Ordinanza ingiunzione o revoca n. 387 del 10/07/2025

Comune di Langhirano: pubblicazione online del registro degli accessi con dati personali e dati sulla salute

Il provvedimento riguarda il Comune di Langhirano e la diffusione sul sito istituzionale, nella sezione "Amministrazione trasparente", di diversi file contenenti il registro delle richieste di accesso agli atti. L'istruttoria è stata avviata a seguito di una segnalazione e ha riguardato la pubblicazione online di nominativi, oggetti delle richieste ed elementi idonei a rivelare informazioni riferite a terzi.

Origine del procedimento e contenuto dei documenti pubblicati

L'Ufficio del Garante ha verificato la presenza di più file relativi agli accessi, riferiti a centinaia di istanze, contenenti dati quali:

• data e numero di protocollo;
• oggetto;
• classificazione;
• mittente;
• destinatario;
• tipologia di accesso (documentale o civico);
• esito.

Nei campi "oggetto" e "mittente" erano indicati il nominativo del richiedente e, in molti casi, informazioni che consentivano di comprendere il contenuto della richiesta e di individuare anche soggetti terzi interessati dagli atti richiesti.

Quadro normativo richiamato

Il Garante richiama innanzitutto la nozione di dato personale di cui all'art. 4, par. 1, n. 1, GDPR, evidenziando che il nome e cognome consentono l'identificazione diretta della persona fisica.

Sul versante della pubblicazione da parte delle pubbliche amministrazioni, vengono richiamati:

• l'art. 2-ter, commi 1 e 3, del Codice privacy, che consente la diffusione solo nel rispetto della disciplina di protezione dei dati personali;
• l'art. 7-bis, comma 3, del d.lgs. 33/2013, che ammette la pubblicazione di dati e documenti non obbligatori solo in forma anonima;
• l'art. 5, par. 1, lett. c), GDPR, sul principio di minimizzazione.

Sono inoltre richiamate le Linee guida ANAC sul registro degli accessi e la Circolare del Ministro per la pubblica amministrazione n. 1/2019, entrambe chiare nel prevedere la pubblicazione dell'elenco delle richieste, dell'oggetto, della data e dell'esito, con oscuramento dei dati personali eventualmente presenti.

Valutazione della condotta del Comune

Il Comune ha sostenuto che la pubblicazione fosse frutto di una interpretazione ampia del principio di trasparenza e ha richiamato l'assenza di ulteriori dati identificativi, come codice fiscale o residenza. Ha inoltre evidenziato di aver rimosso i file dal gestionale e di non aver ricevuto segnalazioni o reclami.

Il Garante ha ritenuto tali argomenti non idonei a giustificare la condotta, osservando che:

• non esiste una norma che imponga la pubblicazione dei nominativi dei richiedenti accesso o dei soggetti cui gli atti si riferiscono;
• il registro degli accessi è solo raccomandato, non comporta automaticamente la diffusione online dei dati personali;
• la pubblicazione in chiaro dei nomi e dei contenuti delle richieste è incompatibile con i principi di necessità, pertinenza e minimizzazione;
• l'indicazione dei soli nomi e cognomi è sufficiente a integrare un trattamento di dati personali.

Diffusione di dati sulla salute

In almeno un caso, il contenuto dell'istanza pubblicata consentiva di desumere indirettamente una condizione di salute, con riferimento a una richiesta relativa allo stato pratica per la devoluzione di un contributo per la rimozione di barriere architettoniche. Il Garante ha quindi ravvisato anche la violazione dell'art. 9 GDPR e dell'art. 2-septies, comma 8, del Codice, che vieta la diffusione di dati sulla salute.

Esito dell'istruttoria e qualificazione delle violazioni

Il Garante ha escluso l'archiviazione, rilevando che non ricorrevano i presupposti previsti dal regolamento interno per chiudere il procedimento senza conseguenze. Ha quindi accertato l'illiceità del trattamento per violazione:

• degli artt. 5, par. 1, lett. a) e c), GDPR;
• degli artt. 6, par. 1, lett. c) ed e), 6, parr. 2 e 3, lett. b), GDPR;
• dell'art. 9, parr. 1, 2 e 4, GDPR;
• degli artt. 2-ter, commi 1 e 3, e 2-septies, comma 8, del Codice privacy;
• dell'art. 7-bis, comma 3, del d.lgs. 33/2013.

Ha inoltre evidenziato che la condotta era almeno colposa, poiché derivante da una lettura eccessivamente estensiva del principio di trasparenza.

Sanzione amministrativa pecuniaria e criteri di quantificazione

Pur prendendo atto della rimozione dei dati dal sito e della collaborazione del Comune, il Garante ha ritenuto di dover irrogare una sanzione pecuniaria ai sensi degli artt. 58, par. 2, lett. i), e 83 GDPR, nonché dell'art. 166 del Codice.

Nella quantificazione ha considerato:

• la diffusione online di dati di centinaia di persone;
• la presenza, in un caso, di dati relativi alla salute;
• la persistenza della pubblicazione almeno fino alle memorie difensive del Comune;
• la natura colposa della condotta;
• la dimensione dell'ente, di medie dimensioni;
• la collaborazione con l'Autorità e la rimozione dei dati;
• l'assenza di precedenti pertinenti.

Sulla base di tali elementi, ha determinato la sanzione in euro 12.000.

Dispositivo finale e rimedi

Il Garante ha ordinato al Comune di Langhirano di pagare la sanzione amministrativa pecuniaria di euro 12.000 entro 30 giorni dalla notifica del provvedimento, con la possibilità di definizione agevolata mediante pagamento della metà dell'importo nei termini previsti dall'art. 166, comma 8, del Codice.

Ha inoltre disposto:

• la pubblicazione del provvedimento sul sito web del Garante;
• l'annotazione nel registro interno delle violazioni e delle misure adottate.

Contro il provvedimento è possibile proporre ricorso dinanzi all'autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all'estero.