Con Provvedimento n. 68 del 12 febbraio 2026, il Garante per la protezione dei dati personali ha comminato una sanzione di 3.000 euro al Comune di Aversa per la violazione degli obblighi previsti dall’art. 37, commi 1 e 7, del GDPR, relativi alla designazione del Responsabile della protezione dei dati (DPO) e alla comunicazione dei dati di contatto del DPO all’Autorità.

L’indagine d’ufficio ha stabilito che l’ente non ha nominato formalmente il DPO né ha pubblicato i relativi dati di contatto sul suo sito web ufficiale. Le difese addotte dal Comune – carenze strutturali di personale, un processo di ristrutturazione finanziaria e la tempistica delle imminenti elezioni – non sono state ritenute sufficienti a giustificare la non conformità, dal momento che il ruolo del DPO è, dal maggio 2018, una componente obbligatoria e non negoziabile della governance della privacy degli enti pubblici.

Sebbene il Comune si sia adoperato per rimediare alla situazione nel corso del procedimento, il Garante per la protezione dei dati personali ha comunque ritenuto necessario comminare la sanzione e ordinare la pubblicazione della decisione, sottolineando la funzione deterrente della misura e ribadendo che le difficoltà organizzative non esimono il titolare del trattamento dal rispettare gli obblighi fondamentali in materia di protezione dei dati.