Ordinanza ingiunzione o revoca n. 404 del 01/12/2022

A.R.N.A.S. Civico - di Cristina Benfratelli: pubblicazione online di delibere con dati personali e dati relativi alla salute di un dipendente

Il provvedimento riguarda un’azienda ospedaliera pubblica che ha pubblicato sul proprio sito istituzionale due deliberazioni relative al collocamento a riposo di un dipendente e alla successiva rettifica. Nei documenti erano presenti dati personali dell’interessato, compresi dati relativi alla salute e allo stato di invalidità, poi risultanti anche indicizzati sui motori di ricerca.

Origine del procedimento

Il procedimento prende avvio da un reclamo presentato dal dipendente. L’interessato segnalava che la delibera di rettifica conteneva riferimenti al suo status di invalidità e alla percentuale di invalidità, oltre a ulteriori informazioni sul rapporto di lavoro e sulla richiesta di collocamento a riposo. L’Ufficio ha verificato la presenza online dei provvedimenti e la relativa indicizzazione.

Posizioni difensive dell’azienda ospedaliera

Nel corso dell’istruttoria il titolare ha sostenuto che la pubblicazione fosse connessa alla tenuta dell’Albo Pretorio online, richiamando l’art. 32 della l. 69/2009. Ha affermato che l’indicizzazione sui motori di ricerca era dovuta a un bug della piattaforma che gestiva i documenti allegati e che, una volta avuto contezza del problema, aveva provveduto a disattivare l’indicizzazione e a rimuovere il provvedimento. Ha inoltre precisato di avere presentato notifica di violazione ai sensi dell’art. 33 GDPR.

Quadro normativo richiamato

Il Garante richiama:

• gli artt. 5, par. 1, lett. a) e c), 6, 9, 24 e 25 GDPR, in tema di liceità, correttezza, trasparenza, minimizzazione e privacy by design/by default;
• l’art. 6, par. 2, GDPR, sulle norme nazionali più specifiche;
• l’art. 2-ter del Codice privacy, in materia di diffusione dei dati personali;
• l’art. 2-septies, comma 8, del Codice privacy, sul divieto di diffusione dei dati relativi alla salute;
• le Linee guida del 15 maggio 2014 su pubblicità e trasparenza sul web da parte dei soggetti pubblici.

Valutazioni del Garante

L’Autorità ribadisce che la presenza di un regime di pubblicità degli atti, come quello dell’Albo Pretorio online, non comporta un automatismo nella diffusione sul web dei dati personali e non deroga ai principi di protezione dei dati. Nel caso esaminato, la pubblicazione delle delibere ha comportato la diffusione di dati personali del dipendente in assenza di una specifica base normativa idonea a legittimarla. La presenza di riferimenti allo stato di invalidità ha determinato anche la violazione del divieto di diffusione dei dati relativi alla salute.

Il Garante osserva inoltre che la pubblicazione si è protratta oltre il termine di 15 giorni previsto dalla disciplina richiamata dall’azienda e che l’indicizzazione su motori di ricerca generalisti ha ampliato la circolazione dei dati. Nonostante le difese del titolare, gli elementi istruttori non sono ritenuti sufficienti a superare i rilievi notificati.

Esito, sanzione e misure accessorie

Il Garante dichiara l’illiceità del trattamento per violazione degli artt. 5, 6 e 9 GDPR e degli artt. 2-ter e 2-septies, comma 8, del Codice privacy, nel testo applicabile ratione temporis. Considerato che la condotta aveva ormai esaurito i suoi effetti, non vengono adottate misure correttive ai sensi dell’art. 58, par. 2, GDPR.

In applicazione dell’art. 83 GDPR, l’Autorità irroga una sanzione amministrativa pecuniaria di euro 6.000. Nella quantificazione considera la particolare delicatezza dei dati, il fatto che il trattamento abbia riguardato un solo interessato, la collaborazione del titolare, la notifica della violazione e la tempestiva rimozione dei documenti, nonché l’assenza di precedenti pertinenti. Dispone infine la pubblicazione del provvedimento sul sito del Garante ai sensi dell’art. 166, comma 7, del Codice privacy e l’annotazione nel registro interno.