Ordinanza ingiunzione o revoca n. 193 del 17/05/2023

Ministero delle infrastrutture e dei trasporti: pubblicazione online illecita di documenti di riconoscimento e tessere sanitarie

Il Garante ha sanzionato il Ministero delle infrastrutture e dei trasporti per avere diffuso online, sul Portale Amministrazione Trasparente, documenti amministrativi contenenti dati personali, inclusi documenti di identità e tessere sanitarie. Il procedimento è stato avviato a seguito di segnalazioni e di verifiche istruttorie che hanno confermato la presenza di file liberamente accessibili e scaricabili dal dominio del Ministero.

Origine del caso e attività istruttoria

Le segnalazioni hanno riguardato la presenza online di diversi documenti amministrativi contenenti dati personali, tra cui:

• curricula vitae dettagliati;
• copie integrali a colori di carte d’identità;
• copie di tessere sanitarie;
• allegati a note ministeriali contenenti ulteriori dati personali.

L’Ufficio ha effettuato una verifica preliminare su alcuni URL indicati e ha riscontrato che i documenti erano effettivamente accessibili e direttamente scaricabili. Sulla base degli elementi acquisiti, è stato contestato al Ministero un trattamento non conforme alla disciplina in materia di protezione dei dati personali.

Quadro normativo richiamato

Il provvedimento richiama innanzitutto:

• l’art. 4, par. 1, n. 1, GDPR, sulla nozione di dato personale;
• l’art. 2-ter, commi 1 e 3, del Codice privacy, sui limiti alla diffusione di dati personali da parte dei soggetti pubblici;
• l’art. 5, par. 1, lett. a), b), c) GDPR, sui principi di liceità, limitazione della finalità e minimizzazione;
• l’art. 6, par. 1, lett. c) ed e), par. 2 e 3, lett. b), GDPR, in tema di base giuridica del trattamento;
• l’art. 25, parr. 1 e 2, GDPR, su protezione dei dati fin dalla progettazione e per impostazione predefinita;
• gli artt. 58 e 83 GDPR, in materia di poteri correttivi e sanzioni amministrative;
• l’art. 166 del Codice e il Regolamento del Garante n. 1/2019 sulle procedure interne e sull’ordinanza ingiunzione.

Difese del Ministero e iniziative correttive

Il Ministero ha presentato memorie difensive e ha chiesto audizione. Ha sostenuto, in sintesi, che:

• le pubblicazioni contestate erano numericamente marginali rispetto al totale dei documenti pubblicati;
• la violazione era episodica, non sistematica e riferibile in larga parte a documenti risalenti agli anni 2017-2020;
• non vi era dolo, ma un errore umano, favorito dalla complessità del quadro normativo e dall’urgenza di pubblicare gli atti di gara;
• i dati erroneamente pubblicati erano stati rimossi e, per alcuni contenuti, era stata chiesta anche la deindicizzazione e la rimozione delle miniature dai motori di ricerca;
• erano state adottate ulteriori misure organizzative e formative, tra cui circolari interne, corsi di formazione, una commissione di verifica e monitoraggio e specifici alert nel software di pubblicazione.

Valutazioni del Garante sull’illiceità del trattamento

Il Garante ha ritenuto che le giustificazioni del Ministero, pur meritevoli di considerazione, non fossero sufficienti per disporre l’archiviazione. Ha quindi confermato la non conformità del trattamento al GDPR, osservando che la diffusione online dei documenti di identità e delle tessere sanitarie era avvenuta:

• in assenza di idonei presupposti normativi;
• senza rispettare i principi di limitazione della finalità e minimizzazione;
• senza adeguate misure tecniche e organizzative ex art. 25 GDPR.

Il Garante ha dato atto che la condotta aveva esaurito i suoi effetti, poiché il Ministero aveva rimosso i contenuti contestati e si era attivato anche per evitare la permanenza dell’indicizzazione sui motori di ricerca. Per questo, non ha ritenuto necessarie ulteriori misure correttive ex art. 58, par. 2, GDPR, oltre alla sanzione.

Sanzione amministrativa pecuniaria

La violazione è stata qualificata come colposa, riferita a dati personali non appartenenti a categorie particolari né a condanne penali o reati, e riguardante circa 81 documenti.

Ai fini della quantificazione della sanzione, il Garante ha valutato:

• la natura colposa della violazione;
• il carattere limitato nel tempo, episodico e non sistematico della condotta;
• l’assenza di precedenti pertinenti;
• la collaborazione prestata dall’amministrazione;
• le misure adottate per attenuare gli effetti e prevenire recidive;
• la complessità organizzativa del Ministero.

Sulla base di tali elementi, la sanzione amministrativa pecuniaria è stata determinata in euro 24.000,00, ai sensi dell’art. 83, parr. 2, 3 e 5, GDPR, ritenendola effettiva, proporzionata e dissuasiva.

Dispositivo finale

Il Garante ha quindi:

• ordinato al Ministero delle infrastrutture e dei trasporti di pagare euro 24.000,00;
• ingiunto il pagamento entro 30 giorni dalla notifica;
• disposto la pubblicazione del provvedimento sul sito web del Garante, ai sensi dell’art. 166, comma 7, del Codice;
• disposto l’annotazione nel registro interno dell’Autorità.

È stato infine ricordato che avverso il provvedimento è possibile proporre ricorso all’autorità giudiziaria ordinaria nei termini di legge.