Ordinanza ingiunzione o revoca n. 388 del 31/08/2023

Ordine degli Avvocati di XX: pubblicazione online di statini d'udienza con dati giudiziari

Il Garante ha esaminato un reclamo relativo alla pubblicazione sul sito istituzionale dell'Ordine degli Avvocati di XX di statini di rinvio d'udienza contenenti dati personali e giudiziari del reclamante e della coniuge. La vicenda si colloca nel contesto dell'emergenza sanitaria, durante la quale l'Ordine aveva giustificato la pubblicazione online come strumento di supporto organizzativo per gli avvocati.

Origine del reclamo e fatti contestati

Il reclamante ha segnalato che, cercando i propri nominativi e quelli della coniuge su Google, risultavano reperibili informazioni sulle udienze e i relativi statini scaricabili in forma non anonimizzata. Ha poi rappresentato che, nonostante la rimozione dal sito dell'Ordine di alcuni documenti, gli stessi rimanevano indicizzati sui motori di ricerca e che altri documenti non anonimizzati continuavano a essere presenti in rete. La parte ha inoltre allegato conseguenze concrete sul piano reputazionale e personale.

Attività istruttoria del Garante

L'Autorità ha chiesto chiarimenti all'Ordine sulle finalità e modalità del trattamento, sul contenuto degli statini e sulle misure tecnico-organizzative adottate. Il Garante ha anche segnalato la vicenda al Consiglio superiore della magistratura, al Ministero della giustizia e al Tribunale interessato, che ha ricondotto la pubblicazione a un errore materiale dell'addetto e ha richiamato il personale al rigoroso rispetto della disciplina sulla riservatezza.

L'Ordine ha spiegato che la pubblicazione degli statini sul portale web era stata concordata con gli uffici giudiziari per consentire agli avvocati l'aggiornamento dell'agenda professionale, sostenendo che la mancata indicazione di alcuni dati identificativi impedisse comunque di risalire con certezza all'identità dei soggetti indicati. Tuttavia, non ha fornito riscontro completo sulle richieste relative al contenuto dei dati giudiziari e alle misure adottate per garantire il rispetto dei principi di trattamento.

Ulteriori sviluppi e rimozioni

A seguito di ulteriori accertamenti, il Garante ha constatato la presenza di un ulteriore statino di udienza del 11 luglio 2022 sul sito dell'Ordine e ha richiesto nuovi chiarimenti. Anche il Tribunale ha riferito che la pubblicazione era avvenuta per mera svista e di aver adottato ulteriori accorgimenti organizzativi. Il Ministero della giustizia ha dichiarato di aver sensibilizzato gli uffici giudiziari sulla tutela dei dati giudiziari, richiamando anche il parere del CSM secondo cui, per le udienze civili, può essere sufficiente l'indicazione del solo numero di registro generale.

L'Ordine ha poi deliberato l'eliminazione della sezione del sito dedicata agli statini di udienza a decorrere dal 1° agosto 2022 e ha dichiarato di aver rimosso anche i riferimenti da Google. Dopo l'audizione telematica del 21 ottobre 2022, ha infine fornito riscontro alla richiesta di rimozione del reclamante.

Valutazioni giuridiche del Garante

Il Garante ha richiamato i principi di cui all'art. 5, par. 1, lett. a), c) e f), GDPR, relativi a liceità, correttezza, trasparenza, minimizzazione e integrità/riservatezza. Ha inoltre evidenziato che i dati in questione rientravano nell'art. 10 GDPR, in quanto relativi a condanne penali e reati, e che il loro trattamento è ammesso solo sotto il controllo dell'autorità pubblica o in presenza di una base normativa dell'Unione o nazionale con adeguate garanzie, ai sensi dell'art. 2-octies del Codice privacy.

All'esito dell'istruttoria, il trattamento è stato ritenuto illecito perché effettuato senza un presupposto giuridico legittimante e in violazione dei principi sopra richiamati. Il Garante ha ritenuto che la divulgazione sul sito istituzionale di dati giudiziari riferiti al reclamante e alla coniuge integrasse un illecito amministrativo ai sensi dell'art. 166, comma 2, del Codice in combinato disposto con l'art. 83, par. 5, GDPR.

Sanzione e criteri di quantificazione

Nella determinazione della sanzione, il Garante ha considerato:

• la durata della condotta e il fatto che essa fosse proseguita nonostante le richieste dell'interessato;
• la provenienza della conoscenza dell'evento da un reclamo;
• la natura dei dati diffusi, ossia dati giudiziari pubblicati sul web;
• l'assenza di intenzionalità;
• la cooperazione del titolare con l'Autorità;
• l'assenza di precedenti provvedimenti pertinenti;
• il contesto emergenziale da Covid-19.

Sulla base di tali elementi, la sanzione pecuniaria è stata determinata in euro 8.000, ritenuta effettiva, proporzionata e dissuasiva ai sensi dell'art. 83, par. 1, GDPR.

Dispositivo

Il Garante ha dichiarato l'illiceità del trattamento effettuato dall'Ordine degli Avvocati di XX e ha ordinato il pagamento della sanzione amministrativa pecuniaria di euro 8.000, con la possibilità di definire la controversia entro 30 giorni versando la metà dell'importo ai sensi dell'art. 166, comma 8, del Codice. In caso di mancata definizione, l'Ordine deve pagare l'intera somma entro 30 giorni dalla notificazione del provvedimento, con avvertimento che, in difetto, si procederà all'esecuzione forzata ai sensi dell'art. 27 l. 689/1981. È inoltre possibile proporre ricorso all'autorità giudiziaria ordinaria nei termini di cui all'art. 78 GDPR, agli artt. 152 Codice privacy e 10 d.lgs. 150/2011.