Garante della Privacy e Gdpr, nuovi controlli sui Comuni

• Il Garante della Privacy avvia un’indagine sui rispetto dell’obbligo di comunicazione dei dati del Responsabile della Protezione dei Dati da parte dei Comuni.
• Secondo la normativa vigente, i soggetti pubblici che trattano dati personali devono designare un RPD (Responsabile della Protezione dei Dati).
• I dati di contatto del Responsabile della Protezione dei Dati devono essere comunicati mediante apposita procedura online.

Il Garante della Privacy ha avviato le indagini che coinvolgono i grandi enti locali. Lo scopo di tale operazione è quello di verificare la corretta comunicazione all’Authority i dati del Responsabile della Protezione dei Dati, anche detto Dpo o RPD.

Infatti, come stabilito dal regolamento UE 2016/679 (Gdpr), di comunicazione dei dati di contatto del Responsabile della protezione dei dati, i soggetti pubblici che trattano dati personali devono designare un RPD. I dati di contatto del Responsabile devono, poi, essere obbligatoriamente comunicati attraverso l’apposita procedura online.

Il Garante della Privacy ha, quindi, avvisato gli enti locali di grandi dimensioni di aver avviato le procedure di verifica di comunicazione dei dati di contatto dei Responsabili della Protezione dei Dati. Tuttavia, la procedura di verifica potrebbe non limitarsi agli enti di grandi dimensioni.

Garante della Privacy: quali sono i controlli sui Comuni

La newsletter del Garante della Privacy del 26 maggio 2023 n. 503 ha informato che sono state avviate le indagini per verificare la corretta comunicazione dei dati di contatto del Dpo da parte dei Comuni.

Per ora l’indagine è rivolta ai Comuni più grandi, ma ciò non esclude che in futuro le verifiche non saranno effettuate anche sugli enti locali più piccoli.

Il compito del Garante della Privacy, quindi, è quello di effettuare un’attività di controllo per verificare il rispetto dell’obbligo di comunicazione dei dati di contatto del Responsabile della protezione dei dati. Questo è noto come RPD, o Data protection officer, DPO, nell’accezione inglese.

L’obiettivo, in caso di mancato rispetto dell’obbligo previsto dalla legge, è quello di avviare appositi procedimenti volti all’adozione di provvedimenti correttivi e sanzionatori.

Si legge, poi, nella newsletter che:

“In futuro le stesse verifiche potranno essere estese anche agli enti locali più piccoli e ad altri soggetti pubblici”.

Garante della Privacy: gli obblighi dei Comuni

Nella stessa newsletter, il Garante della Privacy ha ricordato quanto previsto dal Regolamento UE. Il Regolamento UE 2016/679 (Gdpr), infatti, stabilisce che se il trattamento dei dati personali è effettuato da soggetti pubblici, ad eccezione delle autorità giurisdizionali nell’esercizio delle loro funzioni, i titolari e i responsabili del trattamento sono tenuti a nominare un RPD e a comunicarne i dati di contatto al Garante privacy.

La comunicazione dei dati deve essere fatta attraverso l’apposita procedura online al link servizi.gpdp.it/comunicazionerpd/s/. Gli enti pubblici a cui si rivolge questo Regolamento, quindi, sono:

• amministrazioni dello Stato;
• Regioni;
• Province;
• Comuni;
• università;
• CCIAA;
• aziende del Servizio Sanitario Nazionale.

Gli enti sono obbligati a comunicare i dati di contatto del Dpo al Garante della Privacy con l’obiettivo che l’Autorità possa contattare il Responsabile in modo semplice e diretto. In questo caso il Dpo funge da punto di riferimento tra l’ente e l’Autorità.

Ma oltre alla mancata comunicazione dei dati del Dpo al Garante della Privacy, sono anche altre le violazioni che gli enti locali possono commettere nella nomina di questa figura.

Garante della Privacy e Gdpr: violazioni del Dpo

Gli errori che possono commettere gli enti a proposito della nomina del Responsabile della Protezione dei Dati sono numerosi. Infatti, il Gdpr è una norma molto complessa, e tutte le inadempienze possono prevedere sanzioni amministrative.

Tra le possibili inadempienze previste dal corpo normativo ci sono:

• non nominare il Dpo;
• nominare un Dpo senza le competenze necessarie, tra le quali la conoscenza del funzionamento dell’ente locale;
• non sottoscrivere un contratto con il Dpo;
• non pubblicare i dati di contatto del Dpo con il Garante della Privacy;
• non comunicare al Garante i dati di contatto del Dpo;
• non comunicare al Garante i dati di contatto di un Dpo subentrante a precedente cessato;
• nominare un Dpo in conflitto di interessi;
• nominare un RPD interno non in posizione di diretto contatto con il vertice gerarchico dell’ente;
• attribuire compiti non pertinenti al Dpo che impediscano l’esercizio della sua funzione principale.

Le altre inadempienze possono riguardare:

• non coinvolgere il Responsabile della Protezione dei Dati in tutte le questioni relative al trattamento di dati;
• non fornire al Dpo le risorse necessarie per svolgere la sua professione;
• influenzare il Dpo nell’esercizio della sua funzione;
• sostituire o penalizzare il Dpo per le sue condotte;
• omettere o ostacolare un canale diretto tra Dpo e gli interessati;
• non chiedere il parere sulle valutazioni di impatto privacy.

Le sanzioni possono arrivare fino a 20 milioni di euro.

Garante della Privacy e Gdpr – Domande frequenti