Ordinanza ingiunzione o revoca n. 245 del 29/04/2025

Comune di San Francesco al Campo - diffusione online di dati personali in atti di trasparenza

Il Garante ha esaminato un reclamo relativo alla pubblicazione sul sito istituzionale del Comune di San Francesco al Campo di una delibera di Giunta e dei relativi allegati concernenti la costituzione in giudizio dell’ente in un giudizio TAR. Nei documenti pubblicati nella sezione "Amministrazione trasparente" erano presenti dati personali dei ricorrenti, in alcuni casi solo iniziali e in altri anche nominativi, data di nascita, indirizzo di residenza e codice fiscale.

Origine del procedimento e verifiche istruttorie

Il reclamo è stato presentato dall’avvocato incaricato di alcuni soggetti che lamentavano la diffusione online dei loro dati personali. L’Autorità, a seguito di una verifica preliminare, ha accertato che nella sezione "Amministrazione trasparente" del sito del Comune era possibile scaricare la delibera di Giunta e vari allegati, alcuni dei quali contenevano informazioni idonee a identificare i ricorrenti.

Contenuto dei documenti diffusi

I documenti individuati dall’Ufficio comprendevano:

• il testo dell’atto;
• il parere contabile;
• il parere tecnico;
• la proposta di compenso del legale del Comune;
• la relata di notifica a mezzo PEC.

Secondo il Garante, tali atti erano connessi alla costituzione in giudizio del Comune e contenevano dati personali non necessari rispetto alle finalità di pubblicazione.

Difese del Comune

Il Comune ha sostenuto di aver pubblicato gli atti in adempimento di obblighi di legge, richiamando l’art. 124 del d.lgs. 267/2000 e l’art. 23 del d.lgs. 33/2013. Ha inoltre rappresentato:

• di aver rimosso i documenti più invasivi e oscurato gli altri;
• di aver chiesto la deindicizzazione dei link;
• di aver implementato o programmato ulteriori misure tecniche e organizzative ai sensi degli artt. 25 e 32 GDPR;
• che la pubblicazione non riguardava dati ex artt. 9 e 10 GDPR;
• che non vi era alcuna volontà lesiva, ma solo l’intento di assolvere agli obblighi di trasparenza.

Quadro normativo richiamato

L’Autorità ha richiamato:

• l’art. 4, par. 1, n. 1, GDPR, per la nozione di dato personale;
• l’art. 5, par. 1, lett. c), GDPR, sul principio di minimizzazione;
• l’art. 2-ter del Codice, sulla diffusione da parte dei soggetti pubblici;
• l’art. 124, comma 1, d.lgs. 267/2000, sulla pubblicazione all’albo pretorio per quindici giorni;
• l’art. 23 d.lgs. 33/2013, sulla pubblicazione degli elenchi dei provvedimenti nella sezione "Amministrazione trasparente";
• le Linee guida del Garante in materia di trasparenza del 2014.

Valutazione del Garante sulla liceità della pubblicazione

Il Garante ha affermato che l’art. 23 del d.lgs. 33/2013 consente la pubblicazione degli elenchi dei provvedimenti adottati, ma non legittima la diffusione online dei dati personali contenuti negli allegati della delibera. Pertanto, tale norma non costituisce base giuridica idonea ai sensi dell’art. 2-ter del Codice.

L’Autorità ha inoltre ribadito che, anche in presenza di un obbligo di pubblicazione, occorre selezionare i dati da diffondere caso per caso, evitando automatismi e oscurando le informazioni non necessarie.

Diffusione di soli iniziali e identificabilità degli interessati

Il Garante ha osservato che anche la diffusione delle sole iniziali non era sufficiente a rendere anonimi i soggetti interessati, specie in presenza di ulteriori elementi contestuali. È stato richiamato il principio secondo cui per rendere effettivamente anonimi i dati pubblicati online occorre oscurare integralmente nominativi e ulteriori informazioni idonee a consentire l’identificazione, anche indiretta o per correlazione.

Violazioni accertate

Il Garante ha ritenuto accertate le seguenti violazioni:

• violazione del principio di minimizzazione ex art. 5, par. 1, lett. c), GDPR, per la diffusione di nominativi, iniziali e, in un documento, anche data di nascita, indirizzo di residenza e codice fiscale;
• violazione dell’art. 124, comma 1, d.lgs. 267/2000, dell’art. 2-ter, commi 1 e 3, del Codice, e degli artt. 5 e 6 GDPR, per il mantenimento online dei dati oltre il termine di quindici giorni e comunque in assenza di presupposti normativi idonei.

Esito del procedimento e sanzione

Pur prendendo atto della rimozione dei dati dal sito e delle misure dichiarate dal Comune, il Garante ha escluso i presupposti per l’archiviazione e ha ritenuto applicabile l’ordinanza ingiunzione con sanzione amministrativa pecuniaria.

Nella quantificazione della sanzione sono stati considerati:

• il carattere colposo della condotta;
• la diffusione online di dati di dieci soggetti;
• la permanenza dei dati sul sito per diversi mesi;
• la collaborazione del Comune nel corso dell’istruttoria;
• le ridotte dimensioni dell’ente;
• l’assenza di precedenti pertinenti.

La sanzione è stata determinata in euro 1.200,00, ritenuta effettiva, proporzionata e dissuasiva ai sensi dell’art. 83 GDPR.

Dispositivo

Il Garante ha quindi:

• ordinato al Comune di San Francesco al Campo di pagare euro 1.200,00 a titolo di sanzione amministrativa pecuniaria;
• ingiunto il pagamento entro 30 giorni dalla notifica, con possibilità di definizione agevolata mediante pagamento della metà entro il termine previsto per il ricorso;
• disposto la pubblicazione del provvedimento sul sito web dell’Autorità;
• disposto l’annotazione nel registro interno delle violazioni e delle misure adottate.

Impugnazione

Avverso il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.