Ordinanza ingiunzione o revoca n. 405 del 01/12/2022

Comune di Reggio Emilia: diffusione illecita online di dati sulla salute contenuti in un provvedimento di risoluzione del rapporto di lavoro

Il Garante per la protezione dei dati personali ha adottato un’ordinanza-ingiunzione nei confronti del Comune di Reggio Emilia, in qualità di titolare del trattamento, per la pubblicazione sul sito istituzionale e l’indicizzazione sui motori di ricerca di un provvedimento dirigenziale relativo alla risoluzione del rapporto di lavoro di una dipendente per inabilità assoluta e permanente alle mansioni del profilo professionale. Nel documento erano riportati in chiaro dati anagrafici dell’interessata e un giudizio diagnostico, con conseguente diffusione di dati personali, anche relativi alla salute.

Origine del procedimento

Il procedimento è nato da un reclamo presentato dall’interessata, tramite difensore, a seguito della permanenza online del provvedimento amministrativo. Il Comune ha poi rimosso il documento dal sito istituzionale e dal web dopo una diffida dell’interessata.

Trattamenti esaminati e contesto normativo

L’Autorità ha rilevato che la pubblicazione era avvenuta prima del 25 maggio 2018, data di applicabilità del GDPR. Di conseguenza, ai trattamenti esaminati si applicavano le disposizioni del Codice privacy nel testo previgente al d.lgs. 101/2018, in particolare gli artt. 11, comma 1, lett. a), 19, 20, 21 e 22. Il Garante ha richiamato anche le Linee guida n. 243 del 15 maggio 2014 in materia di trattamento di dati personali contenuti in atti e documenti amministrativi per finalità di pubblicità e trasparenza sul web.

Valutazioni del Garante sulla pubblicazione online

L’Autorità ha ribadito che anche quando una pubblica amministrazione pubblica atti all’albo pretorio online o nella sezione Amministrazione trasparente, devono essere rispettati i limiti di liceità, pertinenza e non eccedenza dei dati diffusi. Non è sufficiente invocare, in via generale, gli obblighi di pubblicità degli atti degli enti locali per giustificare la diffusione di dati personali non necessari, tanto meno di dati idonei a rivelare lo stato di salute.

Difese del Comune

Il Comune ha sostenuto che la pubblicazione rispondesse agli obblighi di legge in materia di albo pretorio e trasparenza amministrativa, e che il provvedimento fosse stato redatto con i dati dell’interessata in chiaro per l’invio integrale all’INPS ai fini previdenziali. Ha inoltre eccepito la tardività dell’azione del Garante, richiamando precedenti interlocuzioni e sostenendo che la contestazione fosse intervenuta oltre i termini di legge. Il Garante ha respinto tale impostazione, osservando che la precedente iniziativa dell’interessata era un esercizio di diritti di cancellazione e non un formale ricorso ex art. 142 del Codice, mentre la precedente segnalazione era stata archiviata per mancata manifestazione di attuale interesse nei termini fissati dall’art. 19 del d.lgs. 101/2018.

Violazioni accertate

Il Comune è stato ritenuto responsabile della violazione degli artt. 19, 20 e 22, comma 8, del Codice privacy, per avere diffuso dati personali del reclamante, anche relativi alla salute, senza un idoneo presupposto giuridico e in violazione del divieto di diffusione dei dati sanitari. Il Garante ha quindi qualificato la condotta come illecita sotto il profilo della diffusione di dati eccedenti e non pertinenti.

Sanzione e criteri di quantificazione

Per le violazioni contestate, l’art. 162, comma 2-bis, del Codice prevedeva una sanzione da euro 10.000 a euro 120.000. L’Autorità ha ritenuto applicabile la riduzione di cui all’art. 164-bis, comma 1, del Codice, portando il range sanzionatorio da euro 4.000 a euro 48.000, anche tenendo conto della dichiarata presenza di un disguido nell’occultamento dei dati. Applicando i criteri dell’art. 11 della legge n. 689/1981, la sanzione è stata determinata in euro 8.000.

Dispositivo

Il Garante ha ordinato e ingiunto al Comune di Reggio Emilia il pagamento di euro 8.000 entro 30 giorni dalla notificazione del provvedimento, con avviso delle conseguenze esecutive in caso di mancato pagamento ai sensi dell’art. 27 della legge n. 689/1981. È stata inoltre richiamata la possibilità di proporre opposizione all’autorità giudiziaria ordinaria ai sensi degli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011.