Registro dei provvedimenti n. 118 del 2 luglio 2020
IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
NELLA riunione odierna, alla quale hanno preso parte il dott. Antonello Soro, presidente, la dott.ssa Giovanna Bianchi Clerici e la prof.ssa Licia Califano, componenti, e il dott. Giuseppe Busia, segretario generale;
VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);
VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);
VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione del n. 98 del 4/4/2019, pubblicato in G.U. n. 106 dell’8/5/2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);
Vista la documentazione in atti;
Viste le osservazioni formulate dal Segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;
Relatore la dott.ssa Giovanna Bianchi Clerici;
PREMESSO
1. Il reclamo.
Con reclamo del 31 dicembre 2018, presentato ai sensi dell’art. 77 del Regolamento, come successivamente integrato, la sig.ra XX, ex dipendente del Comune di Greve in Chianti, ha lamentato la pubblicazione, nella sezione “Albo online” del sito web istituzionale del Comune, della determinazione del Segretario Generale n. XX del XX, con oggetto “XX”, al cui interno erano menzionati riferimenti a vicende relative al rapporto di lavoro di cui era parte la reclamante. In particolare, la reclamante ha lamentato che la determinazione contenesse riferimenti alla propria persona, essendo identificabile tramite le iniziali del proprio cognome e nome, nonché dati personali relativi a condanne penali e reati.
La reclamante era stata assunta dal Comune a seguito di una procedura di mobilità esterna per la copertura di un solo posto presso il medesimo Comune e la stessa era stata assegnata in comando presso l’Unione Comunale del Chianti Fiorentino, di cui il Comune fa parte. Dopo alcuni anni dall’assunzione, il Comune, a seguito di un’istruttoria avviata dal proprio Ufficio Procedimenti Disciplinari, dalla quale era emerso, ad avviso del Comune, che l’interessata aveva riportato una condanna penale non definitiva e aveva un procedimento penale in corso nel periodo in cui aveva partecipato alla selezione, aveva disposto la sanzione del licenziamento senza preavviso nei confronti dell’interessata, sul presupposto che quest’ultima non avesse i requisiti per partecipare alla procedura di mobilità esterna, il cui bando prevedeva come requisito indispensabile, autocertificato dall’interessata in fase di stipula del contratto di lavoro, l’assenza di condanne penali e procedimenti penali in corso. Di conseguenza, l’Unione, con propria determinazione, aveva disposto l’esclusione dell’interessata dalla procedura selettiva di mobilità esterna e aveva provveduto alla rettifica, in via di autotutela, di due determinazioni del Comune, con le quali erano stati approvati i verbali della procedura.
Avendo l’interessata proposto ricorso al TAR contro il Comune e l’Unione per l’annullamento di tale determinazione dell’Unione, il Comune, con la determinazione n. XX oggetto di reclamo, aveva affidato a un legale l’incarico di difendere in giudizio l’Ente. In tale determinazione, pubblicata sul sito web del Comune, si dava conto del fatto che la “Sig.ra [iniziali del nome e del cognome]” ha proposto “ricorso al TAR contro l’Unione […] e [il] Comune […] per l’annullamento della determinazione del Responsabile del Servizio Area Amministrativa [dell’’Unione] n. […] del […] con la quale è stata disposta l’esclusione della procedura selettiva indetta dal Comune […] nonché di ogni atto presupposto connesso e/o consequenziale, […] in particolare, la determinazione del Comune […] [che] nell'approvare l'avviso di mobilità esterna, poneva come requisito di partecipazione il non aver procedimenti penali in corso”. La reclamante ha, pertanto, lamentato al Garante l’illecita diffusione di dati personali, anche relativi a reati, atteso che dalla determinazione in questione era desumibile che l’interessata non avesse soddisfatto tale requisito.
2. L’attività istruttoria.
Con nota del XX (prot. n. XX), il Comune, dando riscontro alla richiesta d’informazioni del Garante (prot. n. XX del XX), ha dichiarato che:
- la determinazione in questione era stata “oggetto di pubblicazione sul sito web del Comune […] sia sull’Albo online e successivamente all’Albo Storico, che nella sezione Amministrazione Trasparente dal XX al XX”;
- i dati personali della reclamante erano stati trattati “nell’ambito di un procedimento disciplinare a personale dipendente per fini istituzionali e nell’ambito di obblighi di legge”;
- la sentenza di condanna in sede penale, da cui è scaturito il procedimento disciplinare, “era già stata tolta dalla sfera della riservatezza ab origine dal giudice comminando la pena accessoria della pubblicazione” del dispositivo della sentenza su due quotidiani;
- i dati erano sono stati “sottratti autonomamente e volontariamente dall’interessata dalla sfera della riservatezza, e pertanto in forza dell’articolo 9 comma 2 lettera e del Regolamento UE 2016/679 anche dal divieto di trattamento”, sul presupposto che “la vicenda ha avuto un ampio risalto sulla stampa locale” e che la stampa era entrata in possesso di “informazioni” [che] “provenivano da fonti esterne al Comune” o di cui il Comune non era ancora a conoscenza;
- l’oggetto della determinazione era stato “completamente anonimizzato”;
- l’unico atto, tra quelli adottati dal Comune nell’ambito del procedimento disciplinare, “che contenesse nella sola parte narrativa del corpo della determina le iniziali e l’oggetto del ricorso” era stato “quello dell’affidamento dell’incarico di difesa legale, al fine di garantire ed equilibrare l’esigenza di riservatezza con l’esigenza di rendere noto il motivo dell’incarico, in ossequio alle norme sulla trasparenza”;
- le iniziali della reclamante “non erano e non sono comunque utili a ricondurre all’individuazione di una persona precisa dal momento che il Comune di Greve in Chianti ha 82 dipendenti, non riporta pubblicati sul proprio sito i nomi degli stessi, e [la reclamante] abita in un’altra provincia”;
- “il D.Lgs. 33/2013 all’art. 15 comma 2 prevede che nella pubblicazione sul sito venga indicata la “ragione dell’incarico” e che tale pubblicazione sia condizione per l’efficacia dell’atto e per la liquidazione dei relativi compensi”.
Con nota del XX (prot. n. XX), l’Ufficio, sulla base degli elementi acquisiti dalle verifiche compiute e fatti emersi a seguito dell’attività istruttoria, ha notificato al Comune, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, avente ad oggetto le presunte violazioni degli artt. 5, par. 1, lett. a) e c), 6, paragrafo 1, lett. c) ed e), 2 e 3, lett. b), e 10 del Regolamento, nonché degli artt. 2-ter, commi 1 e 3 e 2-octies del Codice, invitando il predetto titolare a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, dalla l. 24 novembre 1981, n. 689).
Il Comune ha fatto pervenire le proprie memorie difensive con nota del XX (prot. n. XX), rappresentando, tra l’altro, che:
- la reclamante non era identificabile, atteso che “la determina […] citava, solo due volte e nello stesso paragrafo, le iniziali della reclamante”; “nessun altro riferimento era ivi contenuto, in quanto oggetto della determina era l’incarico ad un difensore di fiducia per la costituzione nei ricorsi avanti il TAR e avanti il Tribunale ordinario presentati proprio dalla medesima”; “la Delibera XX citata nell’oggetto, assunta ancor prima della notifica dei ricorsi, era anch’essa completamente anonimizzata”; “non vi era […] riferimento all’ufficio di appartenenza, al ruolo svolto […] o alla data di assunzione o ancora all'età o alla provenienza né alcun altro elemento che, anche con una consultazione del sito istituzionale consentisse di risalire all’identità dell’interessata”; “il sito web del comune non conteneva e non contiene alcun elenco nominativo dei dipendenti comunali, e il nome e cognome della [reclamante] non compariva né nell'organigramma né nell'articolazione degli uffici pubblicati in Amministrazione Trasparente”; la reclamante “non risiedeva e non aveva la propria dimora nel comune di Greve in Chianti ma [in un Comune] distante”;
- era, pertanto, “praticamente impossibile per un lettore estraneo alla vicenda individuare la persona” e, al limite, “solo i colleghi del Comune potevano intuire la relazione, ma ciò in quanto erano stati coinvolti nel procedimento disciplinare, o perché colleghi di ufficio o ancora perché all’ufficio protocollo sono stati notificati i ricorsi”, fermo restando che “in ogni caso, gli stessi colleghi, in relazione ai procedimenti di cui sono stati partecipi, sono tenuti al segreto”;
- la stampa aveva diffuso “la vicenda del licenziamento, il nominativo della reclamante e l’oggetto dei ricorsi”, essendo, pertanto, “evidente che tali informazioni non potevano essere state rese che dal soggetto interessato direttamente”;
- ciononostante, il Comune “ha provveduto a riportare le sole iniziali della ricorrente nei cui confronti si doveva costituire il Comune”, conformemente ai “principi di minimizzazione e come correntemente svolto anche dall’amministrazione della giustizia nell’app. accessibile a tutti “Giustizia civile” e della prassi della Corte di Giustizia Europea di “sostituire con le iniziali, i nomi delle persone fisiche coinvolte nella causa”, ha citato “solamente l’oggetto dei ricorsi notificati al Comune e per i quali lo stesso doveva costituirsi, elemento essenziale per rendere completo e legittimo il provvedimento di conferimento dell’incarico”, e ha replicato “nelle sole premesse l’oggetto dei ricorsi esattamente come contenuto nei ricorsi notificati al Comune adempiendo con ciò a quanto richiesto dall’art. 15 D. Lgs 33/2013”;
- il Comune era, infatti, “tenuto alla pubblicazione su amministrazione trasparente, ai sensi dell’art. 15 del D.Lgs 33/2013, degli atti di incarico e collaborazione tra i quali ANAC (cfr FAQ) riconduce anche quelli legali”, sussistendo, pertanto, “un obbligo legale che impone il trattamento”;
- con riferimento “all’Albo Pretorio Online, l’obbligo è contenuto nell’art. 124 del D.Lgs. 267/2000 (TUEL) oltre che nell'art. 1 comma 3 dell'allora vigente regolamento dei procedimenti amministrativi”, anche con riferimento “alla permanenza della determina nella sezione Albo storico del Comune”;
- nella determina in questione “non vi è alcun riferimento a dati relativi a condanne penali e reati”, essendo in essa soltanto “ripreso, tale e quale, l’oggetto del ricorso presentato avanti al TAR dalla reclamante, nel quale si fa riferimento all’impugnazione della determinazione del Comune di Greve in Chianti n. X del XX in parte qua nell’approvare l’avviso di mobilità esterna, poneva come requisito di partecipazione il non aver procedimenti penali in corso”, ovvero “un generico requisito di partecipazione”;
- “il ricorso contro una deliberazione nella parte in cui poneva come requisito il non avere procedimenti penali in corso non implica automaticamente che il ricorrente ne abbia, essendo solo una delle tante motivazioni che potrebbero sottendere al ricorso”;
- “il collegamento tra il ricorrente e sentenze di condanna e/o reati è […] sicuramente escluso in quanto il procedimento penale si avvia al momento dell'iscrizione nel registro degli indagati e compare nei carichi pendenti al momento del rinvio a giudizio”;
- il Comune ha agito, in ogni caso, con diligenza e correttezza, posto che esso ha “sempre chiesto il parere del DPO”, ovvero del responsabile della protezione dei dati al tempo designato dal Comune, il quale aveva ritenuto in un primo momento che “la misura adottata dal comune (indicazione delle sole inziali anziché il nome)” fosse “adeguata per la tutela della riservatezza della persona in questione”, per poi suggerire, in data XX, che “ove ciò sia tecnicamente possibile è opportuno procedere in tal senso [ovvero della rimozione]”, essendosi il Comune prontamente adeguato a tale successivo orientamento.
In occasione dell’audizione chiesta dal Comune, svoltasi presso il Garante in data XX, il Comune ha, inoltre, sostenuto che:
- il Comune aveva “adottato delle misure tecniche per assicurare che gli atti relativi al procedimento […] fossero gestiti nel protocollo del Comune in modalità riservata”;
- “considerato che la vicenda aveva avuto ampia eco nella stampa locale, la presenza delle iniziali era di fatto ininfluente ai fini della possibilità di ricollegare i fatti alla persona fisica interessata, specialmente nell’ambito interno all’organizzazione del Comune”;
- la determinazione, “pur essendo pubblicata sul sito web del Comune, non era indicizzata sui motori di ricerca e, pertanto, l’ambito di conoscibilità della stessa era ridotto”.
Con una successiva nota (prot. n. XX del XX), peraltro presentata oltre il termine previsto dall’art. 166, comma 6, del Codice, il Comune ha precisato che “la modalità [di protocollazione] riservata è stata apposta a tutte le note in uscita con destinatario [la reclamante] fin dall’avvio del procedimento e alle note in entrata con mittente [la reclamante] relative al procedimento disciplinare a partire dal XX”, e ha esposto talune tesi difensive, sostanzialmente riconducibili a quelle di cui alla precedente nota del XX e di cui all’audizione presso il Garante.
3. Esito dell’attività istruttoria.
La disciplina di protezione dei dati personali prevede che i soggetti pubblici, anche qualora operino nello svolgimento dei propri compiti di datori di lavoro, possono trattare i dati personali (art. 4, n. 1, del Regolamento) dei dipendenti, se il trattamento è necessario “per adempiere un obbligo legale al quale è soggetto il titolare del trattamento” (ovvero gli specifici obblighi o compiti previsti dalla legge per finalità di gestione del rapporto di lavoro; cfr. art. 88 del Regolamento) oppure “per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (art. 6, par. 1, lett. c) ed e) del Regolamento).
La normativa europea prevede che “gli Stati membri possono mantenere o introdurre disposizioni più specifiche per adeguare l’applicazione delle norme del presente regolamento con riguardo al trattamento, in conformità del paragrafo 1, lettere c) ed e), determinando con maggiore precisione requisiti specifici per il trattamento e altre misure atte a garantire un trattamento lecito e corretto […]” (art. 6, par. 2, del Regolamento). Al riguardo, si evidenzia che l’operazione di diffusione di dati personali (come la pubblicazione su Internet), da parte di soggetti pubblici, è ammessa solo quando prevista da una norma di legge o, nei casi previsti dalla legge, di regolamento (art. 2-ter, commi 1 e 3, del Codice).
Con specifico riguardo il trattamento dei dati relativi alle condanne penali e ai reati o a connesse misure di sicurezza può avvenire soltanto sotto il controllo dell'autorità pubblica o se il trattamento è autorizzato dal diritto dell'Unione o degli Stati membri che preveda garanzie appropriate per i diritti e le libertà degli interessati (art. 10 del Regolamento), ovvero solo qualora il trattamento sia autorizzato da una norma di legge o, nei casi previsti dalla legge, di regolamento (art. 2-octies, commi 1 e 5 del Codice).
Il titolare del trattamento è tenuto, inoltre, a rispettare i principi in materia di protezione dei dati, fra i quali quello di “liceità, correttezza e trasparenza” nonché di “minimizzazione”, in base ai quali i dati personali devono essere “trattati in modo lecito, corretto e trasparente nei confronti dell’interessato” e devono essere “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati” (art. 5, par. 1, lett. a) e c), del Regolamento).
In particolare, nel rispetto del principio di “minimizzazione dei dati” (art. 5, par. 1, lett. c), del Regolamento), anche in presenza di un obbligo di pubblicazione, i soggetti chiamati a darvi attuazione non possono comunque diffondere i dati personali eccedenti o non pertinenti (cfr. provv. n. 243 del 15 maggio 2014, Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati, doc. web n. 3134436, parte seconda parr. 1 e 3.a.).
In tale quadro, si osserva, in via preliminare, che non rileva quanto dichiarato dall’Ente con riferimento alla circostanza che la reclamante non fosse identificabile. Considerando che “per identificazione non si intende solo la possibilità di recuperare il nome e/o l’indirizzo di una persona, ma anche la potenziale identificabilità mediante individuazione, correlabilità e deduzione” (Gruppo di Lavoro Art. 29, Parere 05/2014 sulle tecniche di anonimizzazione, WP216), la menzione delle iniziali del cognome e del nome della reclamante all’interno della determinazione era, infatti, idonea a consentirne l’identificazione, quantomeno da parte dei dipendenti del Comune e dei familiari o conoscenti della reclamante, anche in considerazione delle dimensioni del Comune (circa 13749 abitanti) e del proprio organico (84 lavoratori a tempo indeterminato, secondo quanto riportato nel conto annuale 2018, redatto nel 2019, pubblicato sul sito web del Comune).
Deve, infatti, ritenersi residuale la possibilità che vi fossero altri lavoratori con le medesime iniziali all’interno dell’Ente, tanto che quest’ultimo non ha eccepito tale circostanza nelle proprie difese. In ogni caso, considerato che la determinazione in questione richiamava una precedente determinazione del Comune, in esecuzione della quale era stata indetta una selezione per la copertura a tempo pieno e indeterminato di un solo posto per una specifica figura professionale presso il Comune, era facilmente desumibile anche il ruolo svolto all’interno dell’Ente dalla reclamante, rendendone facilmente possibile l’identificazione, essendo questa la candidata selezionata all’esito di tale procedura.
D’altra parte, sin dal 2014, l’Autorità, nelle “Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati” (doc. web n. 3134436) ha chiarito che “la prassi seguita da alcune amministrazioni di sostituire il nome e cognome dell´interessato con le sole iniziali è di per sé insufficiente ad anonimizzare i dati personali contenuti negli atti e documenti pubblicati online” e che “il rischio di identificare l´interessato è tanto più probabile quando, fra l´altro, accanto alle iniziali del nome e cognome permangono ulteriori informazioni di contesto che rendono comunque identificabile l´interessato”, essendo necessario, al fine di rendere effettivamente anonimi i dati pubblicati online, “oscurare del tutto il nominativo e le altre informazioni riferite all´interessato che ne possono consentire l´identificazione anche a posteriori”.
Ugualmente, è priva di apprezzamento la tesi, peraltro non provata dal Comune, che la reclamante avesse già reso noti alla stampa i propri dati personali contenuti nella determinazione, così come la tesi che la sentenza di condanna in sede penale, da cui era scaturito il procedimento disciplinare nei confronti della reclamante, “era già stata tolta dalla sfera della riservatezza ab origine dal giudice comminando la pena accessoria della pubblicazione” del dispositivo della sentenza su due quotidiani. I soggetti pubblici possono, infatti, diffondere dati personali solo nei casi previsti da una norma di legge o, nei casi previsti dalla legge, di regolamento (art. 2-ter, commi 1 e 3, del Codice), a nulla rilevando che i medesimi dati siano già stati diffusi nell’ambito della pubblicazione di sentenze o provvedimenti a fini di informatica giuridica (cfr. artt. 51 e 52 del Codice) o a titolo di sanzione accessoria, o dallo stesso interessato o da terzi per altre finalità (sul punto, v. provv. n. 35 del 13 febbraio 2020, doc. web n. 9285411).
Con riferimento alla circostanza che il Comune fosse tenuto, ai sensi dell’art. 15 del d.lgs. n. 33/2013, alla pubblicazione della determinazione in questione sulla sezione “Amministrazione trasparente” del proprio sito web, si rileva che, come chiarito dal Garante nelle Linee guida sopra citate, “laddove l´amministrazione riscontri l´esistenza di un obbligo normativo che impone la pubblicazione dell´atto o del documento nel proprio sito web istituzionale è necessario selezionare i dati personali da inserire in tali atti e documenti, verificando, caso per caso, se ricorrono i presupposti per l´oscuramento di determinate informazioni”, in conformità al principio di minimizzazione dei dati (art. 5, paragrafo 1, lett. c), del Regolamento), “quando le finalità perseguite nei singoli casi possono essere realizzate mediante dati anonimi o altre modalità che permettano di identificare l´interessato solo in caso di necessità”. Con specifico riferimento agli obblighi di pubblicazione di corrispettivi e compensi, nelle medesime Linee guida si chiarisce che “ai fini dell’adempimento degli obblighi di pubblicazione, […] non appare […] giustificato riprodurre sul web la versione integrale di documenti contabili […] come pure l’indicazione di altri dati eccedenti […]” (par. 9.c), come, nel caso di specie, le inziali del ricorrente nel contenzioso per il quale era stato conferito l’incarico al professionista e i riferimenti a dati relativi a reati.
Pertanto, anche in presenza degli obblighi di pubblicazione ai sensi del d.lgs. n. 33/2013, i soggetti chiamati a darvi attuazione non possono comunque "rendere […] intelligibili i dati personali non pertinenti o, se sensibili o giudiziari, non indispensabili rispetto alle specifiche finalità di trasparenza della pubblicazione" (art. 7-bis, comma 4, del d.lgs. n. 33/2013). Il Comune avrebbe, pertanto, dovuto pubblicare “gli estremi dell'atto di conferimento dell'incarico” (art. 15, comma 1, lett. a) del d.lgs. n. 33/2013) senza riportare il contenuto integrale dell’atto, né fare alcun riferimento neanche indirettamente all’interessata.
Le medesime considerazioni valgono, altresì, in merito agli obblighi derivanti dall’art. 124 del d.lgs. 267/2000, invocato dal Comune per giustificare la pubblicazione della determinazione nella sezione “Albo pretorio” del proprio sito web istituzionale, atteso che anche alle pubblicazioni nell’albo pretorio online si applicano tutti i limiti previsti sopra menzionati con riguardo al rispetto del principio di minimizzazione dei dati e alle cautele nel caso in cui gli atti da pubblicare contengano dati appartenenti a categorie particolari o giudiziari (cfr. parte II, par. 3(a) delle Linee guida sopra citate). Nella determinazione oggetto di pubblicazione non avrebbero dovuto essere riportati dati identificativi dell’interessata (es. iniziali del nome e del cognome) né altri dati di contesto che avrebbero potuto consentire l’identificazione della stessa, quali, ad esempio, i riferimenti puntuali agli estremi di altri atti e documenti amministrativi. La pubblicazione della determinazione con tali accorgimenti non avrebbe, peraltro, compromesso il principio di adeguata motivazione di cui all’art. 3 della l. 241/1990, poiché la versione integrale della determinazione sarebbe restata, in ogni caso, agli atti del Comune e sarebbe stata accessibile, da parte di soggetti qualificati, nei modi e nei limiti previsti dalla legge.
Peraltro, la circostanza che la determinazione sia stata pubblicata, senza previa anonimizzazione, nella sezione dedicata all’Albo storico, oltre l’arco temporale previsto dalla disciplina di settore (cfr. art. 124, d.lgs. 18 agosto 2000, n. 267 concernente la pubblicità degli atti degli enti locali sull’albo pretorio, nonché art. 32, l. 18 giugno 2009, n. 69), connota ulteriormente di illiceità la diffusione dei dati personali in essa contenuti.
Per quanto attiene alla circostanza che, ad avviso del Comune, la determinazione in questione non contenesse dati personali della reclamante relativi a condanne penali e reati, sul presupposto che “il ricorso contro una deliberazione nella parte in cui poneva come requisito il non avere procedimenti penali in corso non implica automaticamente che il ricorrente ne abbia, essendo solo una delle tante motivazioni che potrebbero sottendere al ricorso”, occorre rilevare che con tale determinazione, che richiamava i provvedimenti amministrativi avverso i quali la reclamante aveva proposto ricorso al TAR nei confronti del Comune, si è resa nota l’informazione che la reclamante era stata esclusa dalla procedura selettiva indetta dal Comune e che, in particolare, la medesima aveva chiesto l’annullamento delle determinazione, con la quale era stato approvato l’avviso di mobilità esterna, nella parte in cui “poneva come requisito di partecipazione il non aver procedimenti penali in corso”, essendo evidente il collegamento tra il provvedimento di esclusione dalla procedura di mobilità volontaria e il mancato soddisfacimento di tale requisito ai fini dell’interesse ad agire della ricorrente.
Peraltro, tale circostanza era ulteriormente desumibile attraverso la consultazione dell’atto amministrativo, oggetto di impugnativa da parte della reclamante (che era menzionato nella determinazione n. XX, oggetto di reclamo) emanato e pubblicato online dall’Unione Comunale del Chianti Fiorentino, di cui il Comune fa parte e presso la quale la reclamante operava al tempo in regime di comando, e che conteneva riferimenti puntuali alla sussistenza di condanne a carico dell’interessata (alla quale era fatto riferimento mediante il numero di matricola), disponendone, conseguentemente, l’esclusione dalla procedura selettiva disposta dal Comune. Con riguardo ai profili relativi alla diffusione di quest’ultima determinazione è stato avviato separato procedimento nei confronti dell’Unione Comunale del Chianti Fiorentino.
Si evidenzia, inoltre, che, contrariamente a quanto sostenuto dal Comune, le informazioni relative a vicende connesse alla commissione di reati o a procedimenti penali, che interessano una persona fisica, costituiscono “dati personali relativi alle condanne penali e ai reati o a connesse misure di sicurezza” ai sensi e per gli effetti di cui all’art. 10 del Regolamento, senza che rilevino la circostanza che tali informazioni non contengano riferimenti agli specifici reati commessi e lo stato in cui si trovino i procedimenti penali in questione.
4. Conclusioni.
Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗, seppure meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.
Si rappresenta, altresì, che la violazione dei dati personali oggetto dell’istruttoria, da parte del Comune, è avvenuta nella piena vigenza delle disposizioni del Regolamento e del Codice, come modificato dal d.lgs. n. 101/2018, e che, dunque, al fine della determinazione del quadro normativo applicabile sotto il profilo temporale (art. 1, comma 2, della l. 24 novembre 1981, n. 689), queste costituiscono le disposizioni vigenti al momento della commessa violazione, che nel caso di specie è iniziata in data 24 dicembre 2018, data in cui il Regolamento era pienamente efficace ed il d.lgs. n. 101/2018 era entrato in vigore.
Si confermano, pertanto, le valutazioni preliminari dell’Ufficio e si rileva l’illiceità del trattamento di dati personali effettuato dal Comune di Greve in Chianti, per aver diffuso dati personali relativi alla reclamante contenuti nella determinazione del Segretario Generale n. XX del XX, in assenza di idonei presupposti normativi, in violazione degli artt. 6, paragrafo 1, lett. c) ed e), 2 e 3, lett. b), e 2-ter, commi 1 e 3, del Codice, nonché dei principi di base del trattamento contenuti nell’art. 5, par. 1, lett. a) e c) del Regolamento; poiché nella menzionata determinazione erano presenti anche dati relativi a reati (con contestuale richiamo a un atto amministrativo dell’Unione contenente dati relativi a condanne penali e reati), la pubblicazione è avvenuta anche in violazione dell’art. 10 del Regolamento, nonché dell’art. 2-octies del Codice.
La violazione delle predette disposizioni rende applicabile la sanzione amministrativa prevista dall’art. 83, par. 5, del Regolamento, ai sensi degli artt. 58, par. 2, lett. i), e 83, par. 3, del Regolamento medesimo e art. 166, comma 2, del Codice.
In tale quadro, considerando, in ogni caso, che la condotta ha esaurito i suoi effetti, atteso che la pubblicazione della determinazione in questione sul sito web del Comune è cessata, non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento.
5. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice).
Il Garante, ai sensi ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).
Al riguardo, tenuto conto dell’art. 83, par. 3, del Regolamento, nel caso di specie – considerando anche il richiamo contenuto nell’art. 166, comma 2, del Codice – la violazione delle disposizioni citate è soggetta all’applicazione della stessa sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento.
La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.
In relazione ai predetti elementi, è stata considerata la particolare delicatezza dei dati personali illecitamente diffusi dal Comune, trattandosi di dati relativi a condanne penali e reati (art. 10 del Regolamento), anche alla luce delle indicazioni che, sin dal 2014, il Garante, ha fornito a tutti i soggetti pubblici nelle Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati, sopra citate.
Di contro, si è tenuto favorevolmente atto che il Comune di Greve in Chianti aveva provveduto a coinvolgere il proprio responsabile della protezione dei dati personali e a conformarsi in buona fede al parere dello stesso. Non risultano precedenti violazioni pertinenti commesse dal titolare del trattamento o precedenti provvedimenti di cui all’art. 58 del Regolamento.
In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 4.000,00 (quattromila) per la violazione degli artt. 5, par. 1, lett. a) e c), 6, par. 1, lett. c) ed e), 2 e 3, lett. b), e 10 del Regolamento, nonché degli artt. 2-ter, commi 1 e 3 e 2-octies del Codice, quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, par. 1, del Regolamento, effettiva, proporzionata e dissuasiva.
Tenuto conto della particolare delicatezza dei dati diffusi, nonché dell’esteso lasso temporale durante il quale i predetti dati sono stati resi reperibili in rete, si ritiene altresì che debba applicarsi la sanzione accessoria della pubblicazione sul sito del Garante del presente provvedimento, prevista dall’art. 166, comma 7 del Codice e art. 16 del Regolamento del Garante n. 1/2019.
Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.
TUTTO CIÒ PREMESSO IL GARANTE
ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, dichiara illecita la condotta tenuta dal Comune di Greve in Chianti, descritta nei termini di cui in motivazione, consistente nella violazione degli artt. 5, par. 1, lett. a) e c), 6, paragrafo 1, lett. c) ed e), 2 e 3, lett. b), e 10 del Regolamento, nonché degli artt. 2-ter, commi 1 e 3 e 2-octies del Codice, nei termini di cui in motivazione
ORDINA
al Comune di Greve in Chianti, in persona del legale rappresentante pro-tempore, con sede legale in Piazza Matteotti n.8 - 50022 Greve in Chianti (FI), C.F. 01421560481, ai sensi degli artt. 58, par. 2, lett. i), e 83, par. 5, del Regolamento e 166, comma 2, del Codice, di pagare la somma di euro 4.000,00 (quattromila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione. Si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata;
INGIUNGE
al predetto Comune, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 4.000,00 (quattromila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981;
DISPONE
ai sensi dell’art. 166, comma 7, del Codice, la pubblicazione del presente provvedimento sul sito web del Garante, ritenendo che ricorrano i presupposti di cui all’art. 17 del Regolamento del Garante n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.
Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.
Roma, 2 luglio 2020
IL PRESIDENTE
Soro
IL RELATORE
Bianchi Clerici
IL SEGRETARIO GENERALE
Busia
