Prescrizioni del Garante n. 118 del 13/04/2023

Comune di Savignone: riscontro tardivo e inadeguato a richiesta di cancellazione di dati giudiziari

Il provvedimento riguarda il reclamo di un interessato nei confronti del Comune di Savignone, relativo alla conservazione e al trattamento di dati personali di natura giudiziaria inseriti in atti connessi a una procedura concorsuale e a una successiva denuncia penale. Il Garante ha esaminato, in particolare, la gestione dell’istanza di cancellazione presentata dall’interessato ai sensi dell’art. 17 GDPR e la tempestività/adeguatezza del riscontro fornito dal Comune.

Fatti e origine del reclamo

L’interessato aveva partecipato a un concorso indetto dal Comune, dichiarando di non aver riportato condanne penali né di avere procedimenti penali in corso. Dopo l’esito della procedura e l’acquisizione del certificato del casellario giudiziale da parte dell’ente, il Comune aveva adottato atti nei quali venivano richiamate condanne penali risultanti dal certificato e aveva inoltre presentato denuncia penale nei confronti del partecipante. In seguito, l’interessato aveva segnalato l’esito assolutorio definitivo del procedimento penale e chiesto la cancellazione dei dati personali di natura giudiziaria detenuti dal Comune, sostenendo che non vi fossero più ragioni per la conservazione.

Il reclamo al Garante lamentava, in sostanza, il mancato riscontro all’istanza di cancellazione e chiedeva la distruzione degli atti contenenti i dati giudiziari, ritenuti non più necessari, anche perché i procedimenti amministrativi e penali erano ormai definiti.

Istruttoria e riscontri del Comune

Nel corso dell’istruttoria il Comune ha affermato di aver risposto all’interessato, producendo varie comunicazioni inviate dapprima via email, poi via PEC e infine tramite raccomandata A/R. L’Autorità ha tuttavia ritenuto tali riscontri inizialmente non idonei, poiché non confermavano l’avvenuta cancellazione dei dati né esplicitavano in modo adeguato le ragioni giuridiche del mancato accoglimento dell’istanza.

Successivamente, il Comune ha dichiarato che i documenti in proprio possesso erano sottoposti a termini di conservazione amministrativa e che avrebbe inserito gli originali in buste sigillate, predisponendo copie anonimizzate per eventuali richieste di accesso documentale. Ha quindi sostenuto di avere accolto la richiesta dell’interessato nei limiti compatibili con gli obblighi di conservazione. In memoria difensiva ha inoltre richiamato la normativa archivistica, il manuale di gestione e la necessità di autorizzazione allo scarto da parte della Soprintendenza archivistica.

La Soprintendenza archivistica e bibliotecaria della Liguria, interpellata dal Comune, ha espresso diniego all’autorizzazione allo scarto, ritenendo che i verbali delle deliberazioni della Giunta e la documentazione relativa al contenzioso siano soggetti a conservazione permanente.

Valutazioni del Garante sul diritto di cancellazione

L’Autorità ha richiamato i principi di liceità, correttezza, trasparenza e limitazione della conservazione di cui all’art. 5, par. 1, lett. a) ed e), GDPR, nonché il diritto alla cancellazione disciplinato dall’art. 17 GDPR. Ha ricordato che il titolare deve cancellare i dati senza ingiustificato ritardo quando ricorrono i presupposti previsti dal par. 1, salvo le eccezioni del par. 3, tra cui l’adempimento di obblighi legali, l’archiviazione nel pubblico interesse e la difesa di un diritto in sede giudiziaria.

In materia di enti pubblici, il Garante ha evidenziato che la disciplina di settore sulla conservazione e lo scarto dei documenti pubblici è regolata dal d.lgs. 42/2004 e dal DPR 445/2000. Ha quindi osservato che la valutazione sulla correttezza delle procedure di conservazione e scarto spetta al Ministero della cultura e agli organi archivistici competenti, non all’Autorità garante. Nel caso concreto, la Soprintendenza aveva comunque negato l’autorizzazione allo scarto.

Violazioni accertate

Il Garante ha ritenuto che il Comune avesse violato gli artt. 12, parr. 3 e 4, e 17 GDPR per due ragioni principali:

• ha fornito riscontro all’istanza di cancellazione oltre il termine massimo di un mese previsto dal Regolamento;
• non ha informato tempestivamente l’interessato, in caso di mancato accoglimento, dei motivi dell’inottemperanza e della possibilità di proporre reclamo a un’autorità di controllo o ricorso giurisdizionale.

Inoltre, anche i riscontri successivi sono stati considerati non conformi, perché non sufficientemente chiari e non idonei a soddisfare correttamente l’esercizio del diritto.

Elementi attenuanti valorizzati dal Garante

Pur dichiarando l’illiceità del trattamento, il Garante ha considerato diversi elementi attenuanti:

• la violazione riguardava un solo interessato;
• il Comune è un ente di piccole dimensioni, con circa 3.000 abitanti;
• la questione giuridica era complessa, soprattutto per il rapporto tra privacy e disciplina archivistica;
• il Comune aveva effettuato tentativi di contatto tramite diversi canali;
• l’ente aveva cooperato in modo proattivo con l’Autorità e si era attivato presso la Soprintendenza;
• non risultavano precedenti violazioni pertinenti o provvedimenti analoghi nei confronti del titolare.

Alla luce di tali circostanze, il Garante ha qualificato il caso come "violazione minore" ai sensi del considerando 148 GDPR e delle linee guida WP 253 richiamate nel provvedimento.

Dispositivo e conseguenze operative

Il Garante ha:

• dichiarato l’illiceità del trattamento ai sensi dell’art. 57, par. 1, lett. f), GDPR;
• ammonito il Comune di Savignone ai sensi dell’art. 58, par. 2, lett. b), GDPR;
• escluso l’adozione di ulteriori misure correttive, ritenendo che la condotta avesse già esaurito i propri effetti.

Non è stata applicata una sanzione pecuniaria. Il provvedimento si chiude con l’indicazione delle vie di ricorso davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, dell’art. 152 Codice privacy e dell’art. 10 d.lgs. 150/2011.