Ordinanza ingiunzione o revoca n. 104 del 22/02/2024

S.A.T.E. S.p.a.: diffusione illecita di dati sulla salute nella gestione dei rifiuti anti-Covid

Il provvedimento riguarda la S.A.T.E. S.p.a., società coinvolta nella gestione del servizio di raccolta dei rifiuti per il Comune di Civita Castellana. Il Garante ha esaminato la diffusione di un documento contenente dati relativi alla salute di alcuni cittadini positivi o in quarantena, poi circolato su WhatsApp e Facebook, nell’ambito delle procedure attivate durante l’emergenza Covid-19.

Origine del procedimento e fatti contestati

Il procedimento trae origine da un reclamo ex art. 77 GDPR e dalla successiva notifica di violazione dei dati personali ex art. 33 GDPR presentata dal Comune. La segnalazione riguardava la possibile diffusione di dati personali particolari attraverso i social media, in particolare la foto di un documento interno con l’elenco delle abitazioni da servire con modalità speciali di raccolta dei rifiuti in ragione dell’emergenza epidemiologica.

Secondo quanto ricostruito, la comunicazione iniziale del Comune verso la Società era finalizzata esclusivamente all’attivazione del servizio speciale di raccolta e conteneva dati minimizzati. La successiva circolazione del documento, invece, ha determinato una diffusione ulteriore e non autorizzata. I soggetti coinvolti erano nove.

Attività istruttoria

L’Ufficio ha chiesto chiarimenti sia al Comune sia alla Società ai sensi dell’art. 157 del Codice privacy. Il Comune ha riferito di avere ricevuto dalla ASL di Viterbo l’elenco dei cittadini positivi o in quarantena e di avere attivato le procedure anti-Covid interne, con due comunicazioni distinte: una alla Polizia Locale e una alla S.A.T.E. S.p.a. per la raccolta differenziata dei rifiuti.

La Società ha sostenuto che il trattamento fosse necessario per lo svolgimento di un servizio pubblico e ha dichiarato di avere avviato verifiche interne, audito il personale competente e presentato denuncia-querela. Ha inoltre rappresentato di avere svolto attività di formazione e sensibilizzazione del personale. Tuttavia non ha depositato memorie difensive nel procedimento avviato dal Garante ai sensi dell’art. 166, comma 5, del Codice.

Inquadramento normativo

Il Garante richiama la nozione di dato personale e di categorie particolari di dati, con specifico riferimento ai dati relativi alla salute ex art. 9 GDPR e art. 4, par. 1, n. 15 GDPR. Richiama poi la disciplina della diffusione di dati personali ai sensi dell’art. 2-ter del Codice, applicabile ai trattamenti svolti per l’esecuzione di compiti di interesse pubblico o connessi all’esercizio di pubblici poteri: la diffusione è ammessa solo se prevista da una norma di legge o, nei casi previsti dalla legge, di regolamento.

Vengono inoltre richiamati i principi di liceità, correttezza e trasparenza e quelli di integrità e riservatezza di cui all’art. 5, par. 1, lett. a) e f), GDPR, nonché l’art. 32 GDPR sulle misure tecniche e organizzative adeguate. Per i dati relativi alla salute viene ribadito il divieto di diffusione, previsto dall’art. 2-septies, comma 8, del Codice e dall’art. 9, par. 4, GDPR.

Valutazioni del Garante

L’Autorità ha ritenuto che il trattamento contestato non coincidesse con la comunicazione iniziale del Comune alla Società, che era funzionale all’erogazione del servizio, ma consistesse nella successiva diffusione del documento, trattamento ulteriore e privo di base giuridica.

La diffusione è stata ricondotta alla Società, che non ha indicato alcun titolo legittimante. Il Garante ha osservato che, anche nel contesto dell’emergenza sanitaria, la normativa emergenziale non ha mai derogato al divieto di diffusione dei dati relativi alla salute. È stato evidenziato anche il rischio di reidentificazione degli interessati in un contesto territoriale ristretto, pur in presenza di dati solo parzialmente anonimizzati.

Ruolo del responsabile del trattamento e misure di sicurezza

Il Garante ha rilevato che il rapporto tra Comune e Società non risultava adeguatamente disciplinato ai sensi dell’art. 28 GDPR, né, per il periodo precedente, ai sensi dell’art. 29 del previgente Codice privacy. Tuttavia ha precisato che la mancanza di un accordo scritto non esclude, di per sé, l’esistenza di un rapporto titolare-responsabile, richiamando anche le Linee guida EDPB 07/2020.

Ciò che è stato decisivo, nel caso di specie, è che la Società ha effettuato una diffusione non autorizzata di dati relativi alla salute, in assenza di una base giuridica e senza adeguate misure tecniche e organizzative. Il Garante ha ritenuto insufficiente la tutela predisposta dalla Società, evidenziando la mancanza di procedure interne idonee a prevenire trattamenti illeciti o non autorizzati.

Sanzione e criteri di quantificazione

Il Garante ha qualificato la violazione come una condotta unitaria cui si applica l’art. 83, par. 3, GDPR, con riferimento alle violazioni più gravi soggette all’art. 83, par. 5, GDPR. Nel determinare la sanzione, ha considerato:

• la natura e la durata limitata della diffusione;
• il numero esiguo di interessati coinvolti;
• la delicatezza dei dati, idonei a rivelare lo stato di salute;
• l’assenza di precedenti specifici;
• l’attivazione della Società con verifiche interne e denuncia-querela;
• il contesto emergenziale e organizzativo in cui il fatto è avvenuto.

Alla luce di tali elementi, la sanzione amministrativa pecuniaria è stata fissata in euro 6.000, ritenuta effettiva, proporzionata e dissuasiva ai sensi dell’art. 83, par. 1, GDPR.

Dispositivo

Il Garante ha dichiarato l’illiceità del trattamento effettuato dalla S.A.T.E. S.p.a. per violazione degli artt. 5, par. 1, lett. a) e f), 9 e 32 GDPR, nonché dell’art. 2-septies, comma 8, del Codice privacy.

Ha quindi ordinato alla Società il pagamento della sanzione di euro 6.000 entro trenta giorni dalla notifica, con possibilità di definizione agevolata ai sensi dell’art. 166, comma 8, del Codice mediante pagamento della metà entro il termine previsto. Ha inoltre disposto la pubblicazione del provvedimento sul sito del Garante e la relativa annotazione nel registro interno dell’Autorità.

Tutela giurisdizionale

Avverso il provvedimento è proponibile ricorso davanti all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 del Codice privacy e 10 del d.lgs. 150/2011, entro trenta giorni dalla comunicazione, ovvero entro sessanta giorni se il ricorrente risiede all’estero.