Prescrizioni del Garante n. 311 del 18/07/2023

Ammonimento all’Autorità di sistema portuale per diffusione online indebita di dati personali

Il provvedimento riguarda l’Autorità di sistema portuale del Mare Adriatico settentrionale-Porti di Venezia e Chioggia ed è stato adottato a seguito di un reclamo di un interessato relativo alla pubblicazione sul sito istituzionale di un atto di transazione e di un decreto richiamato, idonei a renderlo identificabile. Il Garante ha ritenuto il trattamento illecito, ma ha applicato un ammonimento in ragione delle circostanze del caso e delle misure correttive dichiarate dal titolare.

Origine del procedimento e svolgimento istruttorio

Il reclamo lamentava che, nonostante l’omissione del nominativo nell’atto di transazione, restassero elementi sufficienti a ricostruire l’identità dell’interessato. In particolare, il documento pubblicato online rinviava a un decreto dell’Ente anch’esso accessibile sul sito, nel quale il nominativo risultava in chiaro. L’Ufficio ha verificato che i documenti erano liberamente consultabili e scaricabili nell’area "Amministrazione Trasparente" e che erano raggiungibili anche tramite URL diretti.

L’interessato aveva già chiesto all’Autorità portuale la rimozione delle informazioni eccedenti, senza ottenere un riscontro utile alla soluzione del problema. L’Ufficio, con nota di avvio del procedimento, ha contestato la violazione e ha invitato il titolare a presentare difese entro 30 giorni.

Trattamento esaminato e identificabilità dell’interessato

Il caso riguardava la diffusione online di informazioni personali collegate a una vicenda lavorativa, tra cui la contestazione del reclamante rispetto a un decreto che lo avrebbe demansionato e la successiva transazione con l’Ente, comprensiva dell’importo liquidato.

Il Garante ha richiamato il concetto di identificabilità ai sensi dell’art. 4, par. 1, n. 1, GDPR, sottolineando che la persona può essere identificata anche indirettamente, mediante collegamenti o deduzioni da ulteriori informazioni. In base a tale criterio, l’omissione del nome nell’atto di transazione non era sufficiente a evitare l’identificazione, poiché il riferimento al decreto pubblicato online consentiva di risalire al soggetto interessato.

Valutazioni del Garante sulle violazioni

L’Autorità ha ritenuto che la diffusione dei dati fosse in contrasto con il principio di minimizzazione di cui all’art. 5, par. 1, lett. c), GDPR, poiché le informazioni pubblicate non erano limitate a quanto necessario rispetto alle finalità della pubblicazione.

È stata inoltre rilevata la mancanza di un idoneo presupposto normativo per la diffusione, in violazione dell’art. 2-ter, commi 1 e 3, del Codice privacy, nonché dei principi di liceità, minimizzazione e dei presupposti di liceità del trattamento di cui agli artt. 5, par. 1, lett. a) e c), e 6, par. 1, lett. c) ed e), par. 2 e par. 3, lett. b), GDPR.

Difese del titolare e circostanze attenuanti

Nelle memorie difensive, l’Autorità portuale ha sostenuto di disporre di sistemi informatici e funzionalità per l’anonimizzazione dei documenti e ha attribuito la diffusione a un errore dovuto a un mancato approfondito controllo su un atto precedente. Ha qualificato l’evento come incidente isolato, involontario e accidentale, affermando di avere già corretto la falla procedurale.

Il titolare ha inoltre dichiarato di aver avviato l’oscuramento dei contenuti oggetto di doglianza, anche mediante deindicizzazione dai motori di ricerca, e di avere pianificato attività di formazione privacy per il personale, oltre alla predisposizione di linee guida interne sulla pubblicazione dei dati online.

Il Garante ha considerato tali elementi nel complesso, valorizzando anche l’assenza di precedenti pertinenti, la collaborazione prestata dall’ente, il fatto che i dati non appartenessero a categorie particolari né a dati relativi a condanne penali o reati, e che la violazione riguardasse un solo interessato.

Esito: ammonimento e annotazione interna

Pur escludendo l’archiviazione, il Garante ha ritenuto sufficiente un ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR. Il provvedimento ha quindi:

• ammonito l’Autorità di sistema portuale per la violazione degli artt. 5, par. 1, lett. a) e c), 6, par. 1, lett. c) ed e), par. 2 e par. 3, lett. b), GDPR, e dell’art. 2-ter, commi 1 e 3, del Codice;
• disposto l’annotazione nel registro interno dell’Autorità delle violazioni e delle misure adottate, ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019.

Implicazioni operative

Il provvedimento ribadisce che, nelle pubblicazioni online da parte di soggetti pubblici, l’anonimizzazione deve essere effettiva e non solo formale: occorre oscurare anche i riferimenti indiretti o per relationem che possano consentire l’identificazione dell’interessato. Per le amministrazioni, il caso evidenzia l’esigenza di controlli accurati sui documenti collegati tra loro, procedure di pubblicazione coerenti con il principio di minimizzazione e presidi organizzativi idonei a prevenire identificazioni indirette.