Ordinanza ingiunzione o revoca n. 286 del 06/07/2023

Regione Siciliana: diffusione online di dati personali di dipendenti beneficiari di indennità regionale

Il Garante per la protezione dei dati personali ha esaminato la pubblicazione, sul sito istituzionale della Regione Siciliana, di due decreti e dei relativi allegati contenenti dati personali di 115 dipendenti di enti regionali. La vicenda è emersa a seguito del reclamo di 28 interessati, che contestavano la diffusione di dati identificativi e dell’importo dell’indennità riconosciuta in alternativa alla stabilizzazione del rapporto di lavoro.

Origine del procedimento e oggetto della pubblicazione

Il reclamo riguardava la pubblicazione del decreto D.D.G. n. XX e del successivo decreto di rettifica, entrambi corredati da elenchi nominativi dei beneficiari dell’"indennità omnicomprensiva" prevista dalla legislazione regionale per i lavoratori a tempo determinato che optavano per la fuoriuscita dal bacino di appartenenza in alternativa alla stabilizzazione.

Gli allegati pubblicati riportavano, per ciascun interessato:

• ente di appartenenza;
• nominativo;
• luogo e data di nascita;
• codice fiscale;
• importo da liquidare;
• modalità di erogazione.

Difese della Regione

La Regione ha sostenuto che la pubblicazione fosse legittima perché riconducibile agli obblighi di trasparenza previsti dagli artt. 26 e 27 del d.lgs. 33/2013. Secondo l’amministrazione, l’indennità costituiva un vantaggio economico, assimilabile a sovvenzione, contributo, sussidio o ausilio finanziario, e pertanto i dati dei beneficiari avrebbero dovuto essere resi pubblici.

La Regione ha anche rappresentato che l’indennità aveva natura di beneficio riconosciuto ai lavoratori che esercitavano un diritto di opzione, e che la pubblicazione degli elenchi era stata effettuata dopo l’esaurimento dell’istruttoria interna. Gli atti sono stati poi rimossi dal sito a seguito di una diffida avanzata da alcuni interessati.

Quadro normativo richiamato

Il Garante ha richiamato:

• gli artt. 5, par. 1, lett. a) e c), 6, parr. 1, lett. c) ed e), 2 e 3, lett. b), 9, par. 2, lett. b) e g), e 88 GDPR;
• l’art. 2-ter del Codice privacy, nel testo antecedente alle modifiche del d.l. n. 139/2021;
• gli artt. 26, 27 e 7-bis del d.lgs. 33/2013;
• le Linee guida del Garante del 15 maggio 2014 in materia di pubblicità e trasparenza sul web.

È stato ribadito che la diffusione di dati personali da parte di soggetti pubblici è ammessa solo se prevista da una norma di legge o, nei casi consentiti, di regolamento; in ogni caso devono essere rispettati i principi di liceità, correttezza, trasparenza e minimizzazione.

Valutazioni del Garante sulla natura dell’indennità e sui limiti della pubblicazione

L’Autorità ha ricostruito la disciplina regionale che consente ai lavoratori interessati di scegliere tra stabilizzazione del rapporto di lavoro e corresponsione di un’indennità omnicomprensiva pari a cinque anni della retribuzione in godimento, da erogarsi in rate annuali.

Pur prendendo atto delle argomentazioni della Regione, il Garante ha ritenuto che la pubblicazione effettuata non fosse integralmente giustificata dalla normativa sulla trasparenza. In particolare, gli obblighi di pubblicazione degli artt. 26 e 27 del d.lgs. 33/2013 non consentono di diffondere dati ulteriori rispetto a quelli espressamente previsti.

L’Autorità ha rilevato che, nel caso concreto, risultavano pubblicati anche il luogo e la data di nascita e il codice fiscale degli interessati, dati non riconducibili alle informazioni che la disciplina di settore impone di pubblicare. Tali dati sono stati quindi considerati diffusi senza idoneo presupposto giuridico.

Violazioni accertate

Il Garante ha concluso che la Regione ha effettuato una diffusione illecita di dati personali, in violazione di:

• art. 5, par. 1, lett. a) e c), GDPR;
• art. 6, parr. 1, lett. c) ed e), 2 e 3, lett. b), GDPR;
• art. 2-ter, commi 1 e 3, Codice privacy, nel testo previgente.

È stato inoltre chiarito che il richiamo all’art. 7-bis del d.lgs. 33/2013 non era pertinente, poiché il riutilizzo dei dati pubblicati ai sensi degli artt. 26 e 27 non è libero ma resta soggetto alle regole poste a tutela dei dati personali.

Esito del procedimento e sanzione

L’Autorità ha ritenuto non sufficienti le difese della Regione per archiviare il procedimento e ha escluso la necessità di ulteriori misure correttive, poiché la condotta aveva già esaurito i propri effetti con la rimozione degli atti dal sito istituzionale.

Ai fini della sanzione, il Garante ha considerato:

• il numero elevato degli interessati coinvolti;
• la delicatezza della vicenda, connessa al rapporto di lavoro;
• la diffusione online di dati identificativi e fiscali;
• il mancato rispetto di indicazioni già fornite dal Garante dal 2014;
• l’assenza di dati rientranti nelle categorie particolari;
• il fatto che la Regione avesse agito ritenendo di adempiere a obblighi di legge;
• la successiva rimozione degli atti dal sito;
• un precedente provvedimento già adottato nei confronti della Regione.

In ragione di tali elementi, è stata irrogata una sanzione amministrativa pecuniaria di euro 7.000 per la violazione degli artt. 5 e 6 GDPR e dell’art. 2-ter Codice privacy.

Provvedimenti finali

Il Garante ha:

• dichiarato l’illiceità del trattamento effettuato dalla Regione Siciliana;
• ordinato il pagamento della sanzione di euro 7.000, con facoltà di definizione agevolata mediante pagamento della metà entro 30 giorni;
• ingiunto il pagamento dell’importo in caso di mancata definizione della controversia entro 30 giorni dalla notifica;
• disposto la pubblicazione del provvedimento sul sito del Garante ai sensi dell’art. 166, comma 7, del Codice privacy.

Indicazioni operative

Il provvedimento conferma che, anche in presenza di obblighi di pubblicazione e trasparenza, le amministrazioni devono verificare puntualmente quali dati siano effettivamente pubblicabili. Non è sufficiente invocare la disciplina sulla trasparenza per estendere la diffusione a dati non espressamente richiesti dalla legge, specie quando si tratti di informazioni identificative ulteriori rispetto a nome e importo del beneficio.