Ordinanza ingiunzione o revoca n. 404 del 04/07/2024

Comune di Villasimius: tardivo riscontro a istanza di cancellazione e pubblicazione illecita di verbale di selezione

Il Garante per la protezione dei dati personali ha esaminato il comportamento del Comune di Villasimius in relazione alla pubblicazione sul sito istituzionale di un verbale di procedura selettiva contenente dati personali dell'interessata e alla mancata tempestiva risposta a una richiesta di cancellazione e deindicizzazione. Il provvedimento conclude per l'illiceità del trattamento e irroga una sanzione amministrativa pecuniaria.

Origine del procedimento

Il procedimento nasce da un reclamo presentato ai sensi dell'art. 77 GDPR. L'interessata lamentava che il Comune non avesse riscontrato nei termini la propria richiesta di cancellazione dal sito web istituzionale e di deindicizzazione dai motori di ricerca di un verbale relativo a una selezione pubblica per il conferimento dell'incarico di Responsabile del Settore Affari Generali e Sociali - Vicesegretario comunale.

Il documento pubblicato conteneva dati personali dell'interessata, tra cui:

• data di nascita;
• voto di laurea;
• valutazioni conseguite nella procedura;
• oltre ai nominativi dei membri della commissione e della verbalizzatrice.

Attività istruttoria

A seguito delle verifiche, il Garante accertava la presenza del verbale sul sito istituzionale del Comune e la sua indicizzazione sui motori di ricerca. Con invito del 5 settembre 2022 l'Autorità sollecitava il Comune a fornire riscontro alla richiesta dell'interessata entro 20 giorni.

Il Comune, nelle successive note, rappresentava di aver verificato la presenza dei dati personali nel verbale, di aver rimosso i dati dalla sezione "Amministrazione Trasparente" e di aver provveduto anche alla deindicizzazione e alla rimozione dalla cache di ricerca. Sosteneva inoltre che l'episodio fosse dovuto a errore colposo, favorito dal carico di lavoro nel periodo pandemico e dalla limitatezza delle risorse umane, precisando di aver riorganizzato le procedure interne e avviato corsi formativi in materia di trasparenza e privacy.

Normativa applicabile

Il Garante richiama i principi e le basi giuridiche rilevanti per i trattamenti effettuati da soggetti pubblici in ambito concorsuale e selettivo:

• art. 5, par. 1, lett. a) e c), GDPR, in tema di liceità, correttezza, trasparenza e minimizzazione;
• art. 6, par. 1, lett. c) ed e), e art. 6, par. 3, GDPR;
• art. 2-ter del Codice privacy, quale base normativa nazionale per i trattamenti necessari per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri;
• art. 12 GDPR, per i termini e le modalità di riscontro alle istanze degli interessati.

Per le pubbliche amministrazioni in materia di concorsi e trasparenza vengono richiamati anche:

• d.P.R. 9 maggio 1994, n. 487, in particolare l'art. 15, nel testo applicabile ratione temporis;
• d.lgs. 14 marzo 2013, n. 33, art. 19;
• le Linee guida del 2014 del Garante in tema di pubblicità e trasparenza sul web;
• precedenti decisioni dell'Autorità che hanno ritenuto illecita la pubblicazione di atti diversi dalle graduatorie finali.

Tardivo riscontro alla richiesta di cancellazione e deindicizzazione

L'Autorità accerta che il Comune ha dato riscontro alla richiesta dell'interessata solo il 23 settembre 2022, e quindi dopo l'invito ad aderire del Garante del 5 settembre 2022. Ciò integra violazione dell'art. 12 GDPR, che impone al titolare di agevolare l'esercizio dei diritti e di rispondere senza ingiustificato ritardo e comunque entro un mese, salvo proroga motivata.

Il Garante evidenzia che, se il titolare non intende ottemperare, deve comunque informare l'interessato entro un mese dei motivi dell'inottemperanza e della possibilità di reclamo e ricorso giurisdizionale. Nel caso di specie, il ritardo è ritenuto non conforme al Regolamento.

Diffusione illecita del verbale di selezione

Quanto alla pubblicazione online del verbale n. 1 del 19 dicembre 2019, il Garante osserva che le norme sulla pubblicità delle procedure concorsuali e di reclutamento consentono la diffusione nei limiti previsti dall'ordinamento e, in particolare, con riferimento alle graduatorie definitive e agli adempimenti di trasparenza.

Nel caso concreto, tuttavia, il Comune aveva pubblicato un atto interno ed endoprocedimentale, non una graduatoria finale, rendendo accessibili dati personali dell'interessata e dati identificativi di soggetti terzi. La pubblicazione risultava inoltre indicizzata dai motori di ricerca.

L'Autorità conclude che tale diffusione è avvenuta in assenza di idoneo presupposto normativo e quindi in violazione degli artt. 5 e 6 GDPR e dell'art. 2-ter del Codice.

Valutazioni del Garante e criteri sanzionatori

Il Garante distingue due condotte autonome ai fini sanzionatori:

• il ritardato riscontro alla richiesta di esercizio dei diritti;
• la pubblicazione illecita del verbale con i dati personali.

Per la prima condotta, la sanzione base è ricondotta all'art. 83, par. 5, GDPR, con importo massimo astratto fino a 20 milioni di euro. La gravità è considerata bassa, anche per la particolare situazione della richiesta inviata a un indirizzo non stabilmente presidiato, e sono valorizzate circostanze attenuanti: assenza di precedenti, cooperazione con l'Autorità, piccole dimensioni dell'ente e difficoltà organizzative nel periodo Covid. La sanzione è determinata in 1.000 euro.

Per la seconda condotta, la gravità è considerata media, tenendo conto della durata prolungata della pubblicazione online e del fatto che il Comune aveva agito nell'erronea convinzione di perseguire esigenze di trasparenza. Anche qui sono valorizzate le attenuanti relative all'assenza di precedenti, alla cooperazione e alle ridotte dimensioni dell'ente. La sanzione è determinata in 3.000 euro.

Dispositivo

Il Garante:

• dichiara l'illiceità del trattamento effettuato dal Comune di Villasimius per violazione degli artt. 5, par. 1, lett. a), 6 e 12 GDPR, nonché dell'art. 2-ter del Codice privacy;
• ordina al Comune il pagamento di 4.000 euro a titolo di sanzione amministrativa pecuniaria;
• informa della facoltà di definizione agevolata mediante pagamento entro 30 giorni di un importo pari alla metà della sanzione;
• ingiunge il pagamento della somma in mancanza di definizione della controversia;
• dispone la pubblicazione del provvedimento sul sito del Garante;
• dispone l'annotazione nel registro interno delle violazioni e delle misure adottate.

Impugnazione

Contro il provvedimento è ammesso ricorso davanti all'autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all'estero.