Prescrizioni del Garante n. 800 del 19/12/2024

Comune di XX: diffusione illecita su Facebook di dati personali e tardivo riscontro alla richiesta di cancellazione

Il provvedimento riguarda il Comune di XX, destinatario di un reclamo per la pubblicazione sulla propria pagina Facebook di un post contenente il riscontro a una segnalazione del reclamante, con diffusione del suo nome, cognome e indirizzo PEC. Il Garante ha inoltre esaminato la gestione della richiesta di cancellazione presentata dall’interessato e il tempo impiegato dall’ente per riscontrarla.

Origine del procedimento e fatti contestati

Il procedimento è stato avviato a seguito di reclamo ex art. 77 GDPR. Il reclamante ha riferito che il Comune aveva pubblicato sulla pagina Facebook istituzionale la risposta del Sindaco a una sua segnalazione, senza anonimizzare il documento e rendendo visibili dati personali e di contatto. L’interessato ha poi rappresentato di avere già chiesto l’esercizio dei diritti di cui agli artt. 15-22 GDPR, senza ricevere un riscontro adeguato.

Attività istruttoria e difese del Comune

L’Ufficio ha invitato il Comune a fornire riscontro alla richiesta dell’interessato. L’ente ha comunicato di avere rimosso il post dopo la comunicazione del Garante e ha sostenuto di avere inizialmente oscurato i dati solo in modo parziale. Nelle memorie difensive ha affermato che la pubblicazione era stata una svista non intenzionale, determinata dal fatto che il reclamante aveva a sua volta pubblicato la segnalazione su Facebook. Il Comune ha inoltre dichiarato di aver adottato discipline interne sull’uso del profilo social, svolto formazione ai dipendenti e avviato, dopo i fatti, ulteriori misure organizzative e formative.

Norme richiamate e quadro giuridico

Il Garante ha richiamato i principi di liceità, correttezza, trasparenza e minimizzazione di cui all’art. 5, par. 1, lett. a) e c), GDPR, nonché l’art. 6, par. 1, lett. c) ed e), par. 2 e par. 3, lett. b), GDPR. Per i trattamenti svolti da soggetti pubblici ha ribadito che la diffusione di dati personali è ammessa solo se prevista da una idonea base normativa, ai sensi dell’art. 2-ter, commi 1 e 3, Codice privacy. Sul piano dei diritti dell’interessato ha richiamato gli artt. 12, par. 3, e 17 GDPR.

Valutazione sulla diffusione online dei dati personali

L’Autorità ha accertato che il Comune aveva diffuso online dati identificativi e di contatto del reclamante pubblicando integralmente su Facebook il riscontro fornito alla sua segnalazione. Ha osservato che, anche se il reclamante aveva pubblicato in precedenza la propria segnalazione, il post del Comune non conteneva comunque i dati di contatto e non poteva giustificare la successiva diffusione dei suoi dati da parte dell’ente. È stato inoltre richiamato il provvedimento generale n. 243 del 15 maggio 2014 sulle linee guida per la pubblicità e trasparenza sul web da parte dei soggetti pubblici.

Tardivo riscontro alla richiesta di cancellazione

Quanto alla richiesta di cancellazione, il Garante ha rilevato che il Comune aveva inizialmente oscurato solo parte dei dati presenti nel post e non aveva informato tempestivamente l’interessato delle misure adottate. La rimozione completa del contenuto e la relativa comunicazione sono intervenute solo dopo l’invito ad aderire dell’Autorità. Da ciò è stata desunta la violazione degli artt. 12, par. 3, e 17 GDPR.

Esito del procedimento e misure adottate

Il Garante ha concluso per l’illiceità del trattamento effettuato dal Comune per violazione degli artt. 5, par. 1, lett. a), 6, par. 1, lett. c) ed e), par. 2 e par. 3, lett. b), 12, par. 3 e 17 GDPR, nonché dell’art. 2-ter, commi 1 e 3, Codice privacy. Tuttavia, ha considerato la fattispecie una "violazione minore" ai sensi del considerando 148 GDPR, valorizzando:

• il coinvolgimento di un solo interessato;
• la presenza di soli dati comuni;
• il pronto, seppur parziale, intervento di oscuramento;
• la collaborazione prestata dal Comune;
• l’assenza di precedenti pertinenti.

Alla luce di tali elementi, l’Autorità ha ritenuto sufficiente un ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR, senza applicare ulteriori misure correttive, poiché la condotta aveva già esaurito i propri effetti. È stata disposta la pubblicazione del provvedimento sul sito del Garante e l’annotazione nel registro interno. Rimane esperibile ricorso davanti all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. 150/2011.