Ordinanza ingiunzione o revoca n. 666 del 13/11/2024

Azienda Sanitaria Provinciale di Enna: diffusione online dell’elenco degli avvocati esclusi e mancato riscontro alla cancellazione

Il Garante per la protezione dei dati personali ha esaminato il trattamento effettuato dall’Azienda Sanitaria Provinciale di Enna nell’ambito della procedura per l’iscrizione nell’albo aziendale degli avvocati esterni. Il procedimento è stato avviato a seguito di reclamo di un interessato che contestava la pubblicazione online, nell’albo pretorio telematico e sul sito istituzionale dell’ente, dell’elenco dei professionisti esclusi dalla selezione con l’indicazione delle ragioni dell’esclusione.

Origine del reclamo e accertamenti istruttori

L’interessato aveva rappresentato di essere stato escluso dalla procedura perché iscritto all’albo da meno di tre anni e di aver successivamente rilevato che la delibera di approvazione dell’albo conteneva anche l’elenco dei professionisti esclusi. Aveva quindi chiesto all’Azienda la cancellazione dei propri dati personali ai sensi dell’art. 17 GDPR, assumendo l’illiceità della pubblicazione.

Nel corso dell’istruttoria, l’Azienda ha dichiarato che la delibera approvativa dell’albo era composta da due allegati sostanziali: l’elenco degli iscritti e l’elenco degli esclusi. Ha inoltre sostenuto che la pubblicazione fosse necessaria per finalità di trasparenza e in attuazione di linee guida ANAC in materia di affidamento dei servizi legali, richiamando anche disposizioni regionali e nazionali sulla pubblicità degli atti amministrativi.

Valutazioni sulla liceità della diffusione

L’Autorità ha ritenuto che la pubblicazione online dei nominativi dei professionisti esclusi e delle relative motivazioni costituisse una diffusione di dati personali in assenza di idonea base giuridica. In particolare, è stato accertato che l’Azienda non ha dimostrato l’esistenza di una norma di legge o di regolamento che imponesse la pubblicazione dell’elenco degli esclusi e delle causali di esclusione.

Il Garante ha richiamato il principio secondo cui la diffusione dei dati da parte di soggetti pubblici è consentita solo se prevista da una specifica norma di legge o di regolamento, ai sensi dell’art. 2-ter del Codice privacy, nel testo applicabile ratione temporis. Ha inoltre evidenziato che il trattamento deve rispettare i principi di liceità, minimizzazione, limitazione della finalità e responsabilizzazione di cui agli artt. 5, 6, 24 e 25 GDPR.

Infondatezza delle difese del titolare

Sono state respinte le difese dell’Azienda secondo cui la pubblicazione sarebbe stata giustificata dall’art. 53, comma 2, della L.R. 30/1993 e dall’art. 32 della L. 69/2009. Tali norme, secondo il Garante, non prevedono uno specifico obbligo di pubblicare gli elenchi dei soggetti esclusi da una procedura né le ragioni dell’esclusione.

Parimenti non è stato accolto il richiamo al consenso espresso dall’interessato nella domanda di iscrizione. Il Garante ha ricordato che, per i trattamenti effettuati da un soggetto pubblico, la base giuridica non può essere il consenso quando il trattamento è svolto nell’ambito di compiti istituzionali o in presenza di un evidente squilibrio tra le parti.

È stata altresì ritenuta non decisiva la circostanza che alcuni dati relativi all’anno di iscrizione all’albo fossero già pubblicamente accessibili presso altri siti istituzionali o presso l’elenco unico forense, poiché la pubblicità di un dato in un contesto non ne legittima il riutilizzo per finalità diverse, in applicazione del principio di limitazione della finalità.

Mancato riscontro alla richiesta di cancellazione

Quanto alla richiesta di cancellazione, il Garante ha accertato che l’Azienda non ha fornito un riscontro tempestivo e specifico all’interessato, come richiesto dagli artt. 12 e 17 GDPR. La rimozione dell’elenco dal sito è avvenuta solo successivamente alla richiesta di informazioni dell’Autorità, e non integra un riscontro idoneo alla domanda dell’interessato.

È stata quindi ravvisata anche la violazione dell’art. 17 GDPR, in relazione al diritto alla cancellazione dei dati trattati illecitamente.

Esito del procedimento e sanzione

Il Garante ha concluso che il trattamento era illecito per violazione degli artt. 5, 6 e 17 GDPR e dell’art. 2-ter del Codice privacy. Poiché le violazioni derivano da un’unica condotta, è stato applicato l’art. 83, par. 3, GDPR, con richiamo alla fascia sanzionatoria dell’art. 83, par. 5.

Ai fini della quantificazione, il Garante ha considerato:

• la diffusione online dei dati di 20 interessati, con indicazione delle causali di esclusione;
• l’assenza di categorie particolari di dati;
• l’erronea convinzione del titolare di adempiere a un obbligo di legge;
• la cooperazione successiva dell’Azienda, che ha rimosso l’elenco;
• l’esistenza di precedenti violazioni analoghe in contesti diversi;
• il contesto organizzativo connesso all’emergenza Covid-19.

All’esito, è stata irrogata una sanzione amministrativa pecuniaria di euro 8.000.

Misure disposte

Il provvedimento dispone inoltre:

• la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante, ai sensi dell’art. 166, comma 7, del Codice;
• la pubblicazione del provvedimento sul sito internet dell’Autorità;
• l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità.

È stato infine precisato che avverso il provvedimento è possibile proporre ricorso all’autorità giudiziaria ordinaria nei termini di legge.