Prescrizioni del Garante n. 592 del 26/09/2024

Associazione della Croce Rossa Italiana – Comitato regionale Molise: diffusione online illecita dell’elenco dei soci

Il Garante ha esaminato la pubblicazione, sul sito del Comitato regionale Molise della Croce Rossa Italiana, di un provvedimento interno allegato all’elenco dei soci, contenente dati identificativi e il codice fiscale degli aderenti. Il procedimento trae origine da una segnalazione presentata da due interessati e si conclude con la dichiarazione di illiceità del trattamento per violazione del GDPR.

Fatti e origine della segnalazione

La segnalazione del 30 luglio 2022 lamentava che, all’interno dell’area del sito denominata "Comitato trasparente", fosse stato reso disponibile un provvedimento del Commissario straordinario con allegato l’elenco consolidato dei soci della Croce Rossa del Molise. L’elenco conteneva, per ciascun soggetto, nome, cognome, data e luogo di nascita, codice fiscale e sezione territoriale di appartenenza.

Attività istruttoria e chiarimenti dell’Associazione

A seguito della richiesta di informazioni ex art. 157 del Codice privacy, l’Associazione ha spiegato di ritenersi soggetta a una disciplina articolata in materia di terzo settore, trasparenza e anticorruzione. Ha richiamato il d.lgs. 117/2017, il d.lgs. 33/2013, la l. 124/2017, la delibera ANAC n. 751/2021 e il proprio Regolamento generale, sostenendo che la pubblicazione dell’elenco dei soci fosse funzionale a rendere trasparente la vita associativa e a identificare con precisione i volontari.

Nelle memorie successive ha ribadito che la pubblicazione era stata effettuata in buona fede e che l’elenco era servito a individuare esattamente gli iscritti, anche per evitare omonimie ed errori materiali. Ha inoltre precisato che, dopo la segnalazione, il file era stato rimosso e deindicizzato dai motori di ricerca, e che erano state avviate verifiche su eventuali pubblicazioni analoghe e attività formative per il personale.

Quadro normativo richiamato dal Garante

L’Autorità ha richiamato il d.lgs. 33/2013 e le Linee guida del 15 maggio 2014 sulla pubblicazione di dati online per finalità di trasparenza, sottolineando che anche i soggetti tenuti a obblighi di pubblicità devono rispettare la disciplina di protezione dei dati personali. È stata inoltre richiamata la delibera ANAC n. 1134/2017, la quale, per le associazioni, limita gli obblighi di trasparenza a pochi dati e documenti rilevanti, senza consentire una diffusione generalizzata degli elenchi dei soci.

Il Garante ha ribadito che, anche in presenza di un obbligo di pubblicazione, occorre verificare che non siano diffusi dati eccedenti o non pertinenti e che la pubblicazione sia necessaria e proporzionata rispetto alla finalità di trasparenza perseguita. In mancanza di tale necessità, i dati devono essere omessi o anonimizzati.

Valutazione dell’illiceità del trattamento

Nel caso concreto, l’Autorità ha ritenuto insussistente una base giuridica idonea a legittimare la diffusione online dei dati degli associati. La pubblicazione integrale dell’elenco dei soci è stata considerata non conforme ai principi di liceità, correttezza e trasparenza, oltre che al principio di minimizzazione.

Il trattamento è stato quindi dichiarato illecito per violazione degli artt. 5, par. 1, lett. a), b) e c), e 6, par. 1, del Regolamento (UE) 2016/679.

Esito del procedimento e provvedimenti finali

Poiché il Comitato regionale Molise aveva già eliminato l’elenco dalla sezione "Comitato trasparente" a decorrere dal 1° marzo 2023, il Garante ha ritenuto che la condotta avesse esaurito i propri effetti e ha escluso la necessità di ulteriori misure correttive ai sensi dell’art. 58, par. 2, GDPR.

Restano tuttavia disposte la pubblicazione del provvedimento sul sito istituzionale dell’Autorità e l’annotazione delle violazioni e delle misure adottate nel registro interno. È inoltre richiamata la possibilità di opposizione avanti l’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR e della normativa nazionale applicabile.