Ordinanza ingiunzione o revoca n. 4 del 11/01/2023

Sindaco di Calvi Risorta: pubblicazione illecita su Facebook di una segnalazione contenente dati personali e ritardo nel riscontro al Garante

Il Garante per la protezione dei dati personali ha esaminato il reclamo presentato da un interessato in relazione alla diffusione, su Facebook, di una segnalazione da lui inviata alla Prefettura di Caserta e alla Regione Campania. Il documento, poi condiviso dal Sindaco di Calvi Risorta sulla propria pagina social, conteneva dati personali del reclamante. Il procedimento è stato avviato anche per il mancato riscontro tempestivo a una richiesta di informazioni dell'Ufficio.

Origine del reclamo e ricostruzione dei fatti

Il reclamante ha lamentato che la sua segnalazione, diretta esclusivamente alla Prefettura e alla Regione Campania, fosse stata pubblicata sul profilo Facebook personale dell'Assessore alle politiche sociali del Comune e poi condivisa dal Sindaco. Secondo quanto rappresentato, il post mostrava il protocollo di ingresso, il nome, il cognome e la residenza dell'interessato ed era rimasto visibile per circa 15 giorni, con commenti e condivisioni da parte di numerosi utenti.

Dall'istruttoria è emerso che la Prefettura di Caserta aveva trasmesso per errore materiale il documento al Comune di Calvi Risorta, indicando poi al Comune l'errore commesso. Il Comune ha sostenuto che il documento era stato protocollato e smistato internamente al Sindaco, il quale lo aveva inviato all'Assessore perché vi si faceva riferimento; l'Assessore lo avrebbe poi pubblicato sul proprio profilo Facebook.

Attività istruttoria e posizioni delle parti

Il Garante ha chiesto chiarimenti al Comune e alla Prefettura, nonché direttamente al Sindaco e all'Assessore, in merito alla base giuridica del trattamento, alle finalità della pubblicazione, ai tempi di ricezione delle comunicazioni e alla durata della pubblicazione online.

Il Comune e gli amministratori hanno sostenuto che:

• la pubblicazione riguardava un dato già reso pubblico dallo stesso reclamante sui propri canali informatici;
• il documento era stato pubblicato oscurando alcuni dati personali;
• il profilo Facebook dell'Assessore sarebbe stato, all'epoca, chiuso;
• il post era rimasto online solo per pochi giorni ed era poi stato rimosso;
• la diffusione era giustificata dalla necessità di informare la cittadinanza nel contesto di una contrapposizione politica e di una campagna denigratoria.

Mancato riscontro alla richiesta di informazioni del Garante

L'Autorità ha accertato la violazione dell'art. 157 del Codice privacy, poiché il riscontro alla richiesta di informazioni è pervenuto oltre il termine assegnato. Il ritardo ha inciso sulla completezza e sulla celerità dell'attività istruttoria. La successiva risposta non ha escluso la violazione, che è stata quindi confermata in sede decisoria.

Illiceità della diffusione del documento su Facebook

Il Garante ha ritenuto accertato che il documento contenente i dati personali del reclamante fosse stato pubblicato dapprima sul profilo Facebook dell'Assessore e successivamente condiviso dal Sindaco. Il trattamento è stato qualificato come svolto nell'ambito istituzionale, non in quello privato o domestico, poiché riferito ad attività connesse alla gestione di una vicenda istituzionale legata all'emergenza epidemiologica.

L'Autorità ha osservato che nel documento risultavano ancora visibili gli elementi identificativi del reclamante e la sua firma autografa, mentre erano stati oscurati solo alcuni dati come data e luogo di nascita, indirizzo di residenza e email.

Base giuridica mancante e norme applicate

Il Garante ha richiamato il quadro normativo applicabile ai soggetti pubblici:

• art. 4, par. 1, n. 1, GDPR, sul dato personale;
• art. 5, par. 1, lett. a), GDPR, sui principi di liceità, correttezza e trasparenza;
• art. 6, par. 1, lett. e), GDPR, sul trattamento necessario per compiti di interesse pubblico o connessi all'esercizio di pubblici poteri;
• art. 2-ter del Codice privacy, nel testo vigente all'epoca dei fatti, sulla diffusione di dati personali da parte di soggetti pubblici solo se prevista da legge o regolamento;
• provvedimento generale del 15 maggio 2014, n. 243, sulle linee guida in materia di pubblicità e trasparenza online.

Il Garante ha ritenuto insufficiente il generico richiamo a finalità di informazione e trasparenza verso i cittadini. Non è stata indicata alcuna specifica norma di legge o regolamento che legittimasse la diffusione del documento sui social network. È stato inoltre escluso che la circostanza secondo cui l'interessato avrebbe già diffuso notizie sull'esposto potesse far venir meno la natura personale del documento pubblicato dall'amministratore pubblico.

Sanzione, criteri di quantificazione e misure accessorie

Nel determinare la sanzione, l'Autorità ha considerato:

• il ritardo nel riscontro alla richiesta del Garante;
• l'assenza di precedenti violazioni pertinenti;
• il contesto della prima fase dell'emergenza epidemiologica;
• la precedente diffusione, da parte dell'interessato, di informazioni sui fatti oggetto dell'esposto;
• l'oscuramento di alcuni dati personali nel documento pubblicato;
• la rimozione del post dopo pochi giorni.

Alla luce di tali elementi, il Garante ha irrogato una sanzione amministrativa pecuniaria di euro 1.000 per la violazione dell'art. 157 del Codice, richiamando l'art. 83, par. 5, GDPR. Ha inoltre disposto la pubblicazione del provvedimento sul sito web dell'Autorità ai sensi dell'art. 166, comma 7, del Codice e l'annotazione nel registro interno.

Esito finale

Il Garante ha dichiarato illecita la condotta del Sindaco di Calvi Risorta, consistente nel mancato riscontro tempestivo alla richiesta di informazioni e nella diffusione, senza base giuridica, del documento contenente i dati personali del reclamante. Non sono state adottate ulteriori misure correttive, poiché i post risultavano già rimossi e gli effetti della condotta erano esauriti.