L’ingiunzione del Garante Privacy n. 166 del 27 aprile 2023 ad un ente locale riguarda un caso di omessa comunicazione del cambio del DPO: il Garante ha irrogato una sanzione di 8.000 euro, importo cumulativo anche per altre violazioni. 

Quando cambia il DPO l’amministrazione/scuola deve comunicare la variazione al Garante della privacy poiché in caso contrario rischia una sanzione amministrativa. 

L’art. 37, paragrafo 7, Regolamento UE n. 2016/679 prevede a carico delle autorità pubbliche, tra cui le scuole, l’obbligo di comunicare al Garante Privacy i dati di contatto del responsabile della protezione dei dati. Per questa comunicazione è prevista una procedura on line, disponibile sul sito www.garanteprivacy.it. La comunicazione è dovuta ogni volta che cambia il DPO o quando cambiano i dati di contatto del DPO.

Qualora il rapporto con un DPO sia cessato e il suo nominativo sia ancora nell’archivio del Garante e se non si è ancora insediato il sostituto, allora c’è una doppia irregolarità: non avere comunicato la cessazione del DPO scaduto e non avere un nuovo DPO in servizio. 

Ci si chiede se una scuola possa restare senza DPO oppure se, nelle more della procedura di selezione, sia tenuta a designare un DPO, anche eventualmente interno e temporaneo, per il periodo necessario a completare la procedura. 

Il Garante ha ricordato che, in osservanza del principio generale di continuità dell’azione amministrativa, la P.A. è comunque tenuta temporaneamente a individuare, al proprio interno, un dirigente /funzionario da designare interinalmente in questo ruolo.

Il soggetto interno, peraltro, temporaneamente assegnato, deve essere in possesso dei requisiti richiesti dal Gdpr e, nel caso in cui ricoprisse già un incarico dirigenziale, questo non dovrebbe impedirgli di svolgere i compiti richiesti al DPO. 

Anche in caso di designazioni provvisorie la scuola deve osservare gli obblighi di pubblicazione dei dati di contatto del DPO e di comunicazione al Garante.

Visita il sito di Logica Broker