Ordinanza ingiunzione o revoca n. 34 del 24/01/2024

Comune di XX: diffusione illecita di dati sanitari su Facebook, mancato riscontro al Garante e ritardo nella comunicazione del RPD

Il provvedimento riguarda un Comune che, nel contesto della gestione dell’emergenza Covid-19, aveva pubblicato sulla propria pagina Facebook contenuti contenenti dati personali e dati relativi alla salute di alcuni interessati. L’istruttoria è stata avviata a seguito di una segnalazione e si è conclusa con l’accertamento di più violazioni, con conseguente ordinanza ingiunzione, misure correttive e pubblicazione del provvedimento.

Origine dell’istruttoria e trattamenti esaminati

A seguito di una segnalazione, il Garante ha appreso che su una pagina Facebook riferibile al Comune era stato pubblicato un post con una mappa dalla quale si evincevano quasi le abitazioni di famiglie con soggetti affetti da coronavirus e in quarantena, contrassegnate da pallini rossi o gialli. Nel corso delle verifiche, l’Autorità ha poi individuato altri post nella medesima pagina relativi al Covid-19, contenenti documenti ASL e informazioni solo parzialmente oscurate.

I contenuti esaminati riguardavano, in particolare:

• uno screenshot di una email della ASL di Caserta indirizzata al Sindaco con gli esiti dei tamponi effettuati a più soggetti;
• una nota ASL con esito negativo di un tampone, dalla quale risultavano indirizzo e sesso della paziente;
• una comunicazione ASL sulla dimissione di un paziente, dalla quale, ingrandendo l’immagine, erano leggibili generalità, indirizzo, recapiti telefonici, diagnosi e date di due tamponi negativi.

L’Ufficio ha rilevato che tali post risultavano ancora pubblicati sulla pagina Facebook del Comune al momento dell’istruttoria.

Violazioni contestate

Con l’atto di avvio del procedimento, notificato ai sensi dell’art. 166, comma 5, del Codice, il Garante ha contestato:

• la violazione degli artt. 5, par. 1, lett. a), 6, par. 1, lett. c) ed e), e 9 del GDPR, nonché degli artt. 2-ter, 2-sexies e 2-septies, comma 8, del Codice, per la diffusione online di dati personali, anagrafici, di contatto e relativi alla salute in assenza di idonea base giuridica e in violazione del divieto di diffusione;
• la violazione dell’art. 157 del Codice per il mancato riscontro alle richieste di informazioni del Garante;
• la violazione dell’art. 37, par. 1, lett. a), e par. 7, del GDPR, per la mancata nomina/comunicazione tempestiva dei dati di contatto del Responsabile della protezione dei dati personali.

Il Comune non ha presentato memorie difensive né chiesto di essere audito. Ha tuttavia trasmesso, in ritardo, la comunicazione dei dati di contatto del RPD.

Valutazioni sul trattamento illecito dei dati

Il Garante ha ricordato che, per i soggetti pubblici, il trattamento è lecito solo se necessario per adempiere un obbligo legale o per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri. La diffusione di dati personali è consentita solo quando prevista da una norma di legge o, nei casi previsti dalla legge, di regolamento.

Nel caso in esame, la pubblicazione su Facebook di dati anagrafici e di contatto, nonché di dati relativi alla salute, è stata ritenuta non conforme ai principi di liceità, correttezza e trasparenza e priva di adeguata base normativa. Per i dati sanitari è stato ribadito il divieto di diffusione, che non è stato derogato neppure dalla normativa emergenziale adottata per il Covid-19.

L’Autorità ha inoltre evidenziato che, anche in presenza di oscuramenti parziali, in contesti territoriali ridotti gli interessati possono risultare comunque identificabili, in particolare in relazione agli indirizzi di abitazione.

Mancato riscontro alle richieste del Garante

In relazione alla richiesta di informazioni formulata ai sensi dell’art. 157 del Codice, il Comune non ha fornito alcun riscontro, nemmeno dopo il sollecito e neppure dopo l’avvio del procedimento. Il Garante ha quindi accertato la violazione dell’art. 157, sottolineando il rilievo dell’inosservanza ai fini dell’efficace esercizio dei poteri di controllo dell’Autorità.

RPD e comunicazione dei dati di contatto

L’art. 37 del GDPR impone alle autorità e agli organismi pubblici di nominare un Responsabile della protezione dei dati e di comunicare all’Autorità i relativi dati di contatto. Il Comune ha effettuato tale comunicazione solo successivamente alla contestazione. Il Garante ha preso atto della successiva regolarizzazione, ma ha considerato comunque accertata la violazione per il ritardo accumulato.

Misure correttive ordinate

Ai sensi dell’art. 58, par. 2, lett. d), del GDPR, il Garante ha ordinato al Comune di cessare l’ulteriore diffusione dei dati personali pubblicati nei post indicati, ancora consultabili sulla pagina Facebook.

È stato inoltre ingiunto al Comune, ai sensi degli artt. 58, par. 1, lett. a), del GDPR e 157 del Codice, di comunicare entro 30 giorni dalla notifica del provvedimento, con riscontro adeguatamente documentato:

• le iniziative intraprese per dare esecuzione all’ordine di cessazione della diffusione;
• le eventuali ulteriori misure adottate per assicurare la conformità del trattamento alla normativa privacy.

Sanzione amministrativa pecuniaria

Il Garante ha considerato tre condotte distinte ai fini sanzionatori.

Per la diffusione illecita dei dati personali e sanitari, ha ritenuto applicabile l’art. 83, par. 3 e 5, GDPR, determinando la sanzione in euro 3.000, tenendo conto della natura e della gravità della violazione, della delicatezza dei dati trattati, del numero limitato di interessati coinvolti, delle dimensioni del Comune, dell’assenza di precedenti e del fatto che i fatti risalivano alla fase iniziale dell’emergenza sanitaria.

Per il mancato riscontro alle richieste dell’Autorità, è stata comminata una sanzione di euro 2.000, valorizzando l’assenza totale di riscontri per l’intera fase istruttoria.

Per la violazione dell’art. 37, par. 7, GDPR, è stata applicata una sanzione di euro 1.000, in considerazione del ritardo nel completamento dell’adempimento e della protrazione nel tempo dell’irregolarità.

L’importo complessivo ingiunto è pari a euro 6.000. È stata inoltre richiamata la facoltà di definizione agevolata prevista dall’art. 166, comma 8, del Codice.

Ulteriori conseguenze

Il Garante ha disposto:

• la pubblicazione del provvedimento sul sito dell’Autorità ai sensi dell’art. 166, comma 7, del Codice;
• l’annotazione nel registro interno delle violazioni e delle misure adottate.

È stato infine richiamato il diritto di proporre ricorso dinanzi all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 Codice e 10 d.lgs. 150/2011.