Il DPO non può essere un responsabile interno al Comune (provv.174 del 12/05/2022)

Abstract: Il comune aveva nominato in via provvisoria il responsabile del settore affari generali dell’ente responsabile della protezione dei dati personali/data protection officer (RDP/DPO) e ciò non è consentito dal GDPR poiché i funzionari responsabili di settore sono evidentemente in conflitto d’interesse trovandosi ad essere gestori dei dati personali degli utenti e dei dipendenti e quindi anche controllori di sé stessi.

Keywords: #garanteprivacy #garanteprotezionedatipersonali #sanzioniprivacy #sanzionigaranteprivacy #GDPR #DPO #dataprotectionofficer #RDP #responsabileprotezionedatipersonali #villabate #PA #Sicilia #MassimilianoMancini #privacy #protezionedatipersonali #ethicasocietas #ethicasocietasupli #scienzeumane #scienzesociali

Panoramica del Comune di Villabate (CC BY-SA 4.0)

Il fatto illecito

Un ex dipendente del Comune di Villabate (PA) ha presentato reclamo al Garante lamentando:

che l’allora responsabile del settore Affari Generali del Comune avrebbe informato l’Ente con il quale il reclamante aveva instaurato un nuovo rapporto di lavoro dell’”esistenza di presunti pignoramenti”, nonché l’”esistenza di un residuo di presunto debito […] scaduto e non trasmissibile fra le due amministrazioni”;
che il Comune non avrebbe provveduto a designare un responsabile della protezione dei dati (RPD/DPO) o a renderne pubblici i dati di contatto, come richiesto dall’art. 37, parr. 1, lett. a), e 7 del Regolamento, avendo appreso solo “in via informale che il soggetto individuato [fosse] la stessa [responsabile del settore Affari Generali del Comune]”.

I fatti accertati

Il Comune di Villalba ha giustificato il suo comportamento sostenendo che:

“la specifica ipotesi che il dipendente era sottoposto a seguito di pignoramento presso terzi alla trattenuta stipendiale mensile comportava, essendo il [Comune] “custode” delle somme pignorate (ex art. 546 c.p.c.), l’obbligo di comunicare al nuovo datore di lavoro il debito del dipendente nei confronti della Banca assegnataria ai sensi dell’art. 2112 del codice civile […] e in applicazione dell’art. 1406 del Codice civile […]”;
“[…] non risultando agli atti d’ufficio [l’]avvenuta estinzione del debito del funzionario [, il Comune] in data XX con [nota] prot. n. XX ha comunicato al nuovo datore di lavoro […] il pignoramento in itinere” e che “[…] in ogni caso tutte le informazioni contenute nel fascicolo personale del dipendente trasferito devono essere trasmesse al nuovo Ente […]”;
“la [responsabile del settore Affari Generali del Comune], cat. D, con determinazione sindacale n. XX è stata individuata provvisoriamente [quale RPD] in quanto […] dipendente titolare di posizione organizzativa più anziana e pertanto, tenuto conto delle limitate risorse presenti in dotazione organica […] e nelle more di affidare il servizio a soggetto esterno, [è stata ritenuta] per esperienza e professionalità idonea a ricoprire l’incarico provvisorio”;
“con determinazione del Responsabile del I Settore n. XX del XX è stato affidato il servizio di [RPD] alla ditta […] [, soggetto esterno all’Ente]”.

La sanzione

Il Garante ha dichiarato:

eccessivo e non necessaria la comunicazione del pignoramento al nuovo datore di lavoro;
illegittima la nomina del responsabile del settore Affari Generali del Comune come responsabile della protezione dei dati personali (RDP/DPO) anche se avvenuta con carattere temporale, poiché in conflitto d’interessi come indicato anche dalle Linee guida sui responsabili della protezione dei dati le quali prevedono che “l’assenza di conflitti di interessi è strettamente connessa agli obblighi di indipendenza. Anche se un RPD può svolgere altre funzioni, l’affidamento di tali ulteriori compiti e funzioni è possibile solo a condizione che essi non diano adito a conflitti di interessi. Ciò significa, in modo particolare, che un RPD non può rivestire, all’interno dell’organizzazione del titolare del trattamento […], un ruolo che comporti la definizione delle finalità o modalità del trattamento di dati personali. Si tratta di un elemento da tenere in considerazione caso per caso guardando alla specifica struttura organizzativa del singolo titolare del trattamento […]”.

Di conseguenza per violazione degli artt. 5, par. 1, lett. a), 6, 37, par. 1, lett. a), e par. 7, nonché 38, par. 6, del Regolamento, nei termini di cui in motivazione;:

di pagare la somma di € 6.000,00 a titolo di sanzione amministrativa pecuniaria, entro 30 giorni dalla notifica del provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981, consentendo di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà delle sanzioni comminate;
la pubblicazione del provvedimento sul sito web del Garante ai sensi dell’art. 166, comma 7, del Codice e dall’art. 16, comma 1, del Regolamento del Garante n. 1/2019.

SCARICA L’ORDINANZA INGIUNZIONE: Sanzione Comune Villalba, GarantePrivacy n.174 del 12 maggio 2022.

LE ULTIME SANZIONI A CARICO DI ENTI PUBBLICI:

2.000 EURO DI SANZIONE DAL GARANTE AL COMUNE DI COLLEGNO (TO)

7.500 EURO DI SANZIONE DAL GARANTE PER LA ASL DI FROSINONE

20.000 EURO DI SANZIONE DAL GARANTE PER IL COMUNE DI ORTE (VT)

150.000 EURO DI SANZIONE DAL GARANTE PER IL COMUNE DI TARANTO

3.000 EURO DI SANZIONE DAL GARANTE PER IL COMUNE DI MONTE S.ANGELO (FG)

3.000 EURO DI SANZIONE DAL GARANTE PER IL COMUNE DI S.MARCO IN LAMIS (FG)

30.000 EURO DI MULTA DAL GARANTE PER IL COMUNE DI FORMIA (LT)

75.000 EURO DI MULTA DAL GARANTE PER IL MISE E LA REGIONE LAZIO

GLI ULTIMI 5 ARTICOLI SULLA PRIVACY DELLO STESSO AUTORE:

REGOLAMENTI COMUNALI SULLA VIDEOSORVEGLIANZA ILLEGITTIMI (E SPESSO ILLECITI)