Ordinanza ingiunzione o revoca n. 346 del 20/10/2022

Fondazione Teatro Regio di Torino - pubblicazione illecita di determine con dati sulla salute e dati non indispensabili

Il provvedimento riguarda la pubblicazione sul sito web della Fondazione Teatro Regio di Torino, nella sezione "amministrazione trasparente", di determine commissariali contenenti dati personali della reclamante, inclusi dati relativi alla salute e informazioni ulteriori non indispensabili rispetto alla finalità di trasparenza. Il procedimento è stato avviato a seguito di reclamo dell'interessata e si è concluso con un'ordinanza ingiunzione e con l'irrogazione di una sanzione amministrativa pecuniaria.

Origine del reclamo e contenuto delle pubblicazioni

La reclamante ha segnalato che la Fondazione aveva pubblicato tre determine. Due di esse, adottate l'8 gennaio 2021, disponevano la sostituzione della reclamante da incarichi conferiti in due procedure di appalto, giustificando la sostituzione con l'impossibilità, per malattia, di partecipare alla seduta di gara; tali determine contenevano anche l'attestato di malattia telematico in allegato. La terza determina, del 18 gennaio 2021, riguardava il trasferimento di poteri e funzioni e richiamava la sospensione cautelare disposta nei confronti dell'interessata.

Avvio del procedimento e quadro normativo contestato

Con comunicazione del 16 febbraio 2022, l'Ufficio ha avviato il procedimento sanzionatorio ai sensi dell'art. 166, comma 5, del Codice privacy, contestando la violazione degli artt. 5, par. 1, lett. a) e c), e 6 del GDPR, nonché dell'art. 2-septies, comma 8, del Codice. Nel provvedimento si richiama anche il divieto di diffusione dei dati relativi alla salute, qualificati come categorie particolari di dati ai sensi dell'art. 9 GDPR, e la necessità che il trattamento sia sorretto da una base giuridica idonea e limitato a quanto necessario.

Difese della Fondazione e attività istruttoria

La Fondazione ha sostenuto di avere obblighi di pubblicità e trasparenza connessi alla propria natura e al settore di attività, di aver pubblicato gli atti in buona fede e per errore materiale, e di avere poi provveduto rapidamente all'oscuramento dei dati a seguito della notifica del Garante. Ha inoltre affermato di aver organizzato corsi di formazione per il personale e di essersi trovata in un contesto organizzativo complesso per il commissariamento e le tensioni interne. Nel corso dell'audizione del 31 maggio 2022 ha ribadito tali elementi, precisando che la pubblicazione era avvenuta mentre l'interessata era ancora formalmente dipendente.

Valutazioni del Garante sull'illiceità del trattamento

All'esito dell'istruttoria, il Garante ha accertato che la Fondazione aveva effettuato un trattamento non conforme alla disciplina di protezione dei dati personali. In particolare, ha ritenuto che la pubblicazione avesse comportato la diffusione di dati relativi alla salute, espressamente vietata dall'art. 2-septies, comma 8, del Codice, e la diffusione di informazioni non indispensabili, idonee anche a rivelare la pendenza di una procedura disciplinare. Il trattamento è stato quindi qualificato come illecito per violazione dei principi di liceità, correttezza e trasparenza, di minimizzazione, nonché per assenza di un'adeguata base normativa.

Esito del procedimento e assenza di ulteriori misure correttive

Il Garante ha ritenuto che le difese della Fondazione, pur valutabili ai fini della condotta, non fossero sufficienti per l'archiviazione del procedimento. Ha tuttavia preso atto che la condotta aveva esaurito i propri effetti, poiché i dati erano stati oscurati e non risultavano più visibili dal 21 febbraio 2022; per questo ha escluso l'adozione di ulteriori misure correttive ai sensi dell'art. 58, par. 2, GDPR, limitandosi alla sanzione pecuniaria.

Sanzione amministrativa pecuniaria e criteri applicati

In applicazione degli artt. 58, par. 2, lett. i), e 83 GDPR e dell'art. 166, comma 7, del Codice, il Garante ha determinato la sanzione in euro 5.000,00. Nella quantificazione ha considerato, ai sensi dell'art. 83, par. 2, GDPR:

• la natura colposa della violazione, derivante da errata valutazione sull'oggetto da pubblicare e da un errore materiale nella pubblicazione degli attestati di malattia;
• l'assenza di precedenti specifici;
• il ravvedimento successivo, con oscuramento dei dati e formazione del personale;
• la collaborazione prestata durante l'istruttoria.

Ordine di pagamento, pubblicazione e rimedi

La Fondazione è stata ingiunta a pagare la sanzione entro 30 giorni dalla notifica del provvedimento, con avvertimento delle conseguenze esecutive previste dall'art. 27 della l. n. 689/1981. È stata richiamata anche la possibilità di definizione agevolata mediante pagamento della metà della sanzione entro il termine previsto per il ricorso. Il Garante ha inoltre disposto la pubblicazione del provvedimento sul proprio sito e l'annotazione nel registro interno delle violazioni e delle misure adottate. Contro il provvedimento è ammesso ricorso all'autorità giudiziaria ordinaria nei termini indicati dall'art. 78 GDPR, dagli artt. 152 del Codice e 10 del d.lgs. n. 150/2011.