Prescrizioni del Garante n. 305 del 29/04/2026

Ammonimento al Dipartimento della protezione civile per diffusione online prolungata di un elenco e ritardo nel riscontro a un’istanza privacy

Il Garante ha esaminato un reclamo rivolto alla Presidenza del Consiglio dei ministri - Dipartimento della protezione civile, relativo alla pubblicazione online del nominativo dell’interessata in un elenco di manifestazioni di interesse connesso alle attività emergenziali Covid-19. Il procedimento trae origine anche dal mancato tempestivo riscontro all’istanza con cui l’interessata aveva chiesto chiarimenti e la rimozione/deindicizzazione dei propri dati.

Fatti e origine del procedimento

L’interessata aveva rinvenuto i propri dati personali all’interno di un file .xls accessibile da una pagina web del Dipartimento, tramite ricerca su motore di ricerca. Il file conteneva migliaia di nominativi di soggetti appartenenti alle categorie medici, infermieri, assistenti, studenti e amministrativi, in relazione a una procedura finalizzata al reperimento di personale per il supporto alle strutture sanitarie regionali e al contact tracing nel contesto dell’emergenza sanitaria da Covid-19.

Secondo quanto rappresentato nel reclamo, l’interessata aveva già contattato il RPD del Dipartimento chiedendo chiarimenti e la deindicizzazione dei propri dati, ricevendo soltanto una comunicazione di presa in carico e non un riscontro effettivo nei tempi previsti.

Attività istruttoria e difese del Dipartimento

A seguito della richiesta di informazioni ex art. 157 del Codice, il Dipartimento ha spiegato che la pubblicazione dell’elenco era avvenuta in esecuzione di una ordinanza del Capo del Dipartimento adottata nel quadro dello stato di emergenza, finalizzata a garantire l’operatività del sistema di ricerca e gestione dei contatti dei casi di Covid-19. Ha sostenuto che la pubblicazione fosse prevista dall’ordinanza stessa e che fosse stata effettuata anche per finalità di trasparenza ai sensi del d.lgs. 33/2013.

Nelle difese ha inoltre rappresentato di aver rimosso l’elenco dopo l’avvio dell’attività istruttoria e di aver avviato, con il supporto del DPO, una revisione interna delle procedure per ridurre i tempi di reazione e verificare eventuali situazioni analoghe. In audizione ha precisato di aver rafforzato i presidi organizzativi interni per la gestione delle istanze degli interessati e dei rapporti con le strutture territoriali.

Normativa applicabile e valutazioni del Garante

Il Garante ha richiamato i principi generali del GDPR e, in particolare:

• l’art. 6, par. 1, lett. c) ed e), per i trattamenti effettuati da soggetti pubblici;
• l’art. 2-ter del Codice privacy, sulla diffusione dei dati personali da parte dei soggetti pubblici solo in presenza di idonea base giuridica;
• l’art. 5, par. 1, lett. b) e c), sul principio di limitazione della finalità e minimizzazione;
• l’art. 12, parr. 3 e 4, sul riscontro alle istanze degli interessati.

Diffusione online dell’elenco e superamento del tempo necessario

L’Autorità ha ritenuto che il Dipartimento avesse diffuso i dati personali dell’interessata e di altri soggetti sul proprio sito istituzionale oltre il tempo necessario al perseguimento delle finalità per cui erano stati resi pubblici. Il Garante ha osservato che il richiamo del Dipartimento all’art. 8 del d.lgs. 33/2013 non era pertinente, poiché tale disciplina riguarda la permanenza online di atti e dati relativi ai titolari di incarichi di collaborazione e consulenza, e non ai meri partecipanti a una procedura di manifestazione di interesse non selezionati.

L’Autorità ha richiamato anche le linee guida del 2014 in materia di pubblicità e trasparenza sul web, secondo cui, quando la normativa di settore non prevede un termine specifico, il titolare pubblico deve individuare un congruo periodo di pubblicazione non superiore a quello necessario a raggiungere la finalità. Nel caso concreto, a distanza di anni dalla scadenza del termine per il conferimento degli incarichi e dalla cessazione dello stato di emergenza, la permanenza online dell’elenco non era più giustificata.

Mancato tempestivo riscontro all’istanza dell’interessata

Il Garante ha anche accertato che il Dipartimento non aveva fornito un riscontro completo e tempestivo alla richiesta dell’interessata. La risposta del RPD si era limitata a comunicare che erano in corso verifiche, senza indicare tempi o esito dell’istanza. Il riscontro definitivo è arrivato solo successivamente, in corso di istruttoria. L’Autorità ha quindi ravvisato la violazione dell’art. 12, parr. 3 e 4, GDPR, in quanto il titolare avrebbe dovuto rispondere entro un mese o, in caso di proroga, informare tempestivamente l’interessata dei motivi del ritardo.

Esito finale, criteri valutati e misura adottata

Pur rilevando l’illiceità del trattamento, il Garante ha ritenuto la fattispecie riconducibile a una violazione minore ai sensi del considerando 148 e dell’art. 83, par. 2, GDPR. Ai fini della valutazione ha considerato:

• che i dati diffusi erano dati comuni e non categorie particolari o dati relativi a reati;
• che la pubblicazione riguardava soltanto nome, cognome e macroarea di appartenenza;
• che il comportamento era colposo, derivante da un’errata interpretazione dei tempi di pubblicazione previsti dal d.lgs. 33/2013;
• che il Dipartimento aveva rimosso l’elenco e successivamente riscontrato l’interessata;
• che vi era stata collaborazione con l’Autorità e assenza di precedenti violazioni pertinenti.

Sulla base di tali elementi, il Garante ha ritenuto sufficiente un ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR, senza adottare ulteriori misure correttive e senza irrogare una sanzione pecuniaria. Il provvedimento dispone inoltre la pubblicazione sul sito istituzionale dell’Autorità e l’annotazione nel registro interno.