Registro dei provvedimenti
n. 228 del 18 maggio 2016
IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
NELLA riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della prof.ssa Licia Califano e della dott.ssa Giovanna Bianchi Clerici, componenti, e del dott. Giuseppe Busia, segretario generale;
VISTA la direttiva del Parlamento europeo e del Consiglio 95/46/CE relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali;
VISTO il Codice in materia di protezione dei dati personali (d. lgs. 30 giugno 2003, n. 196, di seguito "Codice");
VISTA la documentazione in atti;
VISTE le osservazioni dell'Ufficio formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;
VISTA la documentazione in atti;
RELATORE la prof.ssa Licia Califano;
PREMESSO
1. La segnalazione ricevuta dal Garante e il riscontro della Regione Basilicata
Con la nota del 22/5/2015 il sig. XY ha segnalato al Garante che la Regione Basilicata «nel suo portale bandi e concorsi, nell'ambito del bando "contributi per interventi di risparmio energetico su unità abitative private", ha recentemente reso nota la graduatoria, accessibile da chiunque, nella quale sono presenti dati estremamente sensibili, quali nome e cognome, numero componenti nucleo familiare, valore ultimo ISEE, e rendita catastale».
Con la nota del QQ (prot. n. YY) dell'Ufficio energia-Dipartimento politiche di sviluppo, lavoro, formazione e ricerca la Regione Basilicata ha fornito riscontro alla richiesta di informazioni del Garante (nota del 29/9/2015 prot. n. 26917), rappresentando, fra l'altro, che:
- «La suddetta richiesta di informazioni è riferita ad una segnalazione pervenuta al Garante per la protezione dei dati personali da parte del Sig. KW, circa una presunta violazione, da parte dell'amministrazione regionale, di quanto stabilito dal D. Lgs. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali) durante le fasi di attuazione dell'Avviso pubblico Contributi per interventi di risparmio energetico su unità abitative private di cui alla D.G.R. n. QY del HJ».
- «l'Avviso pubblico di cui trattasi è finalizzato ad incentivare interventi per il contenimento dei consumi energetici su unità abitative private, ubicate sul territorio regionale, nella disponibilità di soggetti privati, con priorità per quelli che versano in condizioni di disagio economico valutato sulla base dell'ISEE (Indicatore Situazione Economica Equivalente)».
- «L'articolo 7 dell'Avviso stabilisce che l'ordine progressivo delle domande di contributo sarà determinato, in fase di compilazione della domanda telematica, dal valore ISEE dichiarato, approssimato a due cifre decimali. Nel caso di iniziative aventi lo stesso valore ISEE, la priorità nell'ordine progressivo sarà attribuita in funzione del minore valore della rendita catastale dell'unità abitativa oggetto dell'intervento; in caso di ulteriore priorità sarà attribuita in funzione del maggior numero di componenti lo stato di famiglia alla data di pubblicazione dell'Avviso Pubblico sul Bollettino Ufficiale della Regione Basilicata; nel caso ancora di ulteriore priorità sarà attribuita mediante sorteggio pubblico tra i soggetti interessati».
- «Nella fase di attuazione dell'Avviso pubblico, in attuazione di quanto esplicitamente previsto dall'art. 6, l'amministrazione regionale ha provveduto a pubblicare sul portale istituzionale della Regione Basilicata l'elenco provvisorio delle istanze presentate secondo l'ordine progressivo conseguito, con l'indicazione, per ognuna delle suddette istanze delle seguenti informazioni: Numero identificativo; Nome e Cognome richiedente; Comune di ubicazione dell'unità abitativa; Valore ISEE del nucleo familiare; Valore rendita catastale dell'unità abitativa; Numero componenti lo stato di famiglia; Costo preventivato complessivo dell'intervento agevolabile; Contributo concedibile».
- «Nei giorni immediatamente successivi alla segnalazione e diffida da parte del Sig. KW l'Amministrazione, in attesa di ulteriori approfondimenti e considerando la delicatezza dei temi in questione, ha ritenuto di eliminare dall'elenco provvisorio delle istanze presentate le seguenti informazioni: Valore ISEE del nucleo familiare; Valore rendita catastale dell'unità abitativa; Numero componenti lo stato di famiglia. Tali informazioni non sono contenute nell'elenco definitivo delle istanze presentate pubblicato attualmente sul sito internet istituzionale della Regione Basilicata».
- «Da quanto sopra esposto risulta, inequivocabilmente, che la doglianza sulla presunta pubblicazione di dati sensibili non pare fondata. Infatti nessuna delle informazioni pubblicate rientra nella definizione di "dato sensibile" di cui all'art. 4, comm.1, lettera d) del Codice in materia di protezione dei dati personali", la cui pubblicazione è, in ogni caso, vietata».
- «Nel caso di specie le informazioni di cui trattasi sono, invece, ascrivibili alla categoria dei "dati personali" definiti all'art. 4, comma 1, lettera b) del richiamato Codice in materia di protezione dei dati personali, la cui doverosa tutela deve essere coordinata con le altrettanto doverose esigenze di pubblicità dell'attività della pubblica amministrazione».
- «Nel caso di specie risulta che, in ossequio a quanto previsto dal richiamato art. 7 dell'Avviso pubblico, l'Amministrazione regionale ha provveduto a pubblicare esclusivamente i criteri (valore ISEE del nucleo familiare, valore rendita catastale dell'unità abitativa oggetto del contributo e numero componenti lo stato di famiglia del richiedente) in base ai quali è stata redatta la graduatoria».
- «L'amministrazione regionale, pertanto, ha diffuso i soli dati pertinenti e non eccedenti riferiti agli interessati, con ciò assolvendo alla funzione di rendere pubbliche le decisioni adottate dall'ente pubblico procedente, anche al fine di consentire agli interessati l'attivazione delle forme di tutela dei propri diritti e di controllo della legittimità delle procedure selettive (p.to 3.b delle Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati del 15/04/2014».
Con successiva nota del medesimo Ufficio energia-Dipartimento politiche di sviluppo, lavoro, formazione e ricerca della Regione Basilicata del KK (prot. n. ZZ) è stato fornito riscontro all'ulteriore richiesta di informazioni del Garante (nota del XX prot. n. WW) rappresentando, a integrazione di quanto già comunicato, che:
- «L'Avviso pubblico succitato è stato formato in forza dell'art. 23 della L.R. n. 8 del 30.04.2014, così come modificato ed integrato dall'art. 29 della L.R. n. 26 del 18.08.2014, che stabilisce di incentivare interventi per il contenimento dei consumi energetici e di efficienza energetica su edifici ubicati sul territorio regionale di proprietà di soggetti privati, con priorità per quelli che versano in condizione di disagio economico, valutato in base dell'ISEE, con finalità di ridurre il costo dell'energia e produrre benefici sull'ambiente e sulla salute, previa emanazione da parte della giunta Regionale di apposito Avviso Pubblico. In attuazione della citata disposizione normativa, la Giunta con DGR n. QW del QH ha provveduto ad approvare l'Avviso pubblico "Contributi per interventi di risparmio energetico su unità abitative private" nel quale, seguendo il dettato normativo, la priorità nella concessione del contributo viene data ai soggetti richiedenti che versano in condizioni di disagio economico valutato sulla base dell'ISEE. Nello stesso Avviso, inoltre, è stato specificato che i dati forniti all'Amministrazione regionale e al Soggetto Gestore saranno trattati esclusivamente per le finalità dell'Avviso Pubblico e per scopi istituzionali e che il trattamento dei dati in questione è presupposto indispensabile per la partecipazione al suddetto Avviso Pubblico e per tutte le conseguenti attività».
- «Inoltre, per quanto attiene alla pubblicazione "sul sito web istituzionale dei dati personali non solo dei soggetti destinatari del contributo economico superiore a mille euro per interventi di risparmio energetico, ma anche di quelli che hanno presentato un'istanza ma non sono stati ammessi al contributo, nonché di quelli che hanno presentata un'istanza non finanziabile o non ammissibile", va riferito che anche questi ultimi potrebbero accedere al beneficio all'esito dell'attività istruttoria in corso ovvero della eventuale disponibilità di ulteriori risorse che dovessero rendersi disponibili».
- «Non solo, ma nel bilanciamento tra riservatezza e pubblicità, è stata data preferenza a quest'ultima, oltre che in forza delle disposizioni di cui agli artt. 26 e 27, d. lgs. 33/2013, anche in forza del generale principio di trasparenza che deve governare l'azione della P.A., funzionale a garantire – tra l'altro – quel controllo diffuso sull'utilizzo delle risorse pubbliche, che sarà ovviamente tanto più intenso da parte di coloro i quali non hanno potuto vedere accolta la propria istanza a cagione della limitatezza delle risorse finanziabili, ma anche delle persone».
2. I dati pubblicati.
Dall'istruttoria dell'Ufficio è emerso che la Regione Basilicata ha pubblicato i documenti relativi all'«Avviso pubblico "Contributi per interventi di risparmio energetico su unità abitative private"» approvato con Deliberazione di giunta regionale n. QY del QJ.
Nello specifico, dall'ultimo accertamento effettuato dall'Ufficio in data 5 maggio 2016 risultano pubblicati sul sito web della Regione Basilicata (url: http://....), i seguenti documenti:
a) «Elenco provvisorio delle istanze finanziabili» relativo a n. 1118 soggetti interessati. Tale documento, intitolato «Elenco Istanze Finanziabili, redatto ai sensi dell'art. 7 dell'Avviso pubblico "contributi per interventi di risparmio energetico su unità abitative private"», contiene l'elenco provvisorio delle istanze presentate potenzialmente finanziabili che rientrano nella dotazione finanziaria prevista. In esso sono indicati il numero identificativo, il nominativo del richiedente, il comune dell'unità abitativa, il costo preventivato complessivo e il contributo concedibile (url: http://...).
b) «Elenco provvisorio delle istanze non finanziabili» relativo a n. 8535 soggetti interessati. Tale documento, intitolato «Elenco Istanze Ammesse ma non Finanziabili per Esaurimento della Dotazione Finanziaria, redatto ai sensi dell'art. 7 dell'Avviso pubblico "Contributi per interventi di risparmio energetico su unità abitative private"», contiene l'elenco provvisorio delle istanze non finanziabili per esaurimento delle risorse finanziarie disponibili. In esso sono indicati il numero identificativo, il nominativo del richiedente, il comune dell'unità abitativa, il costo preventivato complessivo (url: http://....).
c) «Elenco delle istanze non ammesse» relativo a n. 366 soggetti interessati. Tale documento, intitolato «Elenco Istanze Non Ammesse ai sensi della D.G.R. 599 del 05/05/2015», contiene l'elenco delle istanze dei soggetti esclusi dal beneficio economico. In esso sono indicati il numero identificativo, il nominativo del richiedente, il comune dell'unità abitativa, il motivo di esclusione (url: http://...).
d) «DETERMINAZIONE DIRIGENZIALE QK, n. QZ Pubblicata sul B.U.R. WQ Supplemento del QX. Elenchi definitivi delle domande di contributo». Tale documento riporta in allegato i predetti documenti di cui alle precedenti lettere da a) a c) rettificati a seguito delle osservazioni ricevute dagli interessati e precisamente: «Elenco provvisorio delle istanze finanziabili» relativo a n. 1114 soggetti interessati, «Elenco provvisorio delle istanze non finanziabili» relativo a n. 8538 soggetti interessati ed «Elenco delle istanze non ammesse» relativo a n. 366 soggetti interessati (url: http://...).
e) «DETERMINAZIONE DIRIGENZIALE n. WY del WH Presa d'atto dell'elenco dei potenziali beneficiari che hanno confermato la domanda telematica e scorrimento dell'elenco definitivo delle istanze ammesse finanziabili» con cui sono considerate ricevibili o irricevibili le istanze relative a n. 19 potenziali beneficiari. In essa sono indicati il numero dell'istanza con la data di arrivo e il nominativo del richiedente (url: http://...).
f) «DETERMINAZIONE DIRIGENZIALE n. WY del WH. Allegato 1. Elenco Istanze Finanziabili Confermate». Tale documento intitolato «Elenco Istanze Finanziabili Confermate, redatto ai sensi dell'art. 7 dell'Avviso pubblico "contributi per interventi di risparmio energetico su unità abitative private"» contiene l'«Elenco Istanze Finanziabili Confermate» di 935 soggetti interessati. In esso sono indicati il numero identificativo, il nominativo del richiedente, il comune dell'unità abitativa, il costo preventivato complessivo e il contributo concedibile (url: http://....).
g) «DETERMINAZIONE DIRIGENZIALE n. WY del WH. Allegato 2. Elenco Istanze Finanziabili non Confermate». Tale documento intitolato «Elenco Istanze Finanziabili non Confermate, redatto ai sensi dell'art. 7 dell'Avviso pubblico "Contributi per interventi di risparmio energetico su unità abitative private"» relativo a n. 162 soggetti interessati. In esso sono indicati il numero identificativo, il nominativo del richiedente, il comune dell'unità abitativa, il costo preventivato complessivo (url: http://...).
h) «DETERMINAZIONE DIRIGENZIALE n. WY del WH. Allegato 3. Elenco Istanze Finanziabili da scorrimento graduatoria» relativo a n. 155 soggetti interessati. Tale documento intitolato «Elenco Istanze Finanziabili da scorrimento graduatoria, redatto ai sensi dell'art. 7 dell'Avviso pubblico "Contributi per interventi di risparmio energetico su unità abitative private"» riporta il numero identificativo, il nominativo del richiedente, il comune dell'unità abitativa, il costo preventivato complessivo e il contributo concedibile (url: http://...).
Dal medesimo accertamento, risulta pubblicato sul Bollettino ufficiale della Regione Basilicata (B.U.R.) n. WQ del QX (supplemento), anch'esso accessibile dal sito web istituzionale (url: http://...), il documento riportato supra sotto la lett. d).
3. Il quadro normativo di riferimento
Per «dato personale» si intende «qualunque informazione relativa a persona fisica, identificata o identificabile, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale» (art. 4, comma 1, lett. b, del Codice).
La diffusione dei dati personali – ossia «il dare conoscenza dei dati personali a soggetti indeterminati, in qualunque forma, anche mediante la loro messa a disposizione o consultazione» (art. 4, comma 1, lett. m, del Codice) – da parte dei soggetti pubblici è ammessa unicamente quando è prevista da una norma di legge o di regolamento nel rispetto dei principi di pertinenza e non eccedenza (art. 19, comma 3, e art. 11, comma 1, lett. d¸ del Codice).
La Corte costituzionale ha ricondotto la materia della protezione dei dati personali contenuta nel Codice «all'interno delle materie legislative di cui all'art. 117 Cost., alla categoria dell'"ordinamento civile", di cui alla lettera l) del secondo comma», affermando in ogni caso la necessità dell'«integrale rispetto della legislazione statale sulla […] protezione [dei dati personali]» (Sent. Corte Cost. n. 271 del 7/7/2005).
La disciplina statale di settore in materia di trasparenza, con riferimento agli obblighi di pubblicazione dei dati di soggetti beneficiari di contributi economici, stabilisce l'obbligo di pubblicazione degli atti di concessione «delle sovvenzioni, contributi, sussidi ed ausili finanziari alle imprese, e comunque di vantaggi economici di qualunque genere a persone ed enti pubblici e privati ai sensi del citato articolo 12 della legge n. 241 del 1990, di importo superiore a mille euro» (art. 26, comma 2, del d. lgs. n. 33 del 14/3/2013). Il comma 3 del medesimo articolo aggiunge che tale pubblicazione «costituisce condizione legale di efficacia dei provvedimenti che dispongano concessioni e attribuzioni di importo complessivo superiore a mille euro nel corso dell'anno solare al medesimo beneficiario».
Per le predette pubblicazioni è prevista esclusivamente l'indicazione delle seguenti informazioni: a) il nome dell'impresa o dell'ente e i rispettivi dati fiscali o il nome di altro soggetto beneficiario; b) l'importo del vantaggio economico corrisposto; c) la norma o il titolo a base dell'attribuzione; d) l'ufficio e il funzionario o dirigente responsabile del relativo procedimento amministrativo; e) la modalità seguita per l'individuazione del beneficiario; f) il link al progetto selezionato e al curriculum del soggetto incaricato (art. 27, comma 1, d. lgs. n. n. 33/2013).
In ogni caso, «È esclusa la pubblicazione dei dati identificativi delle persone fisiche destinatarie dei provvedimenti di cui al presente articolo, qualora da tali dati sia possibile ricavare informazioni relative […] alla situazione di disagio economico-sociale degli interessati» (art. 26, comma 4, d. lgs. n. 33/2013).
La disciplina statale, inoltre, prevede che le pubbliche amministrazioni non possono diffondere dati personali ulteriori, non individuati dal d. lgs. n. 33/2013 o da altra specifica previsione di legge o di regolamento (art. 19, comma 3, del Codice) e che l'eventuale pubblicazione di dati, informazioni e documenti, che non si ha l'obbligo di pubblicare ai sensi della predetta normativa, è legittima solo «procedendo alla anonimizzazione dei dati personali eventualmente presenti» (art. 4, comma 3, del d. lgs. n. 33/2013).
È previsto, altresì, fra i «Limiti alla trasparenza», che «Nei casi in cui norme di legge o di regolamento prevedano la pubblicazione di atti o documenti, le pubbliche amministrazioni provvedono a rendere non intelligibili i dati personali non pertinenti […] rispetto alle specifiche finalità di trasparenza della pubblicazione» (art. 4, comma 4, ivi).
Ulteriori indicazioni e cautele da adottare per la diffusione di dati personali in Internet per finalità di trasparenza e pubblicità dell'azione amministrativa sono state fornite dal Garante con il provvedimento del 15 maggio 2014 n. 243 recante le «Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati» (in G.U. n. 134 del 12/6/2014 e in www.gpdp.it, doc. web n. 3134436).
In attuazione dell'art. 23 della L.R. 30/04/2014, n. 8 (citato dalla Regione Basilicata nelle note di riscontro alle richieste di informazioni del Garante) – il quale affida alla Giunta regionale il compito di emanare «l'avviso pubblico […] recante le modalità, i criteri ed i requisiti per accedere alle agevolazioni di cui al presente articolo» –, la Giunta medesima ha adottato la Deliberazione n. QW del WJ recante «D.G.R. n. QY del WK n. QW. Art. 23 della L.R. n. 8/2014, come modificato ed integrato dall'art. 29 della L.R. n. 26/2014, Avviso pubblico avente a oggetto "Contributi per interventi di risparmio energetico su unità abitative private". Modifica dell'avviso» (che modifica, sostituendolo, il precedente avviso pubblico approvato con Deliberazione n. QY del QJ) con cui si dispone la somma di € 10.000.000,00 per l'erogazione dei contributi economici (art. 1).
In particolare, l'art. 6 del predetto Avviso pubblico prevede la pubblicazione, sul portale della Regione Basilicata, di vari elenchi contenenti l'indicazione dei potenziali beneficiari (quelli finanziabili, quelli finanziabili solo a seguito di sorteggio, quelli non finanziabili per esaurimento delle risorse, quelli finanziabili che intendono confermare la richiesta di contributo).
4. Osservazioni
Il caso sottoposto all'attenzione del Garante si segnala per la particolarità delle fonti del diritto coinvolte che devono trovare una corretta integrazione (legge statale, legge regionale, avviso pubblico approvato con delibera di Giunta regionale) anche con riferimento all'attuazione delle regole di trasparenza della p.a. e di pubblicità delle procedure amministrative, nel rispetto della disciplina rilevante in materia di protezione dei dati personali.
Dall'accertamento effettuato dall'Ufficio è emerso che dal sito web istituzionale della Regione sono scaricabili e liberamente accessibili – con riferimento al richiamato avviso pubblico per la concessione di contributi economici per interventi di risparmio energetico su unità abitative private – dati e informazioni personali (numero identificativo della domanda, nominativo del richiedente e, a seconda dei casi, comune dell'unità abitativa, costo preventivato complessivo, contributo concedibile oppure motivo dell'esclusione) indicati in elenchi pubblicati a vario titolo e relativi a 10019 persone. Per le istanze definite "finanziabili" il contributo economico concedibile supera l'importo di mille euro, tuttavia di queste solo 935 (salvo scorrimento della graduatoria) saranno finanziate perché aventi la relativa copertura finanziaria.
Al riguardo, si ritiene che i presupposti normativi richiamati nelle note di riscontro della Regione Basilicata, non siano idonei ai sensi dell'art. 19, comma 3, del Codice, per giustificare la diffusione online di tutti i dati personali sopra descritti per i seguenti motivi.
La citata normativa statale in materia di trasparenza prevede la pubblicazione dei dati personali dei soli soggetti che siano destinatari di un contributo di natura economica superiore a mille euro e non dei percettori potenziali, o men che mai di quelli esclusi (artt. 26 e 27 del d. lgs. n. 33/2013). Pertanto tale disciplina non può essere invocata dalla Regione Basilicata quale idoneo fondamento normativo, ai sensi dell'art. 19, comma 3, del Codice, per la pubblicazione di nominativi di soggetti che hanno presentato un'istanza per la concessione di un contributo economico e la cui domanda sia stata respinta o sia ancora in fase istruttoria, contenuta nei diversi elenchi descritti nelle lettere da a) ad h) del precedente par. 2 del presente provvedimento.
Si evidenzia, inoltre, che le graduatorie pubblicate dalla Regione Basilicata sono state formate in base all'ISEE dei partecipanti, dando priorità ai soggetti chi si trovano in condizioni di disagio economico, con la conseguenza che la collocazione nei primi posti delle graduatorie per la concessione dei citati contributi economici potrebbe essere idonea a rivelare una situazione di disagio economico dell'interessato (informazione che in base all'art. 26, comma 4, del d. lgs. n. 33/2013 non può essere oggetto di diffusione).
Analogamente, l'art. 6 dell'Avviso pubblico approvato con Deliberazione di Giunta Regionale n. QW – che non ha natura di atto regolamentare (cfr. provv. del Garante n. 384 del 6/12/2012, doc. web n. 2223278) – non può legittimare, anche in coerenza con quanto affermato dalla richiamata sentenza della Corte Cost. n. 271/2005, la pubblicazione dei nominativi di soggetti che hanno presentato un'istanza per la concessione di un contributo economico e che si trovano in una situazione di disagio economico, oppure di soggetti la cui domanda sia stata respinta o sia ancora in fase istruttoria, in quanto in tal modo si porrebbe comunque in contrasto con le previsioni contenute nella disciplina statale di settore in materia di trasparenza prima citata che – di contro – prevede la pubblicazione obbligatoria dei soli nominativi dei soggetti destinatari di un contributo di natura economica superiore ai mille euro, con esclusione – in ogni caso – della diffusione di dati identificativi delle persone destinatarie dei contributi da cui è possibile ricavare informazioni relative alla situazione di disagio economico (artt. 26 e 27, del d. lgs. n. 33/2013). Oltretutto, il citato art. 6 dell'Avviso pubblico, prevedendo la possibilità di pubblicare dati e informazioni personali ulteriori rispetto agli obblighi di pubblicazione previsti da norme di legge o di regolamento, si pone altresì in contrasto con l'art. 4, comma 3, del d. lgs. n. 33/2013 che prevede questa possibilità solo «procedendo alla anonimizzazione dei dati personali eventualmente presenti».
Deve, inoltre, essere considerato che la generale disponibilità online da parte di chiunque, attraverso la pubblicazione sul sito web istituzionale, dei dati personali contenuti nei citati elenchi – descritti nelle lettere da a) ad h) del precedente par. 2 del presente provvedimento – genera un trattamento non conforme ai principi di necessità e proporzionalità di derivazione europea (art. 6, par. 1, lett. c, e art. 7, par. 1, lett. c e d, dir. 95/46/CE, art. 3 e art. 11, del Codice), perché per le finalità indicate dalla Regione Basilicata, quale quelle «di rendere pubbliche le decisioni adottate dall'ente pubblico procedente, anche al fine di consentire agli interessati l'attivazione delle forme di tutela dei propri diritti e di controllo della legittimità delle procedure selettive», oppure di far conoscere ai soggetti in primo momento esclusi dal beneficio la possibilità di accedervi in una fase successiva «all'esito dell'attività istruttoria in corso ovvero della eventuale disponibilità di ulteriori risorse che dovessero rendersi disponibili», possono essere utilizzati strumenti meno invasivi.
Al riguardo, come il Garante ha già indicato, «Con riguardo alla pubblicità degli esiti […] delle graduatorie finali [di] selezioni pubbliche e di altri procedimenti che prevedono la formazione di graduatorie», «al fine di agevolare le modalità di consultazione delle graduatorie oggetto di pubblicazione in conformità alla disciplina di settore (per finalità diverse dalla trasparenza), le stesse possono altresì essere messe a disposizione degli interessati in aree ad accesso selezionato dei siti web istituzionali consentendo la consultazione degli esiti delle prove o del procedimento ai soli partecipanti alla procedura concorsuale o selettiva mediante l'attribuzione agli stessi di credenziali di autenticazione (ad es., username o password, numero di protocollo o altri estremi identificativi forniti dall'ente agli aventi diritto, oppure mediante utilizzo di dispositivi di autenticazione, quali la carta nazionale dei servizi)» (cfr. Linee guida, cit., parte seconda, par. 3.b).
5. Esito dell'istruttoria
Tutto ciò considerato, con riferimento alla concessione di "Contributi per interventi di risparmio energetico su unità abitative private" di cui all'Avviso pubblico approvato con Deliberazione di giunta regionale n. QY del QJ, restano fermi gli obblighi di trasparenza previsti dagli artt. 26 e 27 del d. lgs. n. 33/2013 che prevedono la pubblicazione nel sito web istituzionale di dati personali dei soggetti destinatari «degli atti di concessione delle sovvenzioni, contributi, sussidi ed ausili finanziari alle imprese, e comunque di vantaggi economici di qualunque genere a persone […] di importo superiore a mille euro».
In relazione, invece, alle graduatorie (descritte nel dettaglio nel par. 2, lettere da a ad h, del presente provvedimento) relative al predetto Avviso pubblico – per le motivazioni indicate nel precedente paragrafo, allo stato della documentazione esaminata, della normativa vigente e tenuto conto delle dichiarazioni fornite – si rileva che la pubblicazione e la persistente disponibilità in Internet dei dati personali diversi da quelli indicati negli artt. 26 e 27 del d. lgs. n. 33/2013, e precisamente dei soggetti collocati nelle predette graduatorie che non risultano destinatari del contributo economico perché la relativa istanza è stata respinta o è ancora in fase istruttoria, nonché dei soggetti la cui collocazione in graduatoria potrebbe essere idonea a rivelare una situazione di disagio economico, non risulta conforme alla disciplina rilevante in materia di protezione dei dati personali, in quanto produce una diffusione di dati personali in assenza di idonei presupposti normativi, in violazione dell'art. 19, comma 3, del Codice.
Per tale motivo, in ragione della rilevata illiceità del trattamento effettuato, considerando che il Garante, ai sensi degli artt. 143, comma 1, lett. c), e 154, comma 1, lett. d), del Codice, ha il compito di «vietare anche d'ufficio, in tutto o in parte, il trattamento illecito o non corretto dei dati o disporne il blocco», nonché «di adottare gli altri provvedimenti previsti dalla disciplina applicabile al trattamento di dati personali», deve essere vietato alla Regione Basilicata, in quanto titolare del trattamento, ai sensi dei predetti articoli, di diffondere ulteriormente in Internet attraverso la pubblicazione nel sito web istituzionale o sul Bollettino Ufficiale della Regione Basilicata i dati personali diversi da quelli indicati negli artt. 26 e 27 del d. lgs. n. 33/2013, e precisamente quelli riferiti a soggetti che non risultano destinatari del contributo economico perché la relativa istanza è stata respinta o è ancora in fase istruttoria, nonché quelli riferiti a soggetti la cui collocazione in graduatoria potrebbe essere idonea a rivelare una situazione di disagio economico, collocati negli elenchi descritti nelle lettere da a) ad h) del par. 2 del presente provvedimento, relativi all'«Avviso pubblico "Contributi per interventi di risparmio energetico su unità abitative private"» (approvato con Deliberazione di giunta regionale n. QY del QJ, accessibili dall'url http://...).
Considerato, inoltre, che il Garante, ai sensi degli artt. 143, comma 1, lett. b), e 154, comma 1, lett. c), del Codice, ha il compito di prescrivere, anche d'ufficio, «le misure necessarie o opportune al fine di rendere il trattamento conforme alle disposizioni vigenti», si ritiene necessario prescrivere per il futuro alla Regione Basilicata – in assenza di una diversa norma di legge o di regolamento e al fine di provvedere ove necessario all'esigenza rappresentata dalla predetta Regione di far conoscere ai soggetti partecipanti le decisioni inerenti alle graduatorie di concessione di contributi economici per interventi di risparmio energetico su unità abitative private – di mettere a disposizione dei partecipanti alla procedura selettiva stessa modalità di consultazione della relativa collocazione in graduatoria mediante l'attribuzione agli stessi di credenziali di autenticazione (ad es., username o password, numero di protocollo, numero identificativo dell'istanza o altri estremi identificativi forniti dall'ente agli aventi diritto, oppure mediante utilizzo di dispositivi di autenticazione, quali la carta nazionale dei servizi) in aree ad accesso selezionato del sito web istituzionale (cfr. Linee guida, cit., parte seconda, par. 3.b).
Con separato provvedimento saranno valutati gli estremi per contestare alla Regione Basilicata la sanzione amministrativa prevista dagli artt. 162, comma 2-bis, e 167, comma 2, del Codice, in relazione all'avvenuta diffusione di dati personali in violazione dell'art. 19, comma 3, del Codice.
In caso d'inosservanza del presente provvedimento, si renderanno applicabili le sanzioni (rispettivamente penale e amministrativa) di cui agli artt. 170 e 162, comma 2-ter, del Codice.
TUTTO CIÒ PREMESSO IL GARANTE
rilevata l'illiceità del trattamento dei dati effettuato dalla Regione Basilicata nei termini indicati in premessa:
1) vieta alla Regione Basilicata, ai sensi dei citati artt. 143, comma 1, lett. c), e 154, comma 1, lett. d), del Codice, di diffondere ulteriormente in Internet attraverso la pubblicazione nel sito web istituzionale o sul Bollettino Ufficiale della Regione Basilicata i dati personali diversi da quelli indicati negli artt. 26 e 27 del d. lgs. n. 33/2013, e precisamente quelli riferiti a soggetti che non risultano destinatari del contributo economico perché la relativa istanza è stata respinta o è ancora in fase istruttoria, nonché quelli riferiti a soggetti la cui collocazione in graduatoria potrebbe essere idonea a rivelare una situazione di disagio economico, collocati negli elenchi descritti nelle lettere da a) ad h) del par. 2 del presente provvedimento, relativi all'«Avviso pubblico "Contributi per interventi di risparmio energetico su unità abitative private"» (approvato con Deliberazione di giunta regionale n. QY del QJ, accessibili dall'url http://...);
2) prescrive per il futuro ai sensi degli artt. 143, comma 1, lett. b), e 154, comma 1, lett. c), del Codice, alla Regione Basilicata – in assenza di una diversa norma di legge o di regolamento e al fine di provvedere ove necessario all'esigenza rappresentata dalla predetta Regione di far conoscere ai soggetti partecipanti le decisioni inerenti alle graduatorie di concessione di contributi economici per interventi di risparmio energetico su unità abitative private – di mettere a disposizione dei partecipanti alla procedura selettiva stessa modalità di consultazione della relativa collocazione in graduatoria mediante l'attribuzione agli stessi di credenziali di autenticazione (ad es., username o password, numero di protocollo, numero identificativo dell'istanza o altri estremi identificativi forniti dall'ente agli aventi diritto, oppure mediante utilizzo di dispositivi di autenticazione, quali la carta nazionale dei servizi) in aree ad accesso selezionato del sito web istituzionale (cfr. Linee guida, cit., parte seconda, par. 3.b);
3) richiede alla Regione Basilicata, ai sensi dell'art. 157 del Codice, di comunicare quali iniziative siano state intraprese al fine di dare attuazione a quanto previsto nei precedenti punti 1 e 2 del presente provvedimento e di fornire comunque riscontro entro trenta giorni dalla ricezione dello stesso. Si ricorda che il mancato riscontro alla richiesta ex art. 157 è punito con la sanzione amministrativa di cui all'art. 164 del Codice.
Ai sensi degli artt. 152 del Codice e 10 del d. lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all'estero.
Roma, 18 maggio 2016
IL PRESIDENTE
Soro
IL RELATORE
Califano
IL SEGRETARIO GENERALE
Busia
