Ordinanza ingiunzione o revoca n. 301 del 23/05/2024

Ordine degli Architetti di Matera: comunicazione illecita di dati del segnalante, diffusione online del verbale e ritardo sul RPD

Il provvedimento riguarda l'Ordine degli Architetti, Pianificatori, Paesaggisti e Conservatori della Provincia di Matera, destinatario di un reclamo e di accertamenti dell'Autorità in relazione alla gestione di una segnalazione su un presunto uso improprio del titolo professionale di architetto. Il Garante ha esaminato tre distinti profili: la comunicazione alla professionista segnalata dei dati del segnalante, la pubblicazione sul sito istituzionale del verbale contenente dati personali e un'errata attribuzione della segnalazione, nonché il ritardo nella pubblicazione e comunicazione dei dati di contatto del responsabile della protezione dei dati.

Fatti e avvio del procedimento

Il segnalante aveva inviato all'Ordine una comunicazione via e-mail e una via PEC chiedendo chiarimenti sull'utilizzo del titolo di architetto da parte di una professionista iscritta come pianificatrice. L'Ordine aveva trasmesso la segnalazione al Consiglio di Disciplina e, nel farlo, aveva inviato copia della comunicazione anche alla professionista segnalata. Inoltre, il verbale della seduta del Consiglio riportava il nome del segnalante per esteso ed era stato pubblicato online.

A seguito delle richieste di informazioni dell'Autorità, l'Ordine ha sostenuto che il segnalante non fosse identificabile in quanto privo di documento di identità e che, comunque, la comunicazione non contenesse dati particolari. Ha anche affermato che la pubblicazione dei verbali era dettata da esigenze di trasparenza e che il ritardo nella pubblicazione dei dati del RPD dipendeva dalle ridotte dimensioni dell'ente e dalle limitate risorse amministrative.

Comunicazione illecita dei dati personali del segnalante

Il Garante ha ritenuto che nome, cognome, indirizzi e-mail ordinari e PEC del segnalante costituissero dati personali ai sensi dell'art. 4, par. 1, n. 1, GDPR, poiché riconducibili a una persona fisica identificata o identificabile anche per via indiretta. Ha osservato che la professionista segnalata poteva risalire all'identità del segnalante e che, in ogni caso, l'Ordine avrebbe potuto inviare due distinte comunicazioni senza rivelare alla segnalata i dati del segnalante.

La comunicazione è stata quindi ritenuta illecita per assenza di base giuridica e per violazione dei principi di liceità, correttezza e trasparenza, in contrasto con gli artt. 5, par. 1, lett. a), 6 GDPR e 2-ter del Codice privacy. Il Garante ha inoltre escluso che fosse decisiva l'argomentazione secondo cui i dati sarebbero stati ostensibili in sede di accesso agli atti, poiché nel caso concreto non risultava una richiesta di accesso documentale da parte della professionista segnalata.

Diffusione online del verbale e violazione del principio di esattezza

Il verbale del Consiglio pubblicato sul sito istituzionale conteneva sia dati della professionista segnalata sia l'indicazione errata di un consigliere comunale omonimo del segnalante, del tutto estraneo alla vicenda. Per il Garante la pubblicazione integrava una diffusione di dati personali da parte di un soggetto pubblico priva di specifica base giuridica, in violazione degli artt. 5, par. 1, lett. a), e 6 GDPR, nonché dell'art. 2-ter del Codice privacy.

In più, l'erronea attribuzione della segnalazione a un soggetto terzo ha comportato una violazione del principio di esattezza di cui all'art. 5, par. 1, lett. d), GDPR. Il Garante ha rilevato che l'Ordine stesso aveva riconosciuto il carattere di mero refuso dell'indicazione e, dopo l'intervento dell'Autorità, aveva rimosso l'intera sezione dei verbali dal sito e avviato una revisione della disciplina delle pubblicazioni.

Ritardo nella pubblicazione e comunicazione dei dati del RPD

L'Ordine aveva designato il proprio responsabile della protezione dei dati prima dell'entrata in applicazione del GDPR, ma i relativi dati di contatto erano stati pubblicati sul sito e comunicati all'Autorità solo in un momento successivo. Il Garante ha quindi accertato la violazione dell'art. 37, par. 7, GDPR, che impone al titolare di pubblicare i dati di contatto del RPD e di comunicarli all'autorità di controllo.

Questa violazione è stata però valutata come condotta distinta e meno grave, anche in ragione delle ridotte dimensioni dell'ente, dell'assenza di precedenti pertinenti e del fatto che il RPD era stato comunque tempestivamente designato. Per questo motivo il Garante ha ritenuto sufficiente un ammonimento ai sensi dell'art. 58, par. 2, lett. b), GDPR.

Valutazione complessiva e sanzione

Il Garante ha concluso per l'illiceità della condotta dell'Ordine per violazione degli artt. 5, par. 1, lett. a) e d), 6 e 37, par. 7, GDPR, nonché dell'art. 2-ter del Codice privacy. Ha ritenuto che le violazioni si articolassero in tre condotte distinte: comunicazione illecita dei dati del segnalante, diffusione illecita dei dati sul sito e ritardo nella gestione dei dati di contatto del RPD.

Per le prime due condotte, sanzionabili, ha applicato i criteri dell'art. 83, par. 2, GDPR, valorizzando:

• il rischio di pregiudizio per gli interessati;
• il numero limitato di interessati coinvolti;
• la natura colposa della condotta;
• l'assenza di dati particolari o relativi a condanne penali;
• l'assenza di precedenti violazioni;
• la collaborazione dell'Ordine;
• le ridotte dimensioni organizzative dell'ente.

Ne è derivata la determinazione di:

• euro 1.500 per la comunicazione illecita dei dati del segnalante;
• euro 2.000 per la diffusione illecita dei dati e la violazione dell'esattezza.

L'importo complessivo ingiunto è quindi pari a euro 3.500. Il Garante ha anche disposto la pubblicazione del provvedimento sul proprio sito ai sensi dell'art. 166, comma 7, del Codice privacy.

Dispositivo e termini

L'Ordine è stato:

• dichiarato autore di condotta illecita per la violazione degli artt. 5, 6 e 37, par. 7, GDPR e dell'art. 2-ter del Codice;
• ammonito per la violazione dell'art. 37, par. 7, GDPR;
• ingiunto a pagare euro 3.500 entro 30 giorni dalla notificazione, con facoltà di definizione agevolata pagando metà della sanzione entro il medesimo termine;
• destinatario della pubblicazione del provvedimento sul sito del Garante.

È stato infine indicato il rimedio giurisdizionale davanti all'autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. 150/2011.