Ordinanza ingiunzione o revoca n. 99 del 22/02/2024

Camera di Commercio: diffusione illecita online di dati personali in una deliberazione di Giunta

Il Garante ha esaminato il reclamo di un lavoratore nei confronti di una Camera di Commercio che aveva pubblicato all’albo online una deliberazione di Giunta relativa a un contenzioso di lavoro. La pubblicazione aveva inizialmente riportato il nome e cognome dell’interessato e, anche dopo l’oscuramento delle generalità, manteneva elementi tali da renderlo identificabile.

Fatti e origine del procedimento

Il procedimento è stato avviato a seguito di reclamo presentato ai sensi dell’art. 77 GDPR. L’interessato lamentava che la Camera di Commercio avesse diffuso online, tramite l’albo camerale, una deliberazione recante riferimenti a un giudizio civile promosso contro l’ente per vicende connesse al rapporto di lavoro. Nell’atto la Giunta prendeva atto della sentenza del Tribunale del lavoro che aveva rigettato il ricorso, con compensazione delle spese.

In istruttoria, la Camera di Commercio ha sostenuto che si trattasse di una mera comunicazione, di contenuto minimale, e ha spiegato che la pubblicazione all’albo serviva a finalità di pubblicità legale. L’ente ha inoltre chiarito che il documento era rimasto online per un periodo limitato e che, successivamente, era stato sostituito con una versione priva dei dati personali del reclamante.

Trattamenti esaminati

Il trattamento contestato consisteva nella pubblicazione sul sito istituzionale di una deliberazione di Giunta contenente:

• il nome e cognome del reclamante, in una prima fase;
• successivamente, la stessa deliberazione con le generalità omesse, ma con l’indicazione del tribunale, del numero di registro generale, del numero della sentenza e della data di pubblicazione.

Secondo il Garante, anche la seconda versione consentiva comunque di risalire all’identità dell’interessato, poiché gli elementi riportati avrebbero potuto permettere a terzi di individuare la vicenda giudiziaria e collegarla al reclamante. L’Autorità ha inoltre osservato che non risultava provato che la sentenza fosse stata anonimizzata dall’autorità giudiziaria ai sensi dell’art. 52, comma 1, del Codice.

Valutazioni del Garante sulla liceità della diffusione

Il Garante ha rilevato che la diffusione online di dati personali da parte di soggetti pubblici è lecita solo in presenza di una norma di legge o, nei casi previsti dalla legge, di regolamento, ai sensi dell’art. 2-ter del Codice. Nel caso concreto, la Camera di Commercio non ha indicato alcuna base normativa idonea a legittimare la pubblicazione dei dati del reclamante.

È stato richiamato anche l’art. 62 del r.d. 20 settembre 1934, n. 2011, invocato dall’ente come fondamento della pubblicazione, ma tale disposizione è stata ritenuta non idonea nel caso di specie, perché riferita alle deliberazioni del Consiglio e non della Giunta. Il Garante ha quindi concluso che la pubblicazione ha determinato una diffusione non conforme ai principi di liceità, correttezza e trasparenza e al principio di minimizzazione di cui all’art. 5, par. 1, lett. a) e c), GDPR.

L’Autorità ha anche escluso che il caso riguardasse dati particolari o dati giudiziari: la vicenda atteneva a un contenzioso civile in materia di lavoro e non a condanne penali o reati. Di conseguenza, non risultavano applicabili gli artt. 9 e 10 GDPR nei termini prospettati nel reclamo.

Violazioni accertate

Il Garante ha dichiarato l’illiceità del trattamento per violazione di:

• art. 5, par. 1, lett. a), GDPR;
• art. 6 GDPR;
• art. 2-ter del Codice privacy, nel testo applicabile ratione temporis.

È stato altresì richiamato il principio di responsabilizzazione, osservando che il titolare avrebbe dovuto predisporre misure tecniche e organizzative adeguate per assicurare, in via predefinita, la sola diffusione dei dati necessari alla specifica finalità.

Sanzione amministrativa e criteri di quantificazione

Poiché la violazione derivava da un’unica condotta, il Garante ha applicato l’art. 83, par. 3, GDPR. La sanzione è stata ricondotta al regime dell’art. 83, par. 5, GDPR, con un massimo astrattamente pari a 20 milioni di euro.

Nella quantificazione sono stati considerati, ai sensi dell’art. 83, par. 2, GDPR:

• il numero limitato di interessati, essendo coinvolto un solo soggetto;
• la durata contenuta della diffusione, avvenuta per un arco temporale limitato;
• la natura colposa della violazione, dovuta a errore umano;
• la buona cooperazione della Camera di Commercio nel corso dell’istruttoria;
• l’assenza di precedenti violazioni pertinenti;
• l’assenza di dati particolari o dati relativi a condanne penali e reati.

Alla luce di tali elementi, la sanzione è stata determinata in euro 2.000.

Misure ulteriori e pubblicazione del provvedimento

Il Garante ha rilevato che la pubblicazione contestata era già cessata e che, pertanto, non ricorrevano i presupposti per ulteriori misure correttive ai sensi dell’art. 58, par. 2, GDPR.

È stata invece disposta la pubblicazione del provvedimento sul sito web del Garante, ai sensi dell’art. 166, comma 7, del Codice privacy, anche in considerazione del fatto che la diffusione delle generalità e degli estremi della sentenza poteva consentire a terzi di ricostruire il contenuto del contenzioso.

Dispositivo

Il Garante ha quindi:

• dichiarato l’illiceità del trattamento effettuato dalla Camera di Commercio;
• ordinato il pagamento della sanzione amministrativa pecuniaria di euro 2.000;
• ricordato la facoltà di definizione agevolata mediante pagamento del 50% della sanzione entro 30 giorni;
• ingiunto il pagamento entro 30 giorni dalla notificazione, in difetto di definizione della controversia;
• disposto la pubblicazione del provvedimento sul proprio sito web.

Avverso il provvedimento è stato indicato il ricorso all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione, o entro 60 giorni se il ricorrente risiede all’estero.