sede legale in Via Benedetto Caputo, 98070 Torrenova (ME), C.F. 95001680834, di pagare la complessiva somma di euro 4.000,00 (quattromila/00) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione. Si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata;

INGIUNGE

al Comune di Torrenova:

- di pagare la complessiva somma di euro 4.000,00 (quattromila/00) in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, secondo le modalità indicate in allegato, entro trenta giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981;

- ai sensi dell’art. 58, par. 2, lett. d) del Regolamento, di adottare le misure idonee a rendere, per quanto concerne i trattamenti di dati personali effettuati ai fini dell’accertamento di violazioni al Codice della strada, l’informativa di secondo livello completa degli ulteriori elementi obbligatori previsti dagli artt. 13 e 14 del Regolamento, descritti nel paragrafo 3.2. (in particolare, corretta indicazione delle modalità di esercizio dei diritti degli interessati di cui agli artt. 15-22 del Regolamento e diritto di proporre reclamo all’Autorità) e facilmente reperibile e accessibile da parte degli interessati, provvedendo alla cancellazione di eventuali informative obsolete e/o duplicate e valutando, altresì, di organizzare il proprio sito web istituzionale evitando percorsi di navigazione multipli per raggiungere la predetta informativa nonché la cosiddetta “click fatigue” per gli interessati;

- ai sensi degli artt. 58, par. 1, lett. a), del Regolamento e 157 del Codice, di comunicare a questa Autorità, fornendo un riscontro adeguatamente documentato, entro trenta giorni dalla notifica del presente provvedimento, le iniziative intraprese al fine di dare attuazione a quanto sopra ordinato ai sensi del citato art. 58, par. 2, lett. d), nonché le eventuali misure poste in essere per assicurare la conformità del trattamento alla normativa in materia di protezione dei dati personali.

DISPONE

ai sensi dell'art. 166, comma 7, del Codice e dell'art. 16, comma 1, del Regolamento del Garante n. 1/2019, la pubblicazione dell'ordinanza ingiunzione sul sito internet del Garante;

ai sensi dell’art. 154-bis, comma 3 del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito web del Garante;

ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione del presente provvedimento nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u), del Regolamento.

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 27 novembre 2024

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE
Mattei