Parere del Garante n. 591 del 26/09/2024

Pubblicazione online del provvedimento disciplinare di espulsione da una associazione CNA regionale

Il Garante si pronuncia sul reclamo di un associato e dirigente di CNA contro la pubblicazione sul sito web della federazione regionale della notizia relativa alla sua decadenza da cariche ed espulsione. Il provvedimento è adottato alla luce del GDPR e del Codice privacy, in esito a un’istruttoria sulla liceità della diffusione online di dati personali e di informazioni disciplinari.

Fatti e oggetto del reclamo

L’interessato contesta che la notizia, pubblicata il 20 novembre 2023, riportasse il suo nome, il riferimento alla sua azienda e una sintesi degli addebiti disciplinari, tra cui anche fatti potenzialmente pregiudizievoli per la reputazione. La pubblicazione era accessibile a chiunque e indicizzata dai motori di ricerca. L’istante lamenta inoltre che, al momento della diffusione, il provvedimento non fosse ancora definitivo perché impugnato davanti al Collegio Nazionale dei Garanti.

Riscontro del titolare del trattamento

La CNA sostiene che la pubblicazione fosse lecita sulla base del legittimo interesse ex art. 6, par. 1, lett. f), GDPR, in quanto funzionale a informare associati, istituzioni, media, imprese e altri portatori di interesse, nonché a tutelare la reputazione dell’associazione. L’ente richiama la disciplina interna sul carattere esecutivo delle decisioni dei Garanti regionali e afferma che, dopo il reclamo, ha reso la pagina inaccessibile, deindicizzato la notizia e aggiornato le proprie policy e linee guida sul trattamento dei dati sul sito.

Quadro giuridico applicato

Il Garante richiama i principi di liceità, correttezza e trasparenza, minimizzazione dei dati e limitazione della conservazione di cui all’art. 5, par. 1, lett. a), b), c) ed e), GDPR, nonché le basi di liceità di cui all’art. 6, par. 1, lett. a) e f). Viene inoltre richiamato l’orientamento dell’Autorità in materia di comunicazioni/diffusioni di dati personali in ambito associativo, secondo cui al di fuori di comunicazioni interne proporzionate il trattamento richiede, di regola, il consenso dell’interessato.

Valutazione del Garante sulla liceità della diffusione

Secondo l’Autorità, la diffusione sul sito internet di una notizia accessibile a una pluralità indeterminata di utenti esclude in radice la necessarietà del trattamento per le finalità statutarie dell’associazione. Tali finalità, al più, consentivano comunicazioni circoscritte all’interno del perimetro associativo. Non è quindi ravvisabile un legittimo interesse prevalente della CNA, anche alla luce delle ragionevoli aspettative dell’interessato e del contesto in cui i dati sono stati trattati.

Rilievi sui principi di minimizzazione e limitazione della conservazione

Il Garante evidenzia che, prima di pubblicare contenuti sul sito, il titolare avrebbe dovuto effettuare una selezione preventiva delle informazioni e verificare la possibilità di oscurare i dati non necessari. Nel caso concreto non risultano definite modalità idonee a limitare la diffusione ai soli dati minimi strettamente necessari né tempi di conservazione adeguati e predeterminati. Ciò comporta la violazione dei principi di minimizzazione e limitazione della conservazione.

Esito del procedimento e conseguenze

L’Autorità accerta l’illiceità del trattamento effettuato dalla CNA tramite la pubblicazione della notizia disciplinare e ritiene non superati i rilievi dell’avvio del procedimento. Pur qualificando la violazione come minore, anche in ragione della rimozione dei dati, del numero limitato di interessati e delle misure correttive adottate dall’associazione, il Garante ammonisce la CNA ai sensi degli artt. 143 del Codice e 58, par. 2, lett. b), GDPR. Dispone inoltre l’annotazione della violazione nel registro interno dell’Autorità e la pubblicazione del provvedimento sul sito del Garante.

Indicazioni operative implicite per i titolari

Il provvedimento conferma che, in ambito associativo, la diffusione di dati personali sul web richiede una base giuridica specifica e una valutazione rigorosa di necessità, proporzionalità e minimizzazione. In assenza di consenso o di un diverso fondamento normativo idoneo, la pubblicazione di vicende disciplinari o reputazionalmente sensibili su una pagina accessibile indiscriminatamente non è lecita, nemmeno se l’ente ritiene di agire per finalità di trasparenza o tutela della propria immagine.