TL;DR per il DPO
L'esonero dalla notifica dell'art. 33 vale quando e' IMPROBABILE che dalla violazione derivi un rischio. L'UODO, richiamando l'EDPB, ricorda che va letto in senso stretto: improbabile significa che il rischio non ha realistica possibilita' di prodursi, non che sembra modesto. Nel dubbio si notifica, e si scrive perche'.
I fatti
Il Comune ha pubblicato nel proprio Bollettino di informazione pubblica una petizione senza anonimizzarla. Il documento conteneva nomi, cognomi, indirizzi di residenza e i facsimili di firma delle 749 persone che l'avevano sottoscritta. L'autorita' non l'ha scoperto da una notifica: l'ha saputo dal reclamo di una delle persone i cui dati erano finiti online.
Il sindaco ha spiegato che si era trattato di un errore non intenzionale e che il file era stato sostituito con quello corretto. Nel corso del procedimento e' emerso che il file sbagliato era rimasto accessibile sul sito per una decina di giorni. Ha inoltre chiesto l'archiviazione del procedimento sulla mancata notifica, sostenendo che sulla vicenda era gia' aperto un procedimento su reclamo individuale.
Perche' quella difesa non regge
Un reclamo individuale e un procedimento d'ufficio guardano cose diverse: il primo tutela i diritti di chi ha reclamato, il secondo verifica se il titolare abbia rispettato i propri obblighi. L'UODO lo dice espressamente: il reclamo e' stato l'occasione per accorgersi di irregolarita' di natura diversa da quelle lamentate, e ha giustificato l'apertura di un procedimento autonomo. Il fatto che l'interessato sia stato tutelato non sana l'omissione verso l'autorita'.
Il punto che vale per tutti
L'autorita' riconosce che in questo caso NON c'era un rischio elevato per i diritti e le liberta'. E sanziona lo stesso. Il rischio elevato e' la soglia dell'art. 34, la comunicazione agli interessati; la notifica all'autorita' dell'art. 33 e' dovuta a una soglia molto piu' bassa, e cade solo quando il rischio e' improbabile. Sono due valutazioni distinte, e confonderle e' l'errore piu' diffuso nella gestione delle violazioni.
Cosa ha pesato sull'importo
- Il titolare e' un ente territoriale, quindi un soggetto pubblico dal quale ci si attende la massima conoscenza della normativa.
- Il file e' rimasto online per una decina di giorni, non per pochi minuti.
- Il titolare non ha cambiato posizione nemmeno dopo essere stato sollecitato dall'autorita' e dopo l'apertura del procedimento.
- Alla data della decisione la notifica non era ancora stata effettuata.
Cosa fare adesso, in pratica
1) Nel registro delle violazioni, per ogni evento chiuso senza notifica, verifica che ci sia scritto PERCHE': non 'rischio basso', ma il ragionamento per cui il rischio e' improbabile. E' quella motivazione l'oggetto del controllo. 2) Se un cliente pubblica atti su albi, bollettini o sezioni di trasparenza, la pubblicazione va censita come trattamento nel registro dell'art. 30, con un passaggio di anonimizzazione documentato prima della messa online. 3) Un reclamo di un interessato non chiude gli obblighi verso l'autorita': sono binari separati. 4) Se ti accorgi in ritardo che una notifica era dovuta, falla lo stesso e spiega il ritardo: qui il costo e' venuto dall'aver perseverato, non dall'errore iniziale.
Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
