Ordinanza ingiunzione o revoca n. 607 del 26/09/2024

Città metropolitana di Torino - diffusione illecita online di dati personali nell’albo pretorio

Il provvedimento riguarda la diffusione, tramite il sito istituzionale e in particolare l’albo pretorio online, di dati personali contenuti in atti relativi a sanzioni amministrative e rimborsi spese alle Guardie ecologiche volontarie. Il procedimento è stato avviato a seguito di una verifica preliminare dell’Ufficio del Garante sui documenti pubblicati online.

Origine dell’istruttoria e documenti esaminati

Nel corso della consultazione della sezione "Info e servizi" / "Albo pretorio ed atti", l’Ufficio ha rinvenuto alcuni documenti pubblicati e scaricabili, tra cui determinazioni dirigenziali e un relativo allegato. Dai documenti emergevano dati personali riferiti a:

• soggetti sanzionati per violazioni di settore, con indicazione del nominativo e dell’importo della sanzione;
• Guardie ecologiche volontarie, con nominativo e importo dei rimborsi spese;
• un allegato contenente anche dati bancari per il versamento, indirizzo email e numero di cellulare.

Quadro normativo richiamato

Il Garante richiama la nozione di dato personale ex art. 4, par. 1, n. 1, GDPR e sottolinea che i soggetti pubblici possono diffondere dati personali solo nel rispetto della disciplina privacy, ai sensi dell’art. 2-ter, commi 1 e 3, del Codice. Viene inoltre richiamato il principio di minimizzazione di cui all’art. 5, par. 1, lett. c), GDPR, oltre alle Linee guida del Garante in materia di trasparenza online (provvedimento generale n. 243/2014).

Valutazioni dell’Ufficio e avvio del procedimento

Con nota di contestazione, l’Ufficio ha ritenuto la condotta non conforme alla normativa e ha notificato le violazioni ai sensi dell’art. 166, comma 5, del Codice, avviando il procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, GDPR. È stato assegnato all’ente il termine di 30 giorni per scritti difensivi o richiesta di audizione.

Difese della Città metropolitana di Torino

L’ente ha rappresentato di aver già provveduto all’oscuramento dei dati segnalati. Ha inoltre riferito di aver svolto ulteriori verifiche a campione su provvedimenti già pubblicati, di aver formalizzato disposizioni organizzative interne con raccomandazioni su una verifica ex ante e una verifica ex post, di aver previsto un doppio controllo per gli atti relativi a sanzioni e rimborsi GEV e di voler incrementare la formazione del personale sulla materia.

Esito istruttorio e illiceità del trattamento

Il Garante ha ritenuto che, pur considerando le misure adottate dall’ente, non ricorressero i presupposti per l’archiviazione e che non fosse applicabile l’art. 11 del Regolamento del Garante n. 1/2019. È stata quindi confermata l’illiceità della diffusione dei dati personali, in violazione:

• degli artt. 2-ter, commi 1 e 3, del Codice;
• dell’art. 7-bis, comma 3, del d.lgs. 33/2013;
• dell’art. 6, par. 1, lett. c) ed e), par. 2 e par. 3, lett. b), GDPR;
• dell’art. 5, par. 1, lett. c), GDPR;
• nonché dell’art. 5, par. 1, lett. a) e c), GDPR, come richiamato nel dispositivo.

Valutazioni ai fini sanzionatori

Il Garante osserva che la pubblicazione aveva riguardato dati riferiti a numerosi soggetti, in alcuni casi comprensivi di email, numero di cellulare e IBAN, e che i documenti erano rimasti online per diversi anni. La condotta è stata qualificata come colposa e di gravità media. Ai fini della quantificazione sono state considerate anche:

• l’ampiezza territoriale dell’ente, grande ente locale con oltre due milioni di abitanti;
• la collaborazione prestata dopo la contestazione;
• le misure organizzative dichiarate ai sensi degli artt. 25-32 GDPR;
• l’assenza di precedenti violazioni pertinenti.

Sanzione, pubblicazione e ricorsi

In applicazione degli artt. 58, par. 2, lett. i), e 83 GDPR, nonché dell’art. 166 del Codice, il Garante ha ordinato alla Città metropolitana di Torino il pagamento di una sanzione amministrativa pecuniaria di euro 50.000, da versare entro 30 giorni dalla notifica, con facoltà di definizione agevolata mediante pagamento della metà dell’importo nei termini di legge. È stata inoltre disposta la pubblicazione del provvedimento sul sito web del Garante e l’annotazione nel registro interno. Avverso il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.