Comuni, caos privacy

Comuni nel mirino del Garante della privacy. Sono in corso indagini a tutto campo per la verifica dell’obbligo di comunicare all’Authority i dati del Responsabile della protezione dei dati (Dpo). Ne ha dato notizia la newsletter del Garante del 26 maggio 2023 n. 503, la quale riferisce anche che sono già pendenti alcuni procedimenti per l’applicazione delle sanzioni per le relative violazioni. Nel comunicato di ieri il Garante informa di avere avviato un’indagine nei confronti di grandi enti locali per verificare il rispetto dell’obbligo, previsto dal regolamento UE 2016/679 (Gdpr), di comunicazione dei dati di contatto del Responsabile della protezione dei dati. Per ora le ispezioni coinvolgono enti di grandi dimensioni e nei confronti di alcuni di questi enti inadempienti sono già in pista i conseguenti procedimenti volti all’adozione di provvedimenti correttivi e sanzionatori. Il Garante, però, mette in allerta tutti i comuni, anche quelli piccoli, avvisando che le verifiche potranno essere estese anche agli enti locali più piccoli e ad altri soggetti pubblici. Nel comunicato l’Authority aggiunge che tutti gli enti pubblici sono obbligati a designare un Dpo e a comunicarne i dati di contatto al Garante, attraverso l’apposita procedura online (https://servizi.gpdp.it/comunicazionerpd/s/). L’iniziativa del Garante è una di quelle che comuni ed enti locali non devono fare l’errore di sottovalutare. Ciò perchè il Gdpr è un corpo normativo molto complicato, tanto complicato che è pressoché impossibile essere in regola al 100% e, per di più, tutte le possibili inadempienze (anche quelle lievissime e formali) possono andare incontro a sanzioni amministrative. Senza contare che le sanzioni sono determinate dal Gdpr solo nel massimo (fino a 20 milioni di euro) e, quindi, è difficile prevedere a cosa si va incontro (per lo meno come intervallo sanzionatorio) quando si riceve la contestazione di una violazione. A proposito dei Dpo, le mancanze possono essere tantissime. Proviamo a fare qualche esempio degli errori che un ente può commettere a proposito della nomina: non nominare il Dpo; nominare un Dpo inesperto, non in possesso delle competenze richieste, tra le quali la conoscenza del funzionamento dell’ente locale; non sottoscrivere un contratto ad hoc con il Dpo nominato; non pubblicare i dati di contatto del Dpo nominato; non comunicare al Garante i dati di contatto del Dpo; non comunicare al Garante i dati di contatto di un Dpo subentrante a precedente cessato; nominare un Dpo in conflitto di interessi; nominare un Dpo interno non in posizione di diretto contatto con il vertice gerarchico dell’ente; attribuire compiti ulteriori al Dpo che di fatto impediscano l’esercizio della funzione. Peraltro, le inadempienze possono anche riguardare lo svolgimento del rapporto, e tra queste, a titolo di esempio, troviamo le seguenti: non coinvolgere il Dpo in tutte le questioni relative al trattamento di dati; non fornire al Dpo le risorse necessarie; influenzare il Dpo nell’esercizio della sua funzione; rimuovere o penalizzare il Dpo per le sue condotte; omettere od ostacolare un canale diretto tra Dpo e interessati; non chiedere il parere sulle valutazioni di impatto privacy.

* Articolo integrale pubblicato sul Italia Oggi del 27 maggio 2023