Ordinanza ingiunzione o revoca n. 5 del 11/01/2023

Pubblicazione su Facebook di una segnalazione contenente dati personali e mancato riscontro al Garante

Il provvedimento riguarda l’Assessore alle politiche sociali del Comune di Calvi Risorta, destinataria di una sanzione per aver diffuso su Facebook una segnalazione contenente dati personali di un interessato e per non aver risposto nei termini a una richiesta di informazioni del Garante. Il procedimento è stato avviato a seguito di reclamo dell’interessato e si è svolto mediante richieste istruttorie rivolte al Comune e alla Prefettura di Caserta.

Origine del reclamo e contenuto della contestazione

Il reclamante ha segnalato che una propria segnalazione, inviata alla Prefettura di Caserta e alla Regione Campania, era stata pubblicata sulla pagina Facebook personale dell’Assessore alle politiche sociali del Comune di Calvi Risorta. Secondo quanto riferito, il documento riportava il protocollo di ingresso, il nome, il cognome e la residenza dell’interessato ed era stato successivamente condiviso anche sulla pagina Facebook del Sindaco. Il reclamante ha inoltre lamentato che il post fosse rimasto online per circa 15 giorni, con ampia diffusione tra gli utenti.

Attività istruttoria e chiarimenti raccolti

L’Ufficio del Garante ha chiesto informazioni al Comune di Calvi Risorta e alla Prefettura di Caserta. Dalle risposte è emerso che la segnalazione era stata inviata per mero errore materiale alla PEC del Comune, benché fosse destinata al Comando Provinciale dei Carabinieri di Caserta. Il Comune ha riferito che il documento era stato protocollato e assegnato al Sindaco, il quale lo aveva inoltrato all’Assessore perché il contenuto la riguardava. L’Assessore ha sostenuto che il documento fosse già stato diffuso dall’interessato su altri canali, che il post avesse oscurato alcuni dati e che fosse stato rimosso dopo pochi giorni.

Mancato riscontro alle richieste del Garante

Il Garante ha contestato all’Assessore la violazione dell’art. 157 del Codice privacy per il ritardo nel riscontro alle richieste di informazioni formulate dall’Autorità. Il riscontro è arrivato oltre i termini assegnati, soltanto dopo l’avvio del procedimento sanzionatorio, con conseguente pregiudizio per la celerità e completezza dell’istruttoria. La condotta è stata quindi ritenuta sanzionabile ai sensi dell’art. 166, comma 2, del Codice, in relazione all’art. 83, par. 5, GDPR.

Valutazione sulla pubblicazione del documento e base giuridica

Quanto alla diffusione del documento su Facebook, il Garante ha qualificato il trattamento come effettuato nell’ambito istituzionale e non privato, poiché il documento era stato acquisito dal Comune nell’ambito delle funzioni dell’ente e riguardava attività connesse alla gestione dell’emergenza epidemiologica. Per i soggetti pubblici, il trattamento è lecito solo se necessario per l’esecuzione di un compito di interesse pubblico o per l’esercizio di pubblici poteri; la diffusione è ammessa solo se prevista da una norma di legge o di regolamento.

Nel caso esaminato non è stata indicata alcuna base giuridica idonea a giustificare la pubblicazione del documento contenente i dati personali del reclamante. Il Garante ha quindi accertato la violazione:

• dell’art. 5, par. 1, lett. a), GDPR, per carenza dei principi di liceità, correttezza e trasparenza;
• dell’art. 6, par. 1, lett. e), GDPR, per assenza del presupposto di liceità per il trattamento da parte di un soggetto pubblico;
• dell’art. 2-ter, commi 1 e 3, Codice privacy, nel testo vigente all’epoca dei fatti.

È stato inoltre osservato che il fatto che l’interessato avesse già diffuso altrove informazioni sulla vicenda non rendeva lecito il rilancio del documento contenente i suoi dati personali, trattandosi di un atto ottenuto nell’ambito delle funzioni istituzionali dell’Assessore.

Esito finale, sanzione e provvedimenti accessori

Il Garante ha ritenuto che non vi fossero i presupposti per l’archiviazione né per ulteriori misure correttive, anche perché i post oggetto del reclamo non risultavano più accessibili, essendo stati rimossi dopo pochi giorni. Ha quindi dichiarato illecita la condotta dell’Assessore e le ha ordinato il pagamento di una sanzione amministrativa pecuniaria di 1.000 euro.

La quantificazione ha tenuto conto, tra gli altri elementi, del ritardo nel riscontro, dell’assenza di precedenti violazioni, del contesto della prima fase dell’emergenza epidemiologica, della circostanza che l’informazione fosse già stata diffusa dall’interessato, dell’oscuramento di alcuni dati e della rapida rimozione del post. È stata inoltre disposta la pubblicazione del provvedimento sul sito web del Garante e l’annotazione nel registro interno dell’Autorità.