Ordinanza ingiunzione o revoca n. 366 del 10/11/2022

Comune di Villafranca di Verona - pubblicazione illecita di una determinazione su cessione del quinto

Il Garante ha esaminato il reclamo relativo alla pubblicazione, nell’albo pretorio online e successivamente nell’albo pretorio storico del Comune di Villafranca di Verona, di una determinazione dirigenziale concernente la cessione di una quota mensile dello stipendio di un dipendente per il rimborso di un prestito. L’atto conteneva dati personali del reclamante e informazioni collegate a una vicenda privata.

Origine del procedimento e fatti accertati

Dagli atti è emerso che il Comune aveva pubblicato la determinazione sul sito istituzionale, sezione albo pretorio, e che, trascorsi i 15 giorni di pubblicazione, il documento era passato automaticamente nell’archivio storico del sito, rimanendo così accessibile oltre il termine ordinario di pubblicità legale. La determinazione, sebbene con oggetto anonimizzato, conteneva comunque elementi riconducibili all’interessato e alla procedura di cessione del quinto.

Difese del Comune

Il Comune ha sostenuto che la pubblicazione fosse giustificata:

• dall’art. 124 del d.lgs. 267/2000 e dall’art. 10, comma 1, del medesimo decreto;
• dall’art. 32 del regolamento comunale sull’ordinamento degli uffici e dei servizi;
• dall’art. 7-bis del d.lgs. 33/2013, ritenuto idoneo a consentire la pubblicazione dei dati pertinenti;
• dalla necessità di indicare i dati del dipendente e della banca per rendere eseguibile la procedura di finanziamento.

L’ente ha anche osservato che i dati del dipendente sarebbero comunque reperibili online e che il sistema informatico faceva transitare automaticamente gli atti nell’archivio storico, circostanza poi considerata dall’amministrazione come una criticità tecnica da correggere.

Quadro normativo richiamato dal Garante

L’Autorità ha richiamato il quadro generale del GDPR e del Codice privacy, rilevando che i soggetti pubblici possono trattare dati personali, anche appartenenti a categorie particolari, solo quando il trattamento sia necessario per l’esecuzione di un compito di interesse pubblico o per adempiere a un obbligo di legge. In materia di diffusione, il principio è più restrittivo: la pubblicazione online di dati personali è consentita solo se prevista da una norma di legge o di regolamento.

Sono stati richiamati in particolare:

• art. 5, par. 1, lett. a) e c), GDPR, sui principi di liceità, correttezza, trasparenza e minimizzazione;
• art. 6 GDPR;
• art. 2-ter del Codice privacy, nel testo applicabile al caso;
• art. 4, par. 1, n. 1, GDPR, sulla nozione di dato personale;
• le linee guida del Garante in materia di pubblicità e trasparenza online.

Valutazione dell’illiceità della diffusione

Il Garante ha ritenuto che il Comune non avesse individuato una specifica base giuridica idonea a legittimare la pubblicazione integrale della determinazione. Il richiamo generico alla pubblicità degli atti comunali e alla trasparenza non è stato considerato sufficiente, perché non comporta un automatismo nella diffusione online di dati personali.

L’Autorità ha inoltre escluso che potessero giustificare la pubblicazione:

• l’asserita pubblicità dei dati anagrafici ai sensi dell’art. 33, comma 1, del d.P.R. 223/1989;
• la circostanza che le informazioni fossero già reperibili online;
• il richiamo al d.lgs. 33/2013, che non prevede l’obbligo di pubblicare la tipologia di atto in questione.

Secondo il Garante, il Comune avrebbe dovuto, se del caso, ricorrere all’anonimizzazione o agli omissis, limitando la diffusione ai soli dati strettamente necessari, ove la pubblicazione fosse effettivamente dovuta.

Violazioni accertate

Il trattamento è stato dichiarato illecito per violazione di:

• art. 5, par. 1, lett. a) e c), GDPR;
• art. 6 GDPR;
• art. 2-ter del Codice privacy, nel testo anteriore alle modifiche del d.l. 139/2021.

Il Garante ha rilevato che la diffusione online di dati personali del reclamante, relativi a una delicata vicenda personale e lavorativa, non era sorretta da idonea base giuridica e non rispettava il principio di minimizzazione.

Sanzione e criteri di quantificazione

Poiché la violazione rientra nell’ambito dell’art. 83, par. 5, GDPR, il Garante ha applicato una sanzione amministrativa pecuniaria di 4.000 euro. Nella quantificazione sono stati considerati:

• la natura delle informazioni diffuse e il possibile impatto reputazionale sull’interessato;
• il mancato rispetto di indicazioni già fornite dall’Autorità ai soggetti pubblici;
• l’assenza di categorie particolari di dati personali;
• il coinvolgimento di un solo interessato;
• l’assenza di precedenti violazioni pertinenti;
• la mancata indicizzazione sui motori di ricerca.

La sanzione è stata ritenuta effettiva, proporzionata e dissuasiva ai sensi dell’art. 83, par. 1, GDPR.

Esito finale e ulteriori disposizioni

Il Garante ha:

• dichiarato l’illiceità del trattamento;
• ordinato al Comune il pagamento della sanzione di 4.000 euro;
• richiamato la possibilità di definizione agevolata entro 30 giorni mediante pagamento della metà della sanzione ai sensi dell’art. 166, comma 8, del Codice;
• disposto la pubblicazione del provvedimento sul proprio sito web ai sensi dell’art. 166, comma 7, del Codice.

Non sono state adottate ulteriori misure correttive, poiché la diffusione dei dati era già cessata al momento della decisione.