Ordinanza ingiunzione o revoca n. 103 del 22/02/2024

Comune di Civita Castellana - trattamento di dati sanitari Covid e mancata regolamentazione del rapporto con il gestore rifiuti

Il Garante ha esaminato il trattamento di dati personali, anche di natura particolare, effettuato dal Comune di Civita Castellana nell’ambito dell’attivazione del servizio speciale di raccolta e smaltimento rifiuti per soggetti positivi o in quarantena per Covid-19. Il procedimento è nato da un reclamo ex art. 77 GDPR e da una notifica di data breach, in seguito alla diffusione su WhatsApp e Facebook di una fotografia di un documento interno contenente informazioni riferibili agli interessati.

Origine del reclamo e contenuto della violazione

Secondo quanto emerso, il Comune aveva ricevuto dalla ASL un elenco di cittadini positivi o in quarantena e aveva predisposto due comunicazioni interne: una per la Polizia Locale e una per la società S.A.T.E. S.p.a., affidataria del servizio di raccolta rifiuti, al fine di attivare il servizio speciale Covid. La diffusione contestata non riguardava tanto l’invio originario dei dati, quanto la successiva circolazione non autorizzata della comunicazione destinata alla società, apparsa in una chat WhatsApp e poi su Facebook.

Attività istruttoria e difese del Comune

L’Ufficio ha richiesto informazioni al Comune ai sensi dell’art. 157 del Codice privacy. Il Comune ha sostenuto di aver trasmesso alla società solo i dati minimizzati strettamente necessari e di averlo fatto via PEC istituzionale riservata, con espressa dicitura di massima riservatezza e tutela della privacy. Ha inoltre affermato che la società fosse un autonomo titolare del trattamento, escludendo l’applicabilità dell’art. 28 GDPR.

Il Comune ha poi ribadito, anche nella memoria difensiva e in audizione, che:

• la diffusione illecita sarebbe stata imputabile esclusivamente alla società e ai suoi operatori;
• la trasmissione era necessaria per l’esecuzione di un compito di interesse pubblico e per la tutela della salute;
• il contesto emergenziale Covid giustificava la procedura adottata;
• il rapporto con la società sarebbe stato regolato solo successivamente.

Qualificazione del rapporto tra Comune e società

Il Garante ha invece ricondotto la società alla figura del responsabile del trattamento, non di titolare autonomo, valorizzando gli elementi di fatto e la documentazione prodotta. È stato rilevato che il contratto di servizio del 2001, integrato nel 2011, non conteneva gli elementi richiesti dall’art. 28 GDPR e, per il periodo anteriore, neppure quelli dell’art. 29 del Codice privacy nella formulazione previgente.

L’Autorità ha quindi ritenuto che il trattamento fosse stato avviato e svolto senza un atto giuridico idoneo a regolare il rapporto titolare-responsabile, con conseguente violazione dell’art. 28 GDPR. La circostanza che il Comune avesse in un primo momento ritenuto la società un titolare autonomo non è stata considerata idonea a escludere la responsabilità dell’ente.

Violazione dei principi di responsabilizzazione e accountability

La mancata regolamentazione del rapporto ha comportato anche la violazione degli artt. 5, par. 2, e 24 GDPR. Il Garante ha osservato che il titolare deve non solo rispettare il Regolamento, ma anche essere in grado di dimostrare di averlo fatto, definendo chiaramente ruoli, istruzioni e responsabilità dei soggetti che trattano dati per suo conto.

Nel caso concreto, l’assenza di un accordo scritto conforme all’art. 28 ha inciso sulla possibilità di impartire istruzioni documentate e di garantire una corretta cornice organizzativa e tecnica del trattamento. Il Garante ha sottolineato che il titolare conserva una responsabilità generale anche quando affida operazioni a terzi.

Valutazioni sulla diffusione dei dati e sulla responsabilità

L’Autorità ha precisato che la diffusione dei dati personali appare riconducibile, sul piano materiale, alla condotta della società e del suo personale; tuttavia, ciò non esclude la responsabilità del Comune per aver affidato il trattamento senza un adeguato quadro giuridico e organizzativo. La mancata definizione del rapporto e delle istruzioni ha favorito un contesto non conforme alla disciplina privacy.

È stato anche rilevato che la violazione ha avuto natura permanente fino al mese in cui il rapporto è stato successivamente regolarizzato ai sensi dell’art. 28 GDPR. Il Garante ha escluso, tuttavia, l’adozione di ulteriori misure correttive, ritenendo che la condotta avesse ormai esaurito i propri effetti.

Sanzione amministrativa pecuniaria

Ai fini sanzionatori, il Garante ha applicato l’art. 83, par. 3 GDPR, individuando come violazione più grave quella dell’art. 5 GDPR, punibile ai sensi dell’art. 83, par. 5 GDPR fino a 20.000.000 di euro. Nella determinazione dell’importo sono stati considerati i criteri dell’art. 83, par. 2 GDPR, in particolare:

• natura, gravità e durata della violazione;
• assenza di danni comprovati agli interessati;
• carattere colposo della condotta;
• dimensioni ridotte del Comune;
• assenza di precedenti rilevanti;
• contesto emergenziale Covid e specifica situazione organizzativa dell’ente.

In esito a tali valutazioni, la sanzione è stata fissata in euro 3.000,00.

Provvedimenti finali

Il Garante ha dichiarato l’illiceità del trattamento effettuato dal Comune per violazione degli artt. 5, par. 2, 24 e 28 GDPR e ha ordinato il pagamento della sanzione pecuniaria di euro 3.000,00. È stata inoltre disposta la pubblicazione del provvedimento sul sito istituzionale dell’Autorità e l’annotazione nel registro interno delle violazioni e delle misure adottate.

Il provvedimento richiama infine la facoltà di definizione agevolata della controversia mediante pagamento in misura ridotta, nonché la possibilità di ricorso all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. 150/2011.