Ordinanza ingiunzione o revoca n. 321 del 04/06/2025

Comune di Latina - pubblicazione online dei beneficiari della Carta "Dedicata a te"

Il provvedimento riguarda il Comune di Latina, destinatario di un’ordinanza ingiunzione per aver diffuso sul sito istituzionale i dati dei beneficiari della Carta "Dedicata a te" mediante un elenco parzialmente oscurato, ma ritenuto comunque idoneo a renderli identificabili. Il procedimento nasce da accertamenti d’ufficio a seguito di notizie di stampa.

Fatto e procedimento

L’Autorità ha rilevato che, nella sezione del sito comunale dedicata al welfare, erano stati pubblicati un avviso pubblico e un documento PDF di 29 pagine con l’elenco dei beneficiari della misura. Per ciascun soggetto erano riportate le prime tre lettere del cognome, i primi nove elementi del codice fiscale e la data di nascita.

Il Comune, rispondendo alla richiesta di informazioni ex art. 157 del Codice, ha spiegato che la Carta prevedeva un importo destinato all’acquisto di beni alimentari e che per l’attivazione era necessario effettuare un primo pagamento entro un termine perentorio, pena l’annullamento del contributo. Ha inoltre sostenuto che, in assenza di istruzioni dettagliate da parte delle amministrazioni centrali, aveva scelto la pubblicazione online come modalità più rapida ed economica per informare i 1744 beneficiari.

Difese del Comune

Nella memoria difensiva, il Comune ha affermato che la titolarità del trattamento sarebbe riconducibile a soggetti diversi e che il proprio ruolo sarebbe stato essenzialmente operativo. Ha aggiunto che la pubblicazione dei dati era stata "criptata" e che l’obiettivo era consentire ai soli interessati di riconoscersi, senza diffusione di dati personali.

Il Comune ha anche richiamato i principi di efficienza, efficacia ed economicità, evidenziando le difficoltà pratiche di una comunicazione individuale tramite posta o email e sostenendo che la soluzione adottata fosse analoga a quella seguita da altri enti. Ha infine dichiarato di avere avviato un percorso formativo interno sulla corretta gestione dei dati personali.

Normativa richiamata

Il Garante ha richiamato la nozione di dato personale e di identificabilità di cui all’art. 4, par. 1, n. 1, GDPR, nonché i presupposti di liceità del trattamento da parte di soggetti pubblici di cui all’art. 6, par. 1, lett. c) ed e), GDPR e all’art. 2-ter del Codice privacy.

È stata richiamata anche la nozione di diffusione di dati personali, intesa come conoscenza dei dati da parte di soggetti indeterminati, e il principio secondo cui la diffusione di dati trattati per compiti di interesse pubblico è ammessa solo se prevista da idonea base giuridica. Il Garante ha inoltre ricordato che la pseudonimizzazione non equivale ad anonimizzazione e che i dati possono dirsi anonimi solo se non consentono in alcun modo l’identificazione diretta o indiretta dell’interessato, anche attraverso mezzi ragionevolmente disponibili a terzi.

Sono state poi richiamate le Linee guida del 15 maggio 2014 sulla pubblicazione online da parte dei soggetti pubblici, con particolare riferimento al rischio di identificazione anche in presenza di soli dati parziali o di contesto, e al divieto di pubblicare online informazioni che possano rivelare condizioni di disagio economico-sociale.

Valutazioni del Garante

L’Autorità ha ritenuto accertato che il Comune abbia diffuso dati personali dei beneficiari senza adeguata base giuridica. La combinazione tra le informazioni pubblicate e il contesto locale consentiva, secondo il Garante, di identificare gli interessati almeno nel relativo ambiente sociale o familiare, anche incrociando i dati con altre fonti.

Il Garante ha escluso che l’art. 7 del decreto del 18 aprile 2023 potesse legittimare la pubblicazione generalizzata degli elenchi sul sito istituzionale: la norma imponeva ai Comuni di comunicare l’assegnazione del beneficio e le modalità di ritiro delle carte, ma non autorizzava una diffusione online dei dati personali. La pubblicazione, inoltre, è stata ritenuta potenzialmente lesiva della dignità degli interessati, poiché rendeva desumibile la loro condizione di vulnerabilità economica.

Il provvedimento segnala anche che, per il rinnovo della misura nel 2024, la disciplina successiva ha previsto la pubblicazione degli elenchi sui siti comunali con modalità tali da garantire la riservatezza, richiamando anche soluzioni operative poi indicate dall’INPS, come l’uso del numero di protocollo ISEE o di analoghe modalità.

Violazioni accertate

Il Garante ha concluso che il trattamento del Comune è avvenuto in violazione di:

• art. 6, par. 1, lett. c) ed e), par. 2 e par. 3, lett. b), GDPR;
• artt. 2-ter, commi 1 e 3, del Codice privacy.

Sanzione e criteri di quantificazione

Ai fini dell’art. 83 GDPR, il Garante ha considerato:

• la natura e gravità della violazione, con coinvolgimento di 1744 interessati;
• il carattere colposo della condotta, dovuto a un’errata interpretazione normativa;
• la durata limitata della diffusione e l’assenza di indicizzazione sui motori di ricerca;
• l’assenza di dati appartenenti a categorie particolari o relativi a reati;
• la tempestiva rimozione degli elenchi;
• l’assenza di precedenti pertinenti;
• la collaborazione mostrata dal Comune;
• la natura di amministrazione comunale di dimensioni medio-grandi.

Il livello di gravità è stato qualificato come medio e la sanzione amministrativa pecuniaria è stata fissata in euro 4.000.

Dispositivo e conseguenze

Il Garante ha:

• dichiarato l’illiceità del trattamento;
• ordinato al Comune di Latina il pagamento di euro 4.000;
• ricordato la possibilità di definire la controversia pagando entro 30 giorni la metà della sanzione;
• disposto la pubblicazione dell’ordinanza ingiunzione sul sito del Garante;
• disposto la pubblicazione del provvedimento sul sito web dell’Autorità;
• disposto l’annotazione nel registro interno.

Contro il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria nei termini di legge.