Ordinanza ingiunzione o revoca n. 696 del 14/11/2024

Comune di Borgo Val di Taro - diffusione illecita online di dati di partecipanti a una selezione pubblica

Il Garante ha definito con ordinanza ingiunzione un reclamo presentato da un interessato contro il Comune di Borgo Val di Taro, relativo alla pubblicazione sul sito istituzionale di un allegato a un provvedimento di approvazione della graduatoria di una procedura selettiva. L’allegato conteneva dati personali del reclamante e di altri partecipanti alla selezione.

Fatto e origine del procedimento

Il reclamo ex art. 77 GDPR lamentava che sul sito del Comune fosse stato pubblicato un file allegato a una determina dell’Agenzia Regionale per il Lavoro dell’Emilia-Romagna, collegata alla graduatoria di una selezione per un posto a tempo indeterminato presso il Comune. Nel file erano presenti dati personali di circa un centinaio di interessati.

Trattamento esaminato

L’istruttoria ha accertato la diffusione online dei seguenti dati personali:

• nome e cognome;
• data di nascita;
• codice fiscale;
• indirizzo;
• numero di cellulare;
• indirizzo di posta elettronica;
• titolo di studio.

Il Comune ha riferito che la pubblicazione era avvenuta per errore materiale del responsabile del procedimento e che il file era rimasto online per circa un mese. Ha inoltre dichiarato che il documento non era indicizzato dai motori di ricerca e di avere successivamente adottato misure organizzative e formative per evitare il ripetersi dell’evento.

Quadro normativo richiamato

Il Garante ha ricordato che i soggetti pubblici possono trattare dati personali, anche appartenenti a categorie particolari, nei limiti degli artt. 6, par. 1, lett. c) ed e), 9, par. 2, lett. b) e g), 88 GDPR e dell’art. 2-ter del Codice privacy. Tuttavia, la diffusione di dati personali da parte di soggetti pubblici è ammessa solo se prevista da una norma di legge o di regolamento, e in ogni caso nel rispetto dei principi di cui all’art. 5 GDPR, in particolare liceità, correttezza, trasparenza e minimizzazione.

Valutazione dell’Autorità

L’Autorità ha ritenuto che la pubblicazione dell’allegato abbia comportato una diffusione illecita di dati personali, in assenza di idonea base giuridica. Il provvedimento sottolinea che anche quando esista una disciplina di pubblicità degli atti amministrativi non vi è alcun automatismo che consenta la diffusione indiscriminata online di dati personali. Per le graduatorie di concorsi e selezioni pubbliche devono essere diffusi solo i dati pertinenti e non eccedenti.

In questo senso il Garante richiama anche le proprie linee guida del 15 maggio 2014 sulla pubblicità e trasparenza sul web da parte dei soggetti pubblici, nonché precedenti orientamenti secondo cui non è lecito pubblicare in graduatorie o atti analoghi dati come recapiti telefonici o codice fiscale.

Violazioni accertate

L’Autorità ha pertanto ritenuto integrata la violazione di:

• art. 5 GDPR;
• art. 6 GDPR;
• art. 2-ter del Codice privacy, nel testo applicabile al momento dei fatti.

Il Garante ha rilevato che si trattava di un’unica condotta, per la quale trova applicazione l’art. 83, par. 3 GDPR.

Sanzione amministrativa pecuniaria

Ai fini della quantificazione, il Garante ha considerato:

• la natura, gravità e durata della violazione, con diffusione di dati riferiti a circa un centinaio di persone per un periodo limitato;
• il carattere dell’errore, definito come mero errore materiale del responsabile del procedimento;
• l’assenza di categorie particolari di dati;
• l’assenza di precedenti violazioni;
• la buona cooperazione del Comune;
• il contesto organizzativo difficile dovuto al periodo emergenziale da SARS-CoV-2.

Ritenendo la violazione di gravità media, il Garante ha applicato una sanzione amministrativa pecuniaria pari a euro 8.000, ritenuta effettiva, proporzionata e dissuasiva ai sensi dell’art. 83, par. 1 GDPR.

Misure ulteriori e pubblicazione del provvedimento

Poiché il file era già stato rimosso dal sito, il Garante ha escluso la necessità di ulteriori misure correttive ex art. 58, par. 2 GDPR. Ha però disposto:

• la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;
• la pubblicazione del provvedimento sul sito dell’Autorità;
• l’annotazione nel registro interno delle violazioni e delle misure adottate.

Termine di pagamento e rimedi

Il Comune è stato ingiunto di pagare la sanzione entro trenta giorni dalla notifica. È stata inoltre richiamata la facoltà di definizione agevolata mediante pagamento della metà della sanzione nei termini di legge. Avverso il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria nei termini previsti dagli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. 150/2011.