Prescrizioni del Garante n. 86 del 13/02/2025

Ministero dell’interno – Dipartimento della pubblica sicurezza: diffusione illecita di dati in "Poliziamoderna"

Il provvedimento riguarda la pubblicazione, sulla rivista "Poliziamoderna" e sui siti istituzionali della Polizia di Stato, di dati identificativi e informazioni relative a persone assoggettate a provvedimenti di polizia, con riferimenti a reati e misure connesse. L’istruttoria è scaturita da una segnalazione e si è conclusa con la dichiarazione di illiceità del trattamento e con l’ammonimento del titolare.

Origine del procedimento e accertamenti svolti

A seguito della segnalazione, l’Ufficio del Garante ha verificato che il numero di aprile 2024 della rivista, dedicato al 172° anniversario della fondazione della Polizia di Stato, conteneva in chiaro i dati di diverse persone assoggettate a provvedimenti di polizia, per un totale di ventidue soggetti circa, secondo quanto riportato negli atti. La versione digitale del periodico era accessibile liberamente online tramite più canali istituzionali, senza autenticazione dell’abbonato.

Il Dipartimento della pubblica sicurezza ha chiarito che il titolare del trattamento è il Ministero dell’interno – Dipartimento della pubblica sicurezza e ha spiegato che la rivista raccoglie ogni anno un report sulle attività svolte nell’anno precedente. Ha attribuito l’accaduto a un errore redazionale, dovuto alla necessità di pubblicare il numero con urgenza per ritardi nella ricezione di alcuni contributi.

Qualificazione dei dati trattati

L’Autorità ha qualificato le informazioni diffuse come dati personali ai sensi dell’art. 4, par. 1, n. 1, GDPR e, in particolare, come dati relativi a condanne penali e reati ai sensi dell’art. 10 GDPR e dell’art. 2-octies del Codice privacy. Il trattamento contestato consisteva nella "diffusione" dei dati, intesa come conoscenza a soggetti indeterminati, anche mediante messa a disposizione o consultazione online ai sensi dell’art. 2-ter, comma 4, lett. b), del Codice.

Violazioni ravvisate dal Garante

Il Garante ha ritenuto che la pubblicazione fosse non pertinente ed eccedente rispetto alla finalità dichiarata della rivista, cioè informazione generale con particolare riferimento all’informazione tecnico-giuridica e istituzionale. Da ciò ha desunto la violazione:

• dell’art. 5, par. 1, lett. b), GDPR, per difetto di limitazione della finalità;
• dell’art. 5, par. 1, lett. c), GDPR, per violazione del principio di minimizzazione;
• dell’art. 6 GDPR, per assenza di una valida base di liceità;
• dell’art. 10 GDPR, per il trattamento di dati relativi a reati e provvedimenti di polizia;
• dell’art. 2-octies del Codice privacy, poiché mancava una previsione normativa che autorizzasse la diffusione di dati giudiziari per finalità di comunicazione istituzionale.

Difese del titolare e interventi successivi

Nelle memorie difensive il Ministero ha sostenuto che il caso fosse circoscritto a pochi interessati, senza precedenti analoghi, e che la persona indicata come minorenne fosse in realtà già maggiorenne al momento della pubblicazione. Ha anche rappresentato di avere rimosso nell’immediatezza la copia digitale della rivista dai siti istituzionali e di aver adottato una direttiva interna per rafforzare i controlli sui contenuti pubblicati dalle articolazioni territoriali e sulle future raccolte di dati.

Il titolare ha chiesto che la vicenda fosse considerata una violazione minore, con applicazione dell’ammonimento in luogo della sanzione pecuniaria.

Valutazione finale, ammonimento e assenza di sanzione pecuniaria

Il Garante ha ritenuto che le giustificazioni fornite non fossero idonee a superare i rilievi contestati e ha dichiarato l’illiceità del trattamento. Tuttavia, applicando i criteri dell’art. 83 GDPR, ha valorizzato:

• la tempestiva rimozione dei contenuti;
• l’adozione di misure organizzative correttive;
• la piena collaborazione con l’Autorità;
• l’assenza di dolo;
• l’assenza di precedenti pertinenti.

Per tali ragioni, ha escluso la sanzione amministrativa pecuniaria e ha disposto l’ammonimento del Ministero dell’interno – Dipartimento della pubblica sicurezza ai sensi dell’art. 58, par. 2, lett. b), GDPR.

Dispositivo e impugnazione

Nel dispositivo il Garante:

• dichiara l’illiceità della condotta del Ministero dell’interno – Dipartimento della pubblica sicurezza per violazione degli artt. 5, par. 1, lett. b) e c), 10 GDPR e dell’art. 2-octies del Codice privacy;
• ammonisce il titolare per le predette violazioni;
• dispone l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità ai sensi dell’art. 17 del regolamento del Garante n. 1/2019.

È richiamata la possibilità di opposizione davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 Codice privacy e 10 d.lgs. n. 150/2011, entro trenta giorni dalla comunicazione del provvedimento, o sessanta giorni se il ricorrente risiede all’estero.