Ordinanza ingiunzione o revoca n. 340 del 20/10/2022

Federazione italiana di tiro con l’arco: pubblicazione online di provvedimento disciplinare con dati giudiziari

Il Garante ha concluso un procedimento sanzionatorio nei confronti della Federazione italiana di tiro con l’arco, ritenendo illecito il trattamento con cui la Federazione aveva pubblicato sul proprio sito internet un provvedimento disciplinare relativo a un tesserato, contenente riferimenti a condanne penali e reati. Il caso origina da un reclamo dell’interessato e si inserisce nel contesto dell’ordinamento sportivo e delle regole di pubblicità delle decisioni disciplinari.

Origine del reclamo e attività istruttoria

Il reclamo, presentato ai sensi dell’art. 77 GDPR, segnalava che il provvedimento disciplinare era stato pubblicato il 27 giugno 2016 sul sito della Federazione ed era agevolmente rintracciabile tramite motori di ricerca. L’Ufficio del Garante ha chiesto chiarimenti alla Federazione sulle modalità di pubblicazione delle decisioni di giustizia sportiva, sulle finalità e sui tempi di conservazione in rete.

La Federazione ha risposto richiamando:

• l’informativa resa agli associati al momento del tesseramento;
• l’art. 12.4 del Regolamento di giustizia federale FITARCO;
• l’art. 11, comma 4, del Codice della giustizia sportiva del CONI;
• la disciplina di trasparenza del d.lgs. 33/2013;
• un termine di conservazione quinquennale.

Difese della Federazione

Nelle difese del 22 marzo 2022, la FITARCO ha sostenuto che la pubblicazione fosse giustificata dall’adempimento di un obbligo di legge ai sensi dell’art. 6, par. 1, lett. c) GDPR, in ragione dell’obbligo per le federazioni sportive di conformarsi al CONI. Ha inoltre affermato che il termine di cinque anni fosse adeguato per consentire l’impugnazione dei provvedimenti, la verifica di eventuali recidive e i controlli sulla squalifica degli atleti ai fini della partecipazione alle competizioni.

Valutazioni del Garante sulla base giuridica della pubblicazione

Il Garante ha ricostruito il quadro dell’ordinamento sportivo, rilevando che le federazioni sportive nazionali sono tenute a conformarsi allo statuto e ai principi fondamentali del CONI, e che il Codice della giustizia sportiva prevede la pubblicazione e conservazione per un tempo adeguato delle decisioni degli organi di giustizia sul sito istituzionale della federazione interessata.

Tuttavia, l’Autorità ha escluso che tali previsioni possano essere ricondotte all’obbligo di pubblicità e trasparenza del d.lgs. 33/2013. Le decisioni disciplinari sportive, infatti, non sono state considerate atti di carattere normativo o amministrativo generale ai sensi dell’art. 12 del decreto trasparenza. Di conseguenza, la pubblicazione non poteva essere giustificata sulla base di tale normativa.

Dati giudiziari e requisiti dell’art. 10 GDPR

Il trattamento ha riguardato dati personali relativi a condanne penali e reati, soggetti alla disciplina rafforzata dell’art. 10 GDPR e dell’art. 2-octies del Codice privacy. Il Garante ha ricordato che la diffusione di tali informazioni è possibile solo se espressamente prevista da una disposizione di legge o di regolamento che assicuri garanzie specifiche per i diritti e le libertà degli interessati.

Nel caso esaminato, l’Autorità ha ritenuto che le norme sportive invocate non contenessero una base giuridica idonea a legittimare la diffusione online dei dati giudiziari del reclamante, né a dimostrarne la stretta necessità rispetto alle finalità perseguite. Ha quindi concluso per la violazione degli artt. 5, par. 1, lett. a), b), c) ed e), e 10 GDPR, nonché dell’art. 2-octies del Codice.

Conservazione in rete e principio di limitazione della conservazione

Il termine quinquennale di conservazione sul sito è stato ritenuto non conforme al principio di limitazione della conservazione di cui all’art. 5, par. 1, lett. e) GDPR. Secondo il Garante, la Federazione non ha fornito elementi sufficienti a dimostrare che cinque anni fossero strettamente necessari in rapporto alle finalità dichiarate.

L’Autorità ha osservato che:

• i termini di impugnazione previsti dall’ordinamento sportivo sono più brevi;
• le verifiche su recidive, squalifiche e partecipazione alle gare possono essere svolte anche con modalità meno invasive;
• la pubblicazione online dei dati giudiziari non era l’unico mezzo idoneo a perseguire le finalità indicate.

Misure correttive già adottate

Dopo l’avvio del procedimento, la FITARCO ha oscurato i dati personali non indispensabili, compresi quelli relativi a condanne penali e reati, e ha disposto la deindicizzazione dai motori di ricerca dei collegamenti ai documenti contestati. Ha anche dichiarato la propria disponibilità a rimuovere integralmente i documenti dal sito, su indicazione del Garante.

Tali circostanze sono state considerate positivamente sia ai fini della valutazione complessiva del caso sia in sede di determinazione della sanzione, ma non sono state ritenute idonee a escludere l’illiceità del trattamento già realizzato.

Sanzione e criteri di quantificazione

Il Garante ha applicato l’art. 83, par. 5, GDPR, ritenendo che le violazioni riguardassero principi fondamentali del trattamento e dati giudiziari. Nel quantificare la sanzione, ha considerato:

• la gravità della violazione, anche in ragione della durata di circa cinque anni;
• la negligenza del titolare e la mancata adozione di misure preventive;
• la particolare delicatezza dei dati diffusi;
• la successiva adozione di misure di mitigazione;
• la collaborazione con l’Autorità;
• l’assenza di precedenti violazioni;
• la natura non lucrativa e le limitate dimensioni economiche della Federazione.

L’importo è stato determinato in euro 10.000.

Dispositivo

Il Garante ha quindi:

• dichiarato l’illiceità del trattamento effettuato dalla FITARCO;
• ordinato il pagamento della sanzione amministrativa pecuniaria di euro 10.000 entro 30 giorni dalla notifica;
• disposto la pubblicazione del provvedimento sul sito del Garante;
• ricordato la facoltà di definizione agevolata mediante pagamento della metà della sanzione nei termini di legge;
• indicato la possibilità di opposizione davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, dell’art. 152 del Codice e dell’art. 10 del d.lgs. 150/2011.

Profili generali richiamati dal Garante

In chiusura, l’Autorità ha evidenziato l’opportunità di un ripensamento complessivo del regime di pubblicità dei provvedimenti disciplinari sportivi, in modo da bilanciare il diritto alla conoscenza delle decisioni con la protezione dei dati personali degli interessati. Il Garante ha annunciato la possibile apertura di un’interlocuzione con il CONI per individuare garanzie specifiche idonee a prevenire casi analoghi.