Prescrizioni del Garante n. 614 del 17/10/2024

Comune di Boara Pisani: pubblicazione online di delibera con dati relativi a un procedimento penale

Il Garante per la protezione dei dati personali ha esaminato il reclamo presentato da un interessato contro il Comune di Boara Pisani per la pubblicazione sul sito istituzionale di una deliberazione di giunta contenente le sue iniziali e informazioni su un procedimento penale in corso a suo carico. Il provvedimento conclude per l’illiceità del trattamento, ma applica l’ammonimento anziché una sanzione pecuniaria.

Fatti e origine del procedimento

Il reclamo riguardava la deliberazione di giunta comunale con cui l’ente aveva disposto la costituzione in giudizio e il conferimento di incarico a un legale. Nel documento pubblicato online erano riportate le iniziali del reclamante e la descrizione del reato contestato, ossia il furto di due pali in acciaio zincato destinati all’illuminazione pubblica. L’interessato aveva già chiesto al Comune l’oscuramento dei dati, sostenendo di essere facilmente identificabile nel contesto locale, ma non aveva ricevuto riscontro utile prima dell’intervento dell’Autorità.

Quadro normativo richiamato

Il Garante richiama:

• l’art. 4, par. 1, n. 1, GDPR, sulla nozione di dato personale;
• l’art. 5, par. 1, lett. b) e c), GDPR, sui principi di limitazione della finalità e minimizzazione;
• l’art. 10 GDPR e l’art. 2-octies del Codice privacy per i dati relativi a reati;
• l’art. 25, parr. 1 e 2, GDPR, su privacy by design e by default;
• l’art. 2-ter del Codice, in tema di diffusione da parte di soggetti pubblici;
• le Linee guida del Garante sulla trasparenza online di atti e documenti amministrativi.

L’Autorità ricorda in particolare che la sostituzione del nominativo con le sole iniziali non è di per sé sufficiente a rendere anonimo un atto pubblicato online, specie se permangono elementi di contesto idonei a rendere identificabile l’interessato.

Valutazione del Garante sulla pubblicazione

Secondo il Garante, il Comune non ha oscurato integralmente i dati dell’interessato e ha sottovalutato il rischio di re-identificazione. Nel contesto di un Comune di circa 2.500 abitanti, la combinazione tra iniziali, descrizione del fatto e procedimento penale poteva consentire il riconoscimento dell’interessato da parte di conoscenti o di altri soggetti dell’ambiente locale.

L’Autorità ha evidenziato che, anche in presenza di obblighi di pubblicazione per finalità di trasparenza, l’amministrazione deve selezionare i dati da inserire e verificare caso per caso se occorra oscurare informazioni eccedenti. Nel caso delle delibere di costituzione in giudizio, il Garante richiama il proprio orientamento secondo cui è sproporzionato pubblicare il nominativo della parte in causa o anche le sole iniziali, essendo spesso sufficiente indicare gli elementi essenziali della vicenda o il numero di ruolo generale della causa.

Violazioni accertate

Il provvedimento qualifica il trattamento come illecito perché il Comune ha diffuso dati personali:

• senza adottare misure tecniche e organizzative adeguate ai sensi dell’art. 25 GDPR;
• in violazione dei principi di limitazione della finalità e minimizzazione di cui all’art. 5, par. 1, lett. b) e c), GDPR;
• senza rispettare le garanzie rafforzate previste per i dati relativi a reati dagli artt. 10 GDPR e 2-octies del Codice privacy.

Difese del Comune e interventi successivi

Nelle memorie difensive il Comune ha sostenuto di avere agito in buona fede, ritenendo sufficiente l’uso delle iniziali per bilanciare trasparenza e riservatezza, e ha rappresentato di aver adottato varie misure organizzative e tecniche in materia privacy. Ha inoltre dichiarato di avere:

• rimosso il documento contestato;
• riscontrato l’interessato via PEC;
• pubblicato una deliberazione di rettifica priva di riferimenti all’interessato.

Il Garante ha considerato tali elementi, ma li ha reputati non sufficienti a giustificare l’archiviazione.

Esito: ammonimento e non sanzione pecuniaria

Pur confermando l’illiceità del trattamento, il Garante ha valutato il caso come "violazione minore" ai sensi del considerando 148 e dell’art. 83, par. 2, GDPR. A favore del Comune hanno inciso:

• le ridotte dimensioni dell’ente;
• la collaborazione prestata durante l’istruttoria;
• la natura colposa della condotta;
• il fatto che fosse coinvolto un solo interessato;
• la cessazione del trattamento e la rimozione dei dati;
• l’assenza di precedenti pertinenti.

Per tali ragioni, l’Autorità ha ritenuto sufficiente l’ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR, invece di irrogare una sanzione amministrativa pecuniaria.

Dispositivo

Il Garante:

• ammonisce il Comune di Boara Pisani per la violazione degli artt. 5, par. 1, lett. b) e c), 10 e 25, parr. 1 e 2, GDPR, nonché dell’art. 2-octies del Codice privacy;
• dispone la pubblicazione del provvedimento sul sito istituzionale dell’Autorità;
• dispone l’annotazione nel registro interno delle violazioni e delle misure adottate.

È inoltre indicata la possibilità di proporre ricorso all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione del provvedimento, ovvero entro 60 giorni se il ricorrente risiede all’estero.