Il Garante per la protezione dei dati personali, all’interno di un provvedimento sanzionatorio, ha evidenziato che l’attività di gestione dei rifiuti urbani, pur rientrando tra le attività istituzionali affidate agli enti locali (titolari del trattamento), potrebbe essere svolta da soggetti terzi, in qualità di responsabili del trattamento, in nome e per conto dei primi.
Nel caso di specie, però, è stato riscontrato che il trattamento dei dati in esame, svolto da una Società per conto di un Comune, sarebbe stato avviato senza che il ruolo fosse disciplinato ai sensi dell’art. 28 del Regolamento (né ai sensi dell’art. 29 del Codice, nel testo anteriore alle modifiche di cui al decreto legislativo 10 agosto 2018, n. 101).
Invero, il contratto di servizio sottoscritto nel 2001 (poi integrato nel 2011) con il quale – inizialmente – erano state conferite le funzioni di gestione del “servizio pubblico di igiene urbana” non avrebbe soddisfatto le caratteristiche dell’atto giuridico volto a regolamentare il rapporto con il responsabile del trattamento.
Al riguardo, l’authority ha voluto precisare che, sebbene il trattamento sia stato avviato dal Comune nel periodo precedente all’entrata in vigore del Regolamento (essendo il rapporto adottato fin dal 2001, e successivamente integrato – in un primo momento – nel 2011), ai fini della individuazione della normativa applicabile, sotto il profilo temporale, sarebbe necessario prendere in considerazione le disposizioni vigenti al momento della commessa violazione che, nel caso in esame, in ragione della natura permanente dell’illecito contestato, si dovrebbe individuare all’atto della cessazione della condotta illecita, «avvenuta nel mese di XX con la regolamentazione del rapporto con il Fornitore ai sensi dell’art. 28 del Regolamento e, quindi, nella piena vigenza delle disposizioni del Regolamento e del Codice (come modificato dal d.lgs. 101/2018)».
