Stangata di 30.000,00 Euro al Comune di Formia

Rispondi
Giancarlo Favero
Messaggi: 78
Iscritto il: dom gen 24, 2021 6:45 am

Stangata di 30.000,00 Euro al Comune di Formia

Messaggio da Giancarlo Favero »

Stangata di 30.000,00 Euro al Comune di Formia, che ha commesso numerose e significative violazioni ed irregolarità nella gestione delle soste a pagamento: eccedenza dei dati personali trattati, omessa (o tardiva) designazione della Società K-City S.r.l. in qualità di Responsabile del trattamento etc.
E' un provvedimento molto istruttivo e molto ben fatto, del quale consiglio l'attenta lettura, soprattutto da parte di dipendenti e personale dei Comuni.
Di seguito trovate il testo integrale del provvedimento, consultabile anche al seguente link:

https://www.garanteprivacy.it/web/guest ... eb/9716256

Buona lettura!

Giancarlo Favero

Ordinanza ingiunzione nei confronti di Comune di Formia - 29 settembre 2021 [9716256]
Stampa StampaStampa
PDF Trasforma contenuto inPDF
[doc. web n. 9716256]

Ordinanza ingiunzione nei confronti di Comune di Formia - 29 settembre 2021

Registro dei provvedimenti
n. 351 del 29 settembre 2021

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196, “Codice in materia di protezione dei dati personali”, come modificato dal d.lgs. 10 agosto 2018, n. 101, recante disposizioni per l’adeguamento dell'ordinamento nazionale al Regolamento (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione del n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

VISTA la documentazione in atti;

VISTE le osservazioni dell’Ufficio formulate dal Segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, in www.gpdp.it, doc. web n. 1098801;

RELATORE la prof.ssa Ginevra Cerrina Feroni;

1. Premessa

Da un reclamo presentato all’Autorità nel mese di XX è emerso che, al fine di sottoscrivere l’abbonamento al servizio di “sosta autorizzata” nel territorio del Comune di Formia (di seguito, il Comune), è richiesta la compilazione di alcuni moduli, contenenti “dati eccedenti” rispetto alla finalità asserita.

2. L’attività istruttoria

In risposta alla richiesta di informazioni di questa Autorità, con nota prot. n. XX del XX, il Comune ha dichiarato di aver disciplinato il servizio della sosta a pagamento all’interno del proprio territorio con Delibere di Giunta Comunale, effettuando una differenziazione per il regime degli abbonamenti, individuando tre diverse tipologie di soggetti che, a vario titolo, possono accedere a condizioni favorevoli di abbonamento rispetto a quelle previste per i turisti, più esose. La prima tipologia riguarda i residenti nel territorio comunale e i residenti nei Comuni limitrofi che possono richiedere l'abbonamento per la sosta a pagamento attraverso l’autocertificazione in applicazione delle disposizioni di cui al DPR 445/2000.

Il Comune, poi, “ha inteso concedere tali condizioni favorevoli ai seguenti soggetti non residenti: “proprietari di immobili non residenti nel Comune di Formia, e soggetti al pagamento dell'IMU e della TARI”; “cittadini non residenti affittuari di appartamenti nel Comune di Formia”; “lavoratori dipendenti non residenti nel Comune di Formia, liberi professionisti, lavoratori autonomi e titolari di attività commerciali non residenti del Comune di Formia”. A tali categorie di soggetti, pertanto, le richiamate disposizioni contenute nelle Delibere di Giunta Comunale impongono la prova del possesso del titolo preferenziale. Pertanto, per i “proprietari di immobili non residenti nel Comune di Formia, e soggetti al pagamento dell'IMU e della TARI” o per “cittadini non residenti affittuari di appartamenti nel Comune di Formia” si richiede il “contratto di affitto o possesso dell'immobile o in alternativa pagamento dell'ultima TARI”, per i “lavoratori dipendenti non residenti nel Comune di Formia, liberi professionisti, lavoratori autonomi e titolari di attività commerciali non residenti del Comune di Formia” si richiede “copia del contratto di lavoro” o “copia di iscrizione alla camera di commercio”.

Il Comune ha, altresì, dichiarato che il servizio di sosta a pagamento nel territorio comunale è stata affidato alla società K-City s.r.l. che “non ha operato, né diversamente le era consentito, alcuna valutazione in ordine all'’opportunità o meno di richiedere tale documentazione, limitandosi ad applicare le disposizioni ricevute dall’amministrazione nel Capitolato speciale d'Appalto, adottato in forza della Delibera di Giunta Comunale n. XX del XX e s.m.i. […] in data xx alla società K-City s.r.l. veniva consegnato il servizio di gestione della sosta a pagamento mediante verbale di consegna del Servizio sotto riserva di legge e contestualmente veniva nominata “Responsabile esterno del trattamento” sino alla stipula del contratto all'atto del quale si procederà con apposito Decreto Sindacale alla nomina formale di Responsabile Esterno del Trattamento dei Dati”.

Dagli atti è emerso che tale decreto sindacale di nomina della società K-city s.r.l. quale “responsabile del trattamento”, contenente le apposite istruzioni del titolare, è stato emesso solamente in data XX, successivamente quindi all’avvio dell’istruttoria da parte dell’Ufficio del Garante, mentre la società gestisce il servizio in esame dal XX.

In merito alla informativa relativa al trattamento in esame, il Comune ha dichiarato che “per quanto di propria competenza, la K-city s.r.1. ha fornito attraverso la propria informativa quanto disposto da ex art, 12, 13 e 14 del Regolamento UE 2016/679”.

È stato accertato, tuttavia, che l’informativa fornita dalla società K-city s.r.l. riguarda genericamente i trattamenti da essa svolti in qualità di “titolare del trattamento”, e non è attinente al trattamento relativo al servizio di sosta a pagamento svolto, per conto del Comune, in qualità di “responsabile del trattamento”, né risulta esser stata conferita agli interessati, da parte del Comune, alcuna informativa specifica in relazione al trattamento dei dati sotteso al servizio di abbonamento della sosta a pagamento.

In risposta a una ulteriore richiesta di informazioni dell’Autorità, il Comune, con nota del XX, ha dichiarato: «in riferimento a quanto richiesto relativamente al punto “l'effettiva necessità, rispetto alla asserita finalità di gestione degli abbonamenti di sosta dei cittadini, di raccogliere la documentazione attualmente richiesta, specificando, per ciascuna tipologia di documentazione acquisita, l'effettiva necessità e l'impossibilità di utilizzare misure più conformi al principio di “minimizzazione” sopra descritto (es. attestato rilasciato dal datore di lavoro, dichiarazione sostitutiva dell'atto di notorietà ai sensi dell'art. 47 del D.P.R. 445/2000, lo stato di famiglia completo di tutti i membri del nucleo familiare, etc.)”, in forza della deliberazione di Giunta Comunale n. XX del XX, la Società appaltatrice K-city ha richiesto la documentazione necessaria ed essenziale per il corretto rilascio del titolo agevolativo del permesso di sosta (cfr. punto 3 e 4 della richiamata deliberazione di Giunta Comunale) e non direttamente acquisibili dalla Società appaltatrice per il rilascio degli abbonamenti. In particolare, la richiesta dell'attestato rilasciato dal datore di lavoro nonché l'iscrizione alla Camera di Commercio da parte dell'utente si è resa necessaria per ottenere le agevolazioni destinate al rilascio dell'abbonamento in favore del “lavoratore dipendente/autonomo/proprietario di attività commerciale” al fine di comprovare il luogo di svolgimento dell'attività lavorativa nel territorio del Comune di Formia, così come previsto al punto 4 della deliberazione n. XX del XX. Altresì, in riferimento alla richiesta di “dichiarazione sostitutiva dell'atto di notorietà ai sensi dell'art. 47 del D.P.R. 445/2000,", si rappresenta che la stessa si è resa necessaria per il rilascio dell'abbonamento agevolato per numero due targhe appartenenti allo stesso nucleo familiare, come previsto al punto 2 della deliberazione n. XX. Infine, in riferimento alla richiesta del “contratto di affitto/possesso e ultima TARI” rappresenta che la stessa si è resa necessaria al fine del rilascio dell'abbonamento agevolato per i proprietari non residenti di immobili nel Comune di Formia per comprovare la proprietà dell'immobile e/o detenzione nel Comune di Formia così come stabilito al punto 3 della deliberazione n.XX del XX».

In relazione ai tempi di conservazione dei dati con riferimento al trattamento in esame, nella citata nota il Comune ha dichiarato “che tale aspetto è regolamentato al punto 7, sottopunto 3, rubricato “Conservazione cancellazione” del “Manuale Privacy redatto in conformità alla normativa vigente nel trattamento dei dati personali” adottato dalla Società K-city s.r.l.”.

Tuttavia, tale manuale è redatto dalla società K-city s.r.l. per i trattamenti effettuati in qualità di titolare del trattamento e non è attinente, dunque, ai trattamenti, quali quello in esame, svolti “per conto” del Comune di Formia in qualità di responsabile del trattamento.

Con nota del XX (prot. n. XX, l’Ufficio, sulla base degli elementi acquisiti, ha notificato al Comune, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, invitando il predetto titolare a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice; nonché art. 18, comma 1, dalla legge n. 689 del 24/11/1981). Con la nota sopra menzionata, l’Ufficio ha rilevato che il Comune ha posto in essere trattamenti di dati personali relativi ai soggetti interessati al servizio di abbonamento della sosta a pagamento, raccogliendo informazioni “eccedenti” rispetto alla asserita finalità, senza aver fornito idonea informativa agli interessati, in assenza di definizione del ruolo del soggetto esterno coinvolto nel trattamento e senza aver definito i tempi di conservazione dei dati raccolti, in violazione degli artt. degli artt. 5, par. 1, lett. a) e c) ed e), 12, 13, 14, 25 e 28 del Regolamento.

Con la nota del XX il Comune ha inviato al Garante i propri scritti difensivi in relazione alle violazioni notificate, dichiarando che “in un'ottica di leale collaborazione tra Pubbliche Amministrazioni intende adeguarsi a quanto evidenziato da Codesta Autorità ed attenuare ogni possibile effetto negativo; […] provvederà pertanto ad adeguare la modulistica secondo quanto contestato distinguendo i moduli a seconda delle agevolazioni tariffarie richieste. Per ogni modulo non saranno richiesti dati non indispensabili e direttamente riferibili all'agevolazione: per le agevolazioni ai liberi professionisti, per i lavoratori autonomi e per i titolari di attività commerciali non residenti nel Comune di Formia, sarà richiesta un’autocertificazione per le notizie relative alle imprese mentre per i lavoratori dipendenti, si chiederà unicamente un attestato di servizio; per le agevolazioni ai residenti nel Comune di Formia sarà espunto l'obbligo di allegare il certificato di stato di famiglia ma sarà richiesta un'autocertificazione relativa ai possessori di autoveicoli nell'ambito familiare ; per i proprietari di immobili non residenti nel Comune di Formia e soggetti al pagamento dell'IMU e TARI, per i cittadini non residenti affittuari di appartamenti nel Comune di Formia, nonché per tutti gli appartenenti al nucleo familiare ovvero per i conviventi degli affittuari o dei proprietari sarà sufficiente un’autocertificazione. Saranno integrate le informazioni rivolte ai cittadini sulla possibilità da parte loro di poter oscurare ogni dato non necessario al rilascio dell'abbonamento ovvero dell’agevolazione richiesta […] Le modalità di conservazione dei dati saranno limitate ed indicate come riferite esclusivamente al periodo di validità dell'abbonamento e successivamente cancellati dall’archivio con le modalità previste per legge. La modulistica sarà concordata con la Società concessionaria alla quale sarà espressamente richiesto di attenersi alle nuove disposizioni.”

In data XX si è tenuta l’audizione ai sensi dell’art. 166, comma 6, del Codice, nel corso della quale il Comune ha dichiarato di aver “adottato tempestivi provvedimenti correttivi, chiedendo al concessionario di cancellare i dati eccedenti precedentemente acquisiti e di adottare una nuova modulistica, che sarà utilizzata per i nuovi abbonamenti a partire da dicembre 2020. La nuova modulistica minimizza i dati personali degli interessati, conformemente a quanto indicato nelle memorie difensive del Comune […] In ogni caso, i trattamenti riguardavano dati comuni e non anche dati appartenenti a categorie particolari o dati giudiziari. I trattamenti hanno riguardato circa 256 interessati e quindi non una grande banca dati. Si è trattato comunque solo di una conservazione di dati personali e non di una diffusione”.

3. Esito dell’attività istruttoria

Ai sensi della disciplina in materia di protezione dei dati personali, il trattamento di dati personali effettuato da soggetti pubblici (come il Comune di Formia) è lecito solo se necessario “per adempiere un obbligo legale al quale è soggetto il titolare del trattamento” oppure “per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” [art. 6, par. 1, lett. c) ed e)]. La regolazione delle soste e dei parcheggi sul territorio rientra tra le attività istituzionali affidate agli enti locali.

Pur in presenza di una condizione di liceità, ad ogni modo, il titolare del trattamento è tenuto a rispettare i principi in materia di protezione dei dati, fra i quali quelli di “liceità, correttezza e trasparenza”, in base al quale i dati devono essere “trattati in modo lecito, corretto e trasparente nei confronti dell'interessato”, di “minimizzazione” dei dati, in base al quale i dati devono essere “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati” e “limitazione della conservazione”, secondo cui i dati devono essere “conservati in una forma che consenta l'identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati” (art. 5, par. 1, lett. a) e c) ed e) del Regolamento).

3.1 I principi di minimizzazione, limitazione della conservazione, protezione dei dati fin dalla progettazione e protezione dei dati per impostazione predefinita

In base al Regolamento, il trattamento deve essere “necessario” rispetto alla lecita finalità perseguita (art. 6, par. 1 del Regolamento) e avere ad oggetto i soli dati “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati” (art. 5, par. 1, lett. c), del Regolamento).

Come emerge dagli atti, il Comune non ha evidenziato motivazioni idonee a dimostrare l’effettiva necessità di raccogliere tutte le informazioni richieste ai cittadini per regolare il servizio di abbonamento della sosta (a titolo esemplificativo, l’intero contratto individuale dei lavoratori; copia dell’iscrizione alla Camera di Commercio, stato di famiglia completo di tutti i componenti della famiglia anagrafica), limitandosi a ribadire la necessità di acquisire tale documentazione, né risultano adottate misure organizzative volte a garantire il rispetto del predetto principio di minimizzazione (es. istruzioni rivolte ai cittadini sulla necessità di oscurare, nella documentazione da produrre per richiedere l’abbonamento, i dati non necessari).

Il Comune ha dichiarato di aver adottato, a partire dal mese di dicembre 2020, una nuova modulistica, che consente ai cittadini, principalmente, di autocertificare il possesso dei requisiti per ottenere l’agevolazione per l’abbonamento di sosta, al fine di raccogliere i soli dati indispensabili, e di aver dato disposizione al responsabile del trattamento di cancellare i dati eccedenti precedentemente acquisiti.

Ne consegue che a partire dal mese di settembre 2019, fino al mese di dicembre 2020, il trattamento è avvenuto in violazione del principio di minimizzazione di cui all’art. 5 par. 1, lett. c) del Regolamento.

Dagli elementi raccolti nell’istruttoria, inoltre, è emerso che il Comune non aveva stabilito i termini massimi di conservazione dei dati raccolti.

Con nota del XX il Comune ha dichiarato di aver definito i tempi massimi di conservazione dei dati personali e che “Le modalità di conservazione dei dati saranno limitate ed indicate come riferite esclusivamente al periodo di validità dell'abbonamento e successivamente cancellati dall’archivio con le modalità previste per legge”.

Al riguardo spetta al titolare del trattamento, “tenendo conto dello stato dell’arte e dei costi di attuazione, nonché della natura, dell'ambito di applicazione, del contesto e delle finalità del trattamento, come anche dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche” mettere “in atto misure tecniche e organizzative adeguate per garantire che siano trattati, per impostazione predefinita, solo i dati personali necessari per ogni specifica finalità del trattamento. Tale obbligo vale per la quantità dei dati personali raccolti, la portata del trattamento, il periodo di conservazione e l'accessibilità” (art 25, par. 1 e 2 del Regolamento).

Risulta pertanto accertato che il trattamento dei dati raccolti, al fine di regolare il servizio della sosta a pagamento nel territorio comunale è avvenuto, a partire dal mese di settembre 2019 e fino al mese di agosto 2020, in violazione del principio di “limitazione della conservazione” (art. 5, par. 1, lett. e) e in violazione dell’art. 25 del Regolamento.

3.2 L’informativa agli interessati

Dalla documentazione in atti emerge che, dalla data in cui il Comune ha adottato la modulistica in esame (settembre 2019) alla data in cui il titolare ha approvato con deliberazione di giunta comunale n. XX una nuova modulistica corredata dell’informativa agli interessati (dicembre 2020) risulta accertato il mancato conferimento dell’informativa agli interessati.

Il Comune infatti ha dichiarato (nota prot. n. XX del XX) “per quanto di propria competenza, la K-city s.r.1.” ha assolto l’obbligo di fornire l’informativa agli interessati.

È stato accertato, tuttavia, che l’informativa fornita dalla società K-city s.r.l. riguarda i trattamenti da essa svolti in qualità di “titolare del trattamento”, e non è attinente al trattamento relativo al servizio di sosta a pagamento svolto, per conto del Comune, in qualità di “responsabile del trattamento”, né risulta esser stata conferita agli interessati, da parte del Comune, alcuna informativa specifica in relazione al trattamento dei dati sotteso al servizio di abbonamento della sosta a pagamento.

Pertanto, il trattamento risulta essere stato effettuato in violazione dell’obbligo che impone al titolare del trattamento di rendere agli interessati una preventiva informativa, secondo quanto previsto dagli artt. 12, 13 e 14 del Regolamento, anche nel rispetto del “principio di trasparenza” (art. 5, lett. a) del Regolamento).

3.3 Nomina del responsabile del trattamento

Ai fini del rispetto della normativa in materia di protezione dei dati personali, occorre identificare con precisione i soggetti che, a diverso titolo, possono trattare i dati personali e definire chiaramente le rispettive attribuzioni, in particolare quella di titolare e di responsabile del trattamento e dei soggetti che operano sotto la diretta responsabilità di questi (art. 4, par. 1, punto 7 del Regolamento e artt. 28 e 29 del Codice).

In particolare, il titolare è il soggetto sul quale ricadono le decisioni circa le finalità e le modalità del trattamento dei dati personali degli interessati nonché una “responsabilità generale” sui trattamenti posti in essere (v. art. 5, par. 2 c.d. “accountability” e 24 del Regolamento), anche quando questi siano effettuati da altri soggetti “per suo conto” (cons. 81, artt. 4, punto 8) e 28 del Regolamento; cfr. anche provvedimento n. 81 del 7 marzo 2019, doc. web 9121890; provvedimento n. 160 del 17 settembre 2020, doc. web 9461168; provvedimento n. 294 del 22 luglio 2021, doc. web 9698724).

Il rapporto tra titolare e responsabile è regolato da un contratto o da altro atto giuridico, stipulato per iscritto che, oltre a vincolare reciprocamente le due figure, consente al titolare di impartire istruzioni al responsabile e prevede, in dettaglio, quale sia la materia disciplinata, la durata, la natura e le finalità del trattamento, il tipo di dati personali e le categorie di interessati, gli obblighi e i diritti del titolare. Il Responsabile del trattamento è, pertanto, legittimato a trattare i dati degli interessati “soltanto su istruzione documentata del titolare” (art. 28, par. 3, lett. a) del Regolamento).

Il Regolamento ha disciplinato anche gli obblighi e le altre forme di cooperazione cui è tenuto il responsabile del trattamento quando agisce per conto del titolare e l’ambito delle rispettive responsabilità (v. artt. 30, 33, par. 2 e 82 del Regolamento).

In base all’art. 24 del Regolamento tenuto conto della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, nonché dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche, spetta in primo luogo proprio al titolare del trattamento mettere in atto misure tecniche e organizzative adeguate a garantire, ed essere in grado di dimostrare, che il trattamento è effettuato conformemente al Regolamento. Dette misure devono inoltre essere riesaminate e aggiornate, qualora necessario.

Da quanto emerso nel corso dell’istruttoria il servizio di gestione della sosta a pagamento è stato affidato, in data XX, alla società K-city s.r.l., mediante “verbale di consegna del Servizio” nominandola formalmente “Responsabile esterno del trattamento” e rinviando alla stipula di un apposito Decreto Sindacale la disciplina del rapporto con la predetta società quale “Responsabile Esterno del Trattamento dei Dati”.

Risulta accertato che il decreto sindacale di nomina, contenente le apposite istruzioni al “responsabile del trattamento”, è stato emesso solo in data XX. Ne consegue che a partire dal 18 settembre 2019 e fino al 27 aprile 2020, la società K-city s.r.l. ha partecipato al trattamento senza che il suo ruolo fosse opportunamente definito dal titolare, in violazione dell’art. 28 del Regolamento.

4. Conclusioni

Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dal titolare del trattamento negli scritti difensivi ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗ seppure meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Dalle verifiche compiute sulla base degli elementi acquisiti, anche attraverso la documentazione inviata dal titolare del trattamento, nonché dalle successive valutazioni, è stata accertata la non conformità dei trattamenti svolti dal Comune aventi ad oggetto la regolazione del servizio abbonamento della sosta dei veicoli a pagamento.

La violazione dei dati personali, oggetto dell’istruttoria, è avvenuta nella piena vigenza delle disposizioni del Regolamento e del Codice, come modificato dal d.lg.n.101/2018, e dunque, al fine della determinazione del quadro normativo applicabile sotto il profilo temporale (art. 1, comma 2, della l. 24 novembre 1981, n. 689), queste costituiscono le disposizioni vigenti al momento della commessa violazione, avvenuta a partire dal mese di settembre 2019.

Si confermano pertanto le valutazioni preliminari dell’Ufficio e si rileva l’illiceità del trattamento di dati personali effettuato dal Comune, in quanto esso è avvenuto in maniera non conforme ai principi generali del trattamento, in assenza di idonea informativa, in mancanza della definizione dei tempi massimi di conservazione dei dati personali e in mancanza di regolazione del ruolo svolto dalla società K-City s.r.l. in qualità di “responsabile del trattamento”, in violazione degli artt. 5, 12, 13, 14, 25 e 28 del Regolamento.

La violazione delle predette disposizioni rende applicabile la sanzione amministrativa ai sensi degli artt. 58, par. 2, lett. i), e 83, parr. 4 e 5, del Regolamento medesimo, come richiamato anche dall’art. 166, comma 3, del Codice.

5. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi ai sensi degli artt. 58, par. 2, lett. i), e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

Al riguardo, tenuto conto dell’art. 83, par. 3, del Regolamento, nel caso di specie la violazione delle disposizioni citate è soggetta all’applicazione della stessa sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento.

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare, tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

Ai fini dell’applicazione della sanzione è stato considerato che il trattamento iniziato dal mese di settembre 2019 e protratto fino al mese di dicembre 2020, ha avuto a oggetto i dati di circa 256 interessati al servizio di abbonamento per la sosta a pagamento sul territorio comunale, in violazione dei principi di cui all’art. 5 del Regolamento, in assenza del conferimento dell’informativa agli interessati, in mancanza di definizione dei tempi massimi di conservazione dei dati personali e in assenza di definizione del rapporto con la società coinvolta nel trattamento quale “responsabile del trattamento”.

Tale violazione è stata portata a conoscenza dall’Autorità mediante un reclamo.

Di contro, si rappresenta che il Comune si è attivato al fine di porre rimedio alla violazione e attenuarne i possibili effetti negativi, introducendo una nuova modulistica più conforme al principio di minimizzazione di cui all’art. 5, par. 1, lett. c) del Regolamento, fissando i termini massimi di conservazione dei dati raccolti e conferendo idonea informativa agli interessati. Si evidenzia, in ogni caso, il comportamento non doloso della violazione e l’assenza di precedenti violazioni a carico del Comune.

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di dover determinare ai sensi dell’art. 83, par. 2 e 3, del Regolamento l’ammontare della sanzione pecuniaria, prevista dall’art. 83, par. 5, lett. a) del Regolamento, nella misura di euro 30.000 per la violazione degli artt. 5, 12,13, 14, 25 e 28 del Regolamento quale sanzione amministrativa pecuniaria ritenuta effettiva, proporzionata e dissuasiva sensi dell’art. 83, par. 1, del medesimo Regolamento.

Tenuto conto del numero degli interessati, del mancato conferimento dell’informativa e della mancata definizione del ruolo del responsabile del trattamento, si ritiene che debba applicarsi la sanzione accessoria della pubblicazione sul sito web del Garante del presente provvedimento, prevista dall’art. 166, comma 7 del Codice e art. 16 del Regolamento del Garante n. 1/2019.

Si ritiene, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

ai sensi dell’art. 57, par. 1, lett. a) ed f) del Regolamento, rileva l’illiceità del trattamento effettuato dal Comune di Formia, per la violazione degli artt. 5, 12, 13, 14, 25 e 28 del Regolamento, nei termini di cui in motivazione

ORDINA

al Comune di Formia, in persona del legale rappresentante pro-tempore, con sede legale in via Vitruvio, n. 190 - 04023 - C.F. 81000270595– di pagare la somma di euro 30.000 a titolo di sanzione amministrativa pecuniaria per le violazioni di cui in motivazione; si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata;

INGIUNGE

al Comune di Formia di pagare la somma di euro 30.000 – in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, secondo le modalità indicate in allegato, entro trenta giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981;

DISPONE

la pubblicazione del presente provvedimento sul sito web del Garante, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019;

l’annotazione del presente provvedimento nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u), del Regolamento, delle violazioni e delle misure adottate in conformità all'art. 58, par. 2, del Regolamento.

Ai sensi dell’art. 78 del Regolamento, degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 29 settembre 2021

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL SEGRETARIO GENERALE
Mattei

Rispondi