Ordinanza ingiunzione o revoca n. 471 del 18/06/2026

Azienda Sanitaria Provinciale di Enna: diffusione online illecita di dati giudiziari del reclamante e mancato oscuramento effettivo

Il Garante interviene su un reclamo presentato contro l’Azienda Sanitaria Provinciale di Enna, relativo alla pubblicazione sul sito istituzionale di una deliberazione contenente, in allegato, dati personali del reclamante riferiti a vicende giudiziarie. Il procedimento riguarda anche la mancata effettiva cancellazione/oscuramento dei dati a seguito della richiesta dell’interessato.

Origine del procedimento

Il reclamante, tramite il proprio avvocato, ha lamentato di avere esercitato i diritti di cui agli artt. 15-22 GDPR senza ricevere un riscontro idoneo. In particolare, ha evidenziato che la delibera n. XX del XX, pubblicata dall’Azienda Sanitaria, recava l’allegato "P" con una nota dell’Assessorato Regionale dell’Economia contenente dati giudiziari a lui riferiti. Nonostante la diffida a rimuovere/oscultare i dati, al momento del reclamo essi risultavano ancora online.

Attività istruttoria e riscontri dell’Azienda

A seguito della richiesta dell’Autorità, l’Azienda Sanitaria ha dichiarato che:

• la delibera era stata pubblicata all’albo pretorio in base al regolamento aziendale;
• dopo la diffida dell’interessato aveva oscurato i dati contenuti nell’allegato "P";
• successivamente aveva accertato che, per errore, gli stessi dati erano rimasti visibili in un’altra sezione del sito internet aziendale, quella relativa a gare e appalti;
• solo dopo l’invito del Garante aveva richiesto l’oscuramento anche in tale sezione.

L’Azienda non ha trasmesso memorie difensive.

Normativa richiamata

Il Garante richiama la disciplina applicabile ai trattamenti da parte di soggetti pubblici, in particolare:

• art. 5 GDPR, principi di liceità, correttezza, trasparenza e minimizzazione;
• artt. 6 e 10 GDPR, base giuridica del trattamento e condizioni rafforzate per i dati relativi a condanne penali e reati;
• artt. 15-22 GDPR, diritti dell’interessato;
• art. 17 GDPR, diritto alla cancellazione;
• artt. 2-ter e 2-octies del Codice privacy, per la diffusione e il trattamento dei dati giudiziari da parte della pubblica amministrazione.

Sono richiamate anche le Linee guida del Garante del 2014 su pubblicità e trasparenza sul web e i precedenti provvedimenti in materia di pubblicazione online di atti amministrativi.

Valutazioni del Garante sulla diffusione dei dati

L’Autorità conclude che l’Azienda Sanitaria ha diffuso dati personali del reclamante relativi, in particolare, a procedimenti penali, senza una idonea base giuridica e in modo non conforme ai principi di liceità, correttezza, trasparenza e minimizzazione.

Il Garante sottolinea che la pubblicazione online di dati giudiziari da parte di una pubblica amministrazione è ammessa solo nei casi previsti dalla legge o da un regolamento, con adeguate garanzie, e che l’esistenza di obblighi di pubblicità non comporta automatismi nella diffusione di informazioni personali. Prima della pubblicazione occorre verificare pertinenza e non eccedenza dei dati.

Nel caso concreto, la diffusione è stata ritenuta illecita perché i dati relativi alle vicende giudiziarie del reclamante risultavano pubblicati sul sito istituzionale in assenza dei presupposti richiesti dagli artt. 6 e 10 GDPR e dagli artt. 2-ter e 2-octies del Codice.

Valutazioni sul diritto alla cancellazione

Quanto alla richiesta di cancellazione, il Garante osserva che, sebbene l’Azienda avesse formalmente riscontrato l’interessato, non aveva in concreto rimosso i dati da tutte le sezioni del sito, essendo rimasti visibili in un’area diversa da quella inizialmente oscurata.

Per tale ragione l’Autorità ritiene violato l’art. 17 GDPR: la cancellazione non è stata effettiva e il diritto dell’interessato non è stato soddisfatto, nonostante la dichiarata volontà dell’ente di adempiere.

Conclusioni sull’illiceità del trattamento

Il Garante conferma i rilievi dell’atto di avvio del procedimento e dichiara l’illiceità del trattamento effettuato dall’Azienda Sanitaria Provinciale di Enna per violazione degli artt. 5, 6, 10 e 17 GDPR, nonché degli artt. 2-ter e 2-octies del Codice privacy.

Pur rilevando che i dati sono stati poi oscurati e che la condotta ha esaurito i propri effetti, l’Autorità ritiene che ciò non consenta l’archiviazione, anche alla luce di precedenti violazioni analoghe commesse dall’Azienda nel medesimo contesto.

Sanzione amministrativa e criteri di quantificazione

La violazione è stata considerata soggetta alla sanzione di cui all’art. 83, par. 5, GDPR, con applicazione dell’art. 83, par. 3, per l’ipotesi di un’unica condotta. Il Garante quantifica la sanzione in euro 20.000,00, ritenendola effettiva, proporzionata e dissuasiva.

Nel determinare l’importo, l’Autorità considera:

• la diffusione online ha riguardato un solo interessato;
• i dati non risultavano indicizzati sui motori di ricerca;
• la pubblicazione riguardava informazioni su procedimenti penali;
• la violazione ha carattere colposo, essendo derivata da un’omissione nella verifica della persistenza dei dati in un’altra sezione del sito;
• vi sono precedenti violazioni delle medesime disposizioni;
• l’Azienda ha collaborato in modo discreto con l’Autorità.

Dispositivo

Il Garante:

• dichiara l’illiceità del trattamento effettuato dall’Azienda Sanitaria Provinciale di Enna;
• ordina il pagamento della sanzione amministrativa pecuniaria di euro 20.000,00;
• ricorda la possibilità di definizione agevolata mediante pagamento della metà della sanzione entro 30 giorni ai sensi dell’art. 166, comma 8, del Codice;
• ingiunge il pagamento entro 30 giorni dalla notifica in caso di mancata definizione;
• dispone la pubblicazione dell’ordinanza ingiunzione sul sito del Garante e la pubblicazione del provvedimento sul sito dell’Autorità;
• dispone l’annotazione delle violazioni nel registro interno dell’Autorità.

Avverso il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria nei termini di legge.