Violazione privacy sul sito istituzionale: arriva la sanzione del Garante

Di recente, il Garante per la Privacy ha sanzionato un Comune per la mancata trattazione, in maniera adeguata, dei dati personali di alcuni cittadini. Si è configurata, per l’Autorità, una violazione della privacy sul sito istituzionale.

Garante della Privacy: chi è e cosa fa

Il Garante per la protezione dei dati personali, istituito dalla legge sulla privacy n°675/1996, e in seguito sostituita dal D.Lgs. 196/2003, è un’autorità amministrativa indipendente che nasce con uno scopo preciso: tutelare il trattamento dei dati personali garantendo il rispetto della dignità della persona.

Questo organo si compone di 4 rappresentati che possono restare in carica per un massimo di 7 anni.
È l’articolo 154 del D.Lgs. 196/2003 che individua quelli che sono i compiti che spettano al Garante per la privacy, vale a dire:

• verificare che il trattamento dei dati personali avvenga nel rispetto della legge e delle sue norme;
• ricevere ed esaminare reclami, ricorsi e segnalazioni;
• promuovere la conoscenza della politica o disciplina che riguarda il trattamento dei dati personali;
• vietare trattamenti scorretti o illeciti;
• bloccare trattamenti illeciti o scorretti qualora fosse necessario;
• procedere all’erogazione di eventuali sentenze penali o amministrative.

Che cosa fare quando e se si verifica una violazione della privacy o se i propri dati non sono stati trattati in maniera adeguata? La prima cosa da fare è presentare una istanza al titolare o responsabile del trattamento dei nostri dati. E solo dopo 30 giorni dall’invio, l’avente interesse può rivolgersi al Garante se non ha ricevuto risposta o se la stessa non è per lui soddisfacente.

Attenzione. La suddetta istanza si può presentare direttamente al Garante e non al titolare del trattamento dei dati personali, solo in un caso: quando il trascorre dei 30 giorni possa provocare un pregiudizio imminente e irreparabile, purché lo stesso sia dimostrato.

Mezzi per contattare il Garante della Privacy

Come si può contattare il Garante? Attraverso questi tre mezzi:

• la segnalazione: in essa è necessario indicare tutti gli elementi utili per un eventuale intervento. È gratuita;
• il ricorso: deve contenere i riferimenti elencati nell’articolo 147 del Codice della Privacy. Deve riportare la firma autenticata, ha effetti giuridici e prevede il pagamento dei diritti di segreteria. Il Garante potrebbe decidere in porre in capo a chi perde, le spese di procedimento;
• il reclamo: si può presentare compilando un apposito modulo. È obbligatorio pagare anche in questo caso i diritti di segreteria.

Sebbene il nuovo Regolamento GDPR ha previsto l’intervento del Garante ex post, e cioè dopo le valutazioni del titolare del trattamento, l’art. 36 del GDPR prevede un’eccezione. Quale? Eccola: la valutazione preventiva del Garante ad opera del titolare del trattamento se la valutazione d’impatto circa la protezione dei dati “indichi che il trattamento presenterebbe un rischio elevato in assenza di misure adottate dal titolare del trattamento per attenuare il rischio”. In questo caso, il Garante entro due mesi dalla ricezione di richiesta della consultazione, dà un parere scritto al titolare del trattamento ed eventualmente anche al responsabile del trattamento. Fatta questa premessa di chiarificazione, ritorniamo al focus del nostro contributo.

Con il provvedimento 27 aprile 2023, n. 166, il Garante per la protezione dei dati personali, si pronuncia sul tema delicato e spinoso della tutela dei dati dei cittadini ad opera del Comuni. Lo stesso si fa spazio in un filone sempre più ampio di alcuni interventi che mostrano un’attenzione sempre maggiore dell’Authority sull’attività della Pubblica Amministrazione nel ramo della tutela e privacy dei dati personali ma anche su obblighi di trasparenza e attività di controllo.

Quadro normativo e decreto legislativo n.267/2000

Il sopracitato decreto legislativo, prevede la conoscenza delle deliberazioni di comuni e province, attraverso la pubblicazione in specifico albo pretorio, nella sede dell’ente e per 15 giorni di seguito.
Ne consegue che suddetti soggetti pubblici possono procedere alla diffusione dei dati personali.

Attenzione però: ciò può avvenire solo nei casi previsti dall’articolo 2 ter del Codice Privacy, commi 1 e 3. Vige sempre l’obbligo di rispettare i principi fondamentali in materia di protezione dei dati personali. Questo significa che in ogni caso, i dati devono comunque rispettare i principi di pertinenza e adeguatezza in conformità alle finalità per le quali sono trattati.

Circa la pubblicazione di Comuni e Province su albo pretorio, il Garante interviene con il provvedimento n. 243 del 15 maggio 2014 che elenca le “Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati”.

Le succitate linee guida stabiliscono che, dopo il periodo destinato alla pubblicazione di atti e documenti nell’albo pretorio, “gli enti locali non possono continuare a diffondere i dati personali in essi contenuti”. Perché si sottolinea questo? Perché altrimenti, il lasso temporale eccedente fa configurare l’ipotesi di diffusione illecita dei dati personali.

E se invece l’ente manifesta la volontà di continuare a conservare sul sito istituzionale dati personali, atti e documenti? Cosa accade? In questa ipotesi, sarà compito dell’ente stesso provvedere alla tutela specifica dei dati dei cittadini secondo specifici accorgimenti. A questo proposito, l’Autorità è piuttosto severa su un punto in particolare: evitare in ogni modo possibile che i dati sensibili dei cittadini o fruitori del sito possano essere chiari al punto tale da consentire la loro identificazione.

La vicenda

Il caso che ha attirato la nostra attenzione è lo stesso che ha suscitato l’interesse anche del Garante Privacy, destinatario di un reclamo con il quale si lamentava la violazione del trattamento dei dati personali. Più specificamente, il reclamante si dichiarava contrariato per la diffusione di informazioni e dati personali resi palesi a tutti perché contenuti in una ordinanza di demolizione emessa dal Settore Assetto del Territorio di un Comune X. Tali dati, così come l’ordinanza, erano presenti sul sito istituzionale dell’ente e da tutti consultabili.

Nella ordinanza della discordia, appariva in chiaro il nominativo del soggetto che aveva effettuato una segnalazione al Comune in merito a un ordine di demolizione che non aveva rispettato la SCIA. Visibili anche i dati personali del destinatario della segnalazione.

La documentazione presentata dal reclamante mostra che quest’ultimo aveva già fatto presente al Comune la violazione della privacy. Al suo reclamo aveva risposto il DPO con una e-mail, affermando che lo stesso aveva provveduto già alla cancellazione dei dati sensibili. Ma qualcosa non quadra. Il Garante scopre che sul sito del Comune in questione, si può ancora scaricare il file nella sua forma integrale e quindi con tutti i dati privati del reclamante.

L’intervento del Garante della Privacy

Chiamato ad intervenire su questo caso, il Garante per la privacy muove da questo presupposto: la pubblicità legittima e obbligatoria a carico dell’ente locale non può provocare pregiudizio tramite diffusione di dati personali che si ritengono dunque violati e non adeguatamente trattati.

Nella fattispecie da noi presa in considerazione, in particolare, il Garante si schiera a favore del reclamante dichiarando scorretta la condotta del Comune che anche dopo il sollecito del reclamante, non ha provveduto ad oscurare i dati personali presenti nell’ordinanza, continuando a diffonderli: si verifica in questa ipotesi la violazione della minimizzazione. Perché? Semplice: i dati riportati sono non necessari, non limitati e sproporzionati rispetto alle finalità del trattamento.

Lo stesso discorso tocca anche il destinatario. Il Garante per la privacy afferma che anche nei suoi confronti si è verificata una violazione dei dati: indirizzo di residenza, nome e cognome del destinatario dell’atto di demolizione così come finanche la segnalazione all’Ordine del collegio dei geometri, sono dati non necessari di pubblicità.

Leggi anche —- > Ingiunzione fiscale e revoca di contributi in autotutela

Conclusione

Il Garante per la privacy ha ritenuto inammissibile la condotta del Comune anche per un’altra ragione: non sussistevano i presupposti normativi di legittima pubblicazione. La ragione è questa: l’arco temporale fissato a 15 giorni per la permanenza dell’atto sull’albo dell’ente erano ormai trascorsi.

Cosa ha stabilito infine il Garante? Questo organo ha condannato il Comune al versamento di una somma pari a euro 8000 per pubblicazione e conservazione sul proprio sito istituzionale di una ordinanza riportante dati sensibili non necessari né oscurati, causando la violazione del principio di minimizzazione. Non ha reputato invece necessarie misure correttive nei confronti del titolare che aveva provveduto invece alla rimozione, seppure in ritardo, dei dati sensibili dal sito.