Prescrizioni del Garante n. 65 del 02/03/2023

Comune di Palo del Colle - ammonimento per diffusione online di dati personali in una delibera di Giunta

Il provvedimento riguarda il reclamo presentato da un interessato nei confronti del Comune di Palo del Colle per la pubblicazione sul sito istituzionale di una delibera di Giunta contenente dati personali e informazioni di contesto idonee a renderlo identificabile. L’Autorità ha ritenuto il trattamento non conforme alla disciplina privacy e ha adottato un ammonimento, non una sanzione pecuniaria.

Origine del procedimento e fatti contestati

Il Garante ha ricevuto un reclamo con cui veniva lamentata la diffusione online, nell’area istituzionale del Comune, di una delibera di Giunta che riportava le iniziali dell’interessato e ulteriori elementi riferiti alla sua vicenda lavorativa e processuale. Dalla documentazione emergeva che l’interessato aveva già chiesto al Comune la cancellazione dei dati, senza ricevere un riscontro tempestivo.

L’attività istruttoria ha confermato che la deliberazione era ancora liberamente consultabile e scaricabile sul sito web del Comune, con informazioni in grado di consentire l’identificazione del soggetto interessato, anche indirettamente.

Quadro normativo richiamato

Nel provvedimento il Garante richiama:

• l’art. 4, par. 1, n. 1, GDPR, sulla nozione di dato personale;
• l’art. 2-ter del Codice privacy, quale base per la diffusione di dati da parte di soggetti pubblici;
• l’art. 5, par. 1, lett. b) e c), GDPR, sui principi di limitazione della finalità e minimizzazione;
• l’art. 25, parr. 1 e 2, GDPR, su protezione dei dati fin dalla progettazione e per impostazione predefinita;
• gli artt. 5, par. 2, e 24 GDPR, sul principio di responsabilizzazione.

Sono inoltre richiamate le Linee guida del Garante in materia di trattamento di dati personali contenuti in atti e documenti amministrativi pubblicati sul web, che chiariscono che la sostituzione del nome con sole iniziali non basta, se persistono elementi di contesto idonei a identificare l’interessato.

Difese del Comune

Il Comune ha sostenuto di aver pubblicato l’atto in base all’art. 124, comma 1, TUEL, valorizzando le finalità di trasparenza amministrativa e la pubblicità degli atti. Ha tuttavia riconosciuto, a posteriori, la possibile lesività della pubblicazione e ha riferito di aver provveduto alla rimozione completa del documento dal sito istituzionale.

L’ente ha anche spiegato il ritardo nella cancellazione con il fatto che la richiesta di esercizio dei diritti era stata inviata al protocollo generale e non direttamente al Responsabile della protezione dei dati, pur essendo presenti sul sito i contatti del RPD.

Valutazioni del Garante sull’identificabilità dell’interessato

L’Autorità ha ritenuto che le sole iniziali non fossero sufficienti a rendere anonimo il soggetto, poiché la delibera conteneva anche ulteriori dati di contesto, tra cui riferimenti al periodo di lavoro, alla qualifica professionale e alle vicende processuali. Tali elementi consentivano la identificazione indiretta dell’interessato, anche all’interno del luogo di lavoro o da persone a lui vicine.

Il Garante ha richiamato il proprio orientamento costante secondo cui l’identificazione comprende anche la potenziale identificabilità tramite correlazione e deduzione, e non solo la possibilità di recuperare nome e indirizzo della persona.

Violazioni accertate

Il Garante ha concluso che il Comune aveva effettuato un trattamento illecito perché:

• non aveva adottato misure tecniche e organizzative adeguate a garantire, fin dalla progettazione, la protezione dei dati e la minimizzazione, in violazione dell’art. 25, parr. 1 e 2, GDPR;
• aveva diffuso dati personali non necessari e sproporzionati rispetto alla finalità di pubblicazione, in violazione dell’art. 5, par. 1, lett. b) e c), GDPR.

L’Autorità ha osservato che, in una delibera volta a disporre atti relativi a una vicenda lavorativa e alla costituzione in giudizio dell’ente, era comunque sufficiente indicare gli elementi essenziali della controversia, senza rendere pubblicamente riconoscibile la parte interessata.

Valutazione sanzionatoria e scelta dell’ammonimento

Pur rilevando l’illiceità del trattamento, il Garante ha tenuto conto di circostanze attenuanti:

• il Comune non aveva pubblicato il nominativo completo ma solo le iniziali;
• la condotta era colposa e non dolosa;
• i dati non appartenevano a categorie particolari ex art. 9 GDPR né a dati relativi a condanne penali o reati ex art. 10 GDPR;
• l’episodio riguardava un solo interessato;
• il Comune aveva collaborato nel corso dell’istruttoria e aveva rimosso l’atto;
• non risultavano precedenti violazioni pertinenti.

Alla luce di tali elementi, l’Autorità ha ritenuto sufficiente l’ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR, richiamando anche il considerando 148.

Dispositivo finale

Il Garante:

• ha ammonito il Comune di Palo del Colle per la violazione degli artt. 5, par. 1, lett. b) e c), e 25, parr. 1 e 2, GDPR;
• ha disposto l’annotazione nel registro interno delle violazioni e delle misure adottate, ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019.

Contro il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria nei termini di cui all’art. 78 GDPR, agli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011.