Ordinanza ingiunzione o revoca n. 425 del 15/12/2022

Azienda Sanitaria provinciale di Catania: diffusione illecita di dati del dipendente nell’albo pretorio online

Il Garante per la protezione dei dati personali ha adottato un’ordinanza-ingiunzione nei confronti dell’Azienda Sanitaria provinciale di Catania per la pubblicazione integrale, nell’albo pretorio online, di una deliberazione contenente dati personali del reclamante. L’atto riguardava il rapporto di lavoro e riportava anche informazioni su un procedimento disciplinare e su un procedimento penale a carico dell’interessato.

Origine del reclamo e contenuto dell’atto pubblicato

Il procedimento trae origine dal reclamo dell’interessato, che lamentava la diffusione online della deliberazione con cui l’Azienda aveva conferito incarico a un libero professionista per l’assistenza tecnica in un giudizio collegato all’impugnazione di un provvedimento disciplinare.

Secondo quanto emerso, il documento pubblicato conteneva:

• informazioni sul rapporto di lavoro tra l’Azienda e il reclamante;
• riferimenti al procedimento disciplinare;
• dati relativi a un procedimento penale, compresi numero di registro generale e anno.

Attività istruttoria e difese del titolare

Nel corso dell’istruttoria l’Azienda ha dichiarato che la deliberazione era stata pubblicata per 15 giorni nell’albo pretorio online e che l’episodio costituiva un caso isolato, attribuibile a un mero disguido organizzativo e alle contingenze connesse all’emergenza sanitaria.

La difesa ha richiamato il proprio regolamento sulla gestione dell’albo pretorio, sostenendo che gli atti siano pubblicati per quindici giorni e poi archiviati, con sola visibilità degli elementi identificativi. Ha inoltre riferito di aver richiamato i direttori di struttura al rispetto del GDPR e del regolamento aziendale dopo la trasmissione del reclamo.

Quadro normativo richiamato dal Garante

L’Autorità ha richiamato la disciplina applicabile ai trattamenti effettuati da soggetti pubblici in ambito lavorativo e per l’esercizio di funzioni pubbliche, evidenziando in particolare che:

• il trattamento deve essere necessario per obblighi di legge o per compiti di interesse pubblico;
• la diffusione di dati personali da parte di soggetti pubblici è ammessa solo se prevista da una norma di legge o, nei casi previsti dalla legge, di regolamento;
• il trattamento di dati relativi a condanne penali e reati è consentito solo sotto il controllo dell’autorità pubblica o se autorizzato dal diritto dell’Unione o degli Stati membri con garanzie adeguate.

Sono stati richiamati gli artt. 5, par. 1, lett. a) e c), 6, 10 e 25 del GDPR, oltre agli artt. 2-ter e 2-octies del Codice privacy, nella formulazione precedente alle modifiche del d.l. n. 139/2021.

Valutazione dell’illiceità della pubblicazione

Il Garante ha ritenuto che la pubblicazione integrale della deliberazione non fosse giustificata da un’idonea base giuridica. Il mero richiamo al regolamento interno sull’albo pretorio non è stato considerato sufficiente, perché non equivale a una previsione legislativa idonea ad autorizzare la diffusione.

L’Autorità ha osservato che, anche in presenza di regimi di pubblicità amministrativa, non vi è automatismo nella diffusione online di dati personali e restano fermi i principi del GDPR, in particolare quelli di liceità e minimizzazione. In un atto del genere, secondo il Garante, non avrebbero dovuto essere riportati dati personali del reclamante; se necessario, si sarebbe dovuto ricorrere a omissis o ad altre tecniche di anonimizzazione.

La diffusione è stata quindi qualificata come illecita perché ha riguardato anche dati relativi a un procedimento penale, senza base giuridica adeguata e in violazione dei principi di protezione dei dati.

Esito del procedimento e misure adottate

Il Garante ha dichiarato l’illiceità del trattamento e ha ritenuto che, poiché la diffusione era già cessata, non vi fossero i presupposti per ulteriori misure correttive ai sensi dell’art. 58, par. 2, GDPR.

Ha quindi adottato un’ordinanza ingiunzione con cui:

• ha applicato una sanzione amministrativa pecuniaria di 5.000 euro;
• ha disposto la pubblicazione del provvedimento sul sito del Garante;
• ha ordinato l’annotazione nel registro interno delle violazioni e delle misure adottate.

Criteri per la determinazione della sanzione

Nella quantificazione della sanzione, il Garante ha valorizzato:

• la particolare delicatezza dei dati illecitamente diffusi, inclusi dati giudiziari;
• il fatto che la violazione abbia riguardato un solo interessato;
• la durata limitata della pubblicazione, pari a 15 giorni;
• l’assenza di indicizzazione sui siti generalisti;
• il contesto emergenziale in cui operava l’Azienda;
• l’assenza di precedenti violazioni pertinenti.

La sanzione è stata ritenuta effettiva, proporzionata e dissuasiva ai sensi dell’art. 83 GDPR.

Pagamento, definizione agevolata e tutela giurisdizionale

L’Azienda Sanitaria, in qualità di destinataria dell’ingiunzione, deve pagare la somma di 5.000 euro entro 30 giorni dalla notificazione del provvedimento, secondo le modalità indicate in allegato. È stata richiamata la facoltà di definire la controversia, entro 30 giorni, mediante pagamento di un importo pari alla metà della sanzione.

Avverso il provvedimento è possibile proporre ricorso all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all’estero.