[doc. web n. 10039570]

Provvedimento del 20 giugno 2024

Registro dei provvedimenti
n. 376 del 20 giugno 2024

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4/4/2019, pubblicato in G.U. n. 106 dell’8/5/2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore il prof. Pasquale Stanzione;

PREMESSO

1. Introduzione.

Con reclamo presentato ai sensi dell’art. 77 del Regolamento, l’On. XX ha lamentato la comunicazione di propri dati personali, a mezzo stampa e durante un convegno pubblico, da parte del Sindaco del Comune di Torri del Benaco (di seguito, il “Comune”).

In particolare, la reclamante richiama alcuni articoli di stampa, pubblicati tra il 29 aprile e il 3 maggio 2023, nell’ambito dei quali venivano riportate alcune dichiarazioni del Sindaco del Comune relative ad alcune infrazioni comminate alla reclamante per violazioni al Decreto legislativo 30 aprile 1992, n. 285, recante il nuovo codice della strada (di seguito “c.d.s.”).

2. L’attività istruttoria.

Con nota del 4 dicembre 2023, il Sindaco del Comune, in riscontro alla richiesta di informazioni dell’Autorità del 6 novembre 2023, ha dichiarato che:

“l’acquisizione dei dati dell’on. XX, della cui divulgazione la stessa si lamenta, è avvenuta con modalità del tutto indipendenti dal trattamento dei dati personali effettuato dal Comune di Torri del Benaco. Nessuna utilizzazione delle banche dati del Comune è, infatti, all’origine dei fatti lamentati; nessun trattamento, tanto meno illecito, è avvenuto […]”;

“[…] il 23 gennaio l’on. XX mi contatta […] per venire in municipio e mi chiede di accompagnarla negli uffici della Polizia Locale; era presente, in sede, l’agente [omissis], al quale l’on. XX, in mia presenza - senza né aspettare né domandare che mi allontanassi - ha chiesto informazioni; l’agente ha anticipato all’on. XX il numero dei verbali, l’ammontare delle sanzioni irrogate e il numero di punti sottratti, segnalando, sempre in mia presenza, la necessità di una formale istanza di accesso agli atti, per l’acquisizione della documentazione […]”;

“In data 13 febbraio 2023, l’on. XX presenta un’interrogazione parlamentare, con cui ha nuovamente insinuato dubbi circa la regolarità del dispositivo di Torri del Benaco (non di altri Comuni) e ha chiesto ai Ministri dell’Interno, delle Imprese e del Made in Italy e delle Infrastrutture e dei Trasporti quali iniziative intendessero intraprendere […]”;

“Il 17 febbraio successivo il quotidiano Verona sera ha divulgato la notizia che l’on. XX aveva ricevuto delle sanzioni per eccesso di velocità rilevate dall’autovelox di Torri del Benaco e che aveva presentato un’interrogazione parlamentare, con un articolo dal titolo “Autovelox di Pai, interrogazione in Parlamento: E’ effettivamente omologato?” e dal sottotitolo “L’ha presentata la deputata XX, anche lei tra i tantissimi multati […]”;

“il successivo 22 febbraio, tale ultimo quotidiano ha pubblicato una ulteriore dichiarazione dell’on. XX: “[…] le sanzioni, visto che anch’io ne ho prese diverse pur non correndo”;

“Il 27 febbraio 2023 il presidente di Adiconsum Verona, sig. [omissis], ha dichiarato che Adiconsum stava “studiando un esposto da inviare in Procura e alla Corte dei Conti per abuso d’ufficio” e aveva promosso una raccolta di firme. Il 31.03.2023 l’on. XX, insieme al consigliere comunale [omissis], e alla Senatrice [omissis], ha partecipato ad una riunione pubblica organizzata dall’associazione di consumatori Adiconsum, sul tema della “dubbia” regolarità dell’autovelox di Pai. Il clima era surriscaldato. Sulla legittimità dell’operato dell’amministrazione pubblica e sulle iniziative degli automobilisti sono stati pubblicati numerosissimi articoli di giornale e l’on. XX ha giocato un ruolo di primo piano confermando comunque le sanzioni ricevute, diffondendo lei stessa i dati che la riguardavano e relative proprio alle sanzioni ricevute”;

“Ulteriori dichiarazioni circa l’essere destinataria delle multe sono state rese in data 27 aprile 2023”;

“In data 30 aprile 2023 il sottoscritto, interpellato sul tema e sulle accuse rivolte all’amministrazione comunale, ha reso un’intervista al giornale “Il Corriere di Verona”, nel corso della quale ha difeso l’operato del Comune e ha spiegato le ragioni di tanto accanimento, comunicando ai giornalisti i dati ormai pubblici perché già diffusi dalla stessa XX tramite stampa, in quanto ormai noti al pubblico poiché pubblicamente e ripetutamente diffusi dalla stessa durante le sue iniziative a contrasto dell’attività dell’amministrazione locale. Non ho certo pensato di violare la privacy dell’on. XX, sia per il ruolo pubblico da lei rivestito che per le numerose e forti iniziative da lei pubblicamente intraprese, nonché per i dati da lei stessa diramati che la riguardavano in prima persona. Infatti, i dati dettagliati che mi sono limitato a rilasciare al Corriere di Verona erano già noti”;

“Le dichiarazioni rese nel corso dell’intervista sono state poi riprese dalle altre testate giornalistiche citate nel reclamo”;

“I dati numerici indicati si inquadrano pertanto nel diritto ad una corretta informazione e nel diritto di critica politica e non hanno effetto denigratorio o violativo dei diritti della deputata a fronte di un argomento assurto a rilevanza di interesse pubblico proprio per volontà stessa della XX […]”.

Sulla base degli elementi acquisiti, l’Ufficio ha notificato, con nota dell’11 marzo 2024, al Sindaco del Comune, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento. In particolare, l’Ufficio ha ritenuto che la comunicazione di alcune informazioni riguardanti la reclamante è stata effettuata in assenza di una base giuridica e in violazione dei principi di “liceità, correttezza e trasparenza” e “minimizzazione” (artt. 5, par. 1, lett. a) e c) e 6 del Regolamento).

L’Ufficio ha invitato il Sindaco del Comune a produrre scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice; nonché art. 18, comma 1, dalla legge n. 689 del 24/11/1981).

Il Sindaco del Comune ha fatto pervenire le proprie memorie difensive con nota dell’8 aprile 2024 rappresentando che:

“l’intento che mi ha animato non era certamente doloso o gravemente colposo in quanto avevo ritenuto di rivelare dati già noti perché resi tali dall’interessata, e non avevo per questo pensato di violare i suoi diritti o di arrecargli nocumento, in quanto comunque li ho rivelati solo a seguito delle propalazioni con cui [la reclamante] è intervenuta sui giornali, e quindi con una azione successiva di risposta al dibattito politico sollevato e non certamente preordinata né antecedente”;

“questo Ente attua la formazione in materia di trattamento dei dati personali e io stesso ho agito nella convinzione di non arrecare una lesione, in quanto, erroneamente, credevo trattarsi di un trattamento dei dati consentito in quanto, come detto, dati già rivelati [dalla reclamante] in quanto comunicati indirettamente con il riferimento all’Autovelox e all’affermazione “ne ho prese diverse” (di sanzioni)”;

In data 7 maggio 2024, infine, si è tenuta l’audizione richiesta ai sensi dell’art. 166, comma 6, del Codice, nel corso della quale il Comune ha dichiarato tra l’altro, quanto segue:

“Abbiamo avuto conoscenza dell’interrogazione parlamentare proposta dalla reclamante dalla stampa. Per quanto riguarda la vicenda oggetto di reclamo, […] il Sindaco ha ricevuto una telefonata da una giornalista del Corriere di Verona, la quale, apprese le notizie già rivelate dall’Onorevole alla stampa, chiedeva se le contestazioni alla stessa fossero 12 o 14 e se le fosse stata ritirata la patente”;

“il Sindaco rispondeva in buona fede, a correzione delle inesattezze indicate dalla giornalista, che erano solo 7 e che non vi erano i presupposti per il ritiro della patente”;

“La precisazione se le multe fossero state 7 o 12 è stata fatta in buona fede, in conseguenza del modo in cui erano state poste le domande. Tali affermazioni, lungi dall’essere state fatte per stigmatizzare o mettere in difficoltà un Onorevole, sono state fatte in buona fede, in risposta a domande poste in modo incalzante […]”; “le notizie attenevano comunque ad elementi già resi noti dall’interessata. La domanda della giornalista è stata posta sulla velocità e sul collegamento sul numero dei punti connessi all’infrazione e all’eventuale ritiro della patente”;

“il trattamento oggetto del reclamo non attiene ad una attività svolta in ambito istituzionale, ma è stato fatto in veste di Sindaco rispondendo a una domanda ad un giornalista. Il Sindaco è peraltro anche il responsabile della polizia locale”;

“non è la banca dati del comune che è stata consultata dal Sindaco che poi ha comunicato i dati alla giornalista, ma gli stessi sono stati appresi dal Sindaco nell’ambito del colloquio, dai commenti della stessa alle informazioni ricevuto presso l’ufficio. La reclamante nulla lamenta in ordine al trattamento effettuato dal Comune”.

3.  Esito dell’attività istruttoria.

3.1 Normativa applicabile.

Il trattamento di dati personali deve avvenire nel rispetto della normativa applicabile in materia di protezione dei dati personali e, in particolare, delle disposizioni del Regolamento e del Codice.

Con particolare riferimento alla questione prospettata si evidenzia che il trattamento di dati personali effettuato da soggetti pubblici è lecito solo se necessario “per adempiere un obbligo legale al quale è soggetto il titolare del trattamento” oppure “per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (art. 6, par. 1, lett. c) ed e), del Regolamento), e la base giuridica, nell’ordinamento italiano “è costituita da una norma di legge o di regolamento o da atti amministrativi generali” (art. 2-ter, comma 1, del Codice).

Le operazioni di trattamento che consistono nella “diffusione” di dati personali (come la pubblicazione online) e nella “comunicazione” (come nel caso in esame) sono ammesse esclusivamente quando previste da una norma di legge o di regolamento o da atti amministrativi generali (art. 2-ter, del Codice).

Il titolare del trattamento è poi, in ogni caso, tenuto a rispettare i principi in materia di protezione dei dati, fra i quali quello di “liceità, correttezza e trasparenza” nonché di “minimizzazione”, in base ai quali i dati personali devono essere “trattati in modo lecito, corretto e trasparente nei confronti dell’interessato” e devono essere “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati»” (art. 5, par. 1, lett. a) e c) del Regolamento).

3.2 Il trattamento di dati personali effettuato dal Comune

Preliminarmente, sulla base delle dichiarazioni rese dal titolare del trattamento, nonché dall’accertamento compiuto sulla base degli elementi acquisiti a seguito dell’attività istruttoria e dalle successive valutazioni di questo Dipartimento, risulta accertato che l’acquisizione delle informazioni riguardanti la reclamante è avvenuta sulla base di una iniziativa personale della stessa, la quale, avendo ricevuto la notifica di alcune sanzioni, chiedeva al Sindaco, “a titolo di favore personale”, di essere accompagnata negli uffici della Polizia Locale al fine di “sapere quante altre gliene sarebbero, in futuro, arrivate” e in tale circostanza, alla presenza del Sindaco e su richiesta della reclamante “l’agente ha anticipato all’on. XX il numero dei verbali, l’ammontare delle sanzioni irrogate e il numero di punti sottratti”.

Dalle dichiarazioni in atti, inoltre, risulta accertato che, contrariamente a quanto lamentato nel reclamo:

- la “diffusione a mezzo stampa” non è da imputare al Sindaco, bensì alle diverse testate giornalistiche che hanno diffuso la notizia;

- il Sindaco non ha “diffuso” informazioni “durante un convegno pubblico”.

Dall’accertamento dei fatti come ricostruiti nell’ambito dell’istruttoria, il Sindaco si è limitato a rispondere ad alcune domande poste telefonicamente dal giornale “Il Corriere di Verona”, in relazione alla vicenda delle sanzioni per eccesso di velocità irrogate alla reclamante e già diffuse dalla stampa. Il trattamento effettuato dal Sindaco è consistito, quindi, nella “comunicazione” di alcune precisazioni alla giornalista, la quale era già a conoscenza del fatto che la reclamante aveva ricevuto diverse sanzioni per eccesso di velocità rilevate dal dispositivo autovelox oggetto di contestazione da parte dell’utenza e dell’interrogazione parlamentare presentata dalla stessa reclamante.

Al riguardo si rileva che il Sindaco del Comune interpellato in data 30 aprile 2023, dalla giornalista del “Il Corriere di Verona”, ha agito in qualità di rappresentante del Comune e per difenderne l’operato, ha comunicato informazioni in parte rese pubbliche dalla stessa reclamante nelle interviste e iniziative promosse a contrasto dell’attività dell’amministrazione locale, nonché alcune indicazioni aggiuntive (numero esatto delle sanzioni, dei punti patente decurtati e della velocità). Non può, dunque, condividersi quanto dichiarato nel corso dell’istruttoria in relazione al fatto che il trattamento effettuato dal Sindaco sia collegato “solo casualmente al ruolo che il [… omissis] svolge”, essendo tal trattamento posto in essere per fini strettamente connessi a tale ruolo (e non a fini personali), e, pertanto, imputabile al Comune di Torri del Benaco e non al soggetto -persona fisica che ricopre il ruolo di rappresentante dell’Ente.

Da ultimo, non possono essere ritenute sufficienti per giustificare la comunicazione dei dati personali del reclamante le circostanze per cui la vicenda e alcune informazioni fossero già note nell’ambito della comunità locale e riportati da alcuni organi di stampa a livello locale. Come chiarito in numerose decisioni dal Garante, infatti, i soggetti pubblici possono diffondere dati personali solo ove consentito dal quadro giuridico di riferimento (art. 2-ter, commi 1 e 3, del Codice, nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139) a nulla rilevando che i medesimi dati siano eventualmente stati resi di pubblico dominio altrove per altre finalità (cfr. Provvedimento n. 45 del 10 febbraio 2022, doc. web n. 9751549 (cfr. provv. 2 luglio 2020, n. 118, doc. web n. 9440025; provv. 25 febbraio 2021, n. 68, doc. web n. 9567429).

Così circoscritta la condotta, con riferimento a tali “informazioni aggiuntive” risulta, pertanto, che il trattamento è stato effettuato in assenza di una base giuridica e in violazione dei principi di “liceità, correttezza e trasparenza” e “minimizzazione” (artt. 5, par. 1, lett. a) e c) e 6 del Regolamento).

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, tenuto conto delle dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗ si rappresenta che gli elementi forniti dal titolare del trattamento nelle memorie difensive, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Pertanto, si confermano le valutazioni preliminari dell'Ufficio e si rileva l'illiceità del trattamento di dati personali effettuato dal Sindaco del Comune in violazione degli artt. artt. 5, par. 1, lett. a) e c) e 6 del Regolamento.

Ciò premesso, tenuto conto che:

- la condotta illecita ha riguardato un solo interessato che ha contribuito alla diffusione di alcune informazioni personali;

- la comunicazione in esame è avvenuta in un contesto di contestazione dell’operato dell’ente locale e, dunque, la comunicazione effettuata dal Sindaco è avvenuta in buona fede nell’ottica di difendere le scelte fatte dall’amministrazione comunale;

- il titolare del trattamento ha prestato piena collaborazione all’Autorità nel corso dell’istruttoria;

- non risultano precedenti violazioni pertinenti commesse dal titolare del trattamento o precedenti provvedimenti di cui all’art. 58 del Regolamento;

- le circostanze del caso concreto inducono a qualificare lo stesso come “violazione minore”, ai sensi del cons. 148 del Regolamento e delle “Linee guida riguardanti l'applicazione e la previsione delle sanzioni amministrative pecuniarie ai fini del regolamento (UE) n. 2016/679”, adottate dal Gruppo di Lavoro Art. 29 il 3 ottobre 2017, WP 253, e fatte proprie dal Comitato europeo per la protezione dei dati con l’“Endorsement 1/2018” del 25 maggio 2018.

Si ritiene, pertanto, relativamente al caso in esame, che sia sufficiente ammonire il titolare del trattamento ai sensi degli artt. 58, par. 2, lett. b), e 83, par. 2, del Regolamento, per avere violato gli artt. 5, par. 1, lett. a) e c) e 6 del Regolamento.

Considerato che la condotta ha esaurito i suoi effetti, non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

TUTTO CIÒ PREMESSO IL GARANTE

a) ai sensi dell’art. 57, par. 1, lett. f), dichiara illecita la condotta tenuta dal Comune di Torri del Benaco (VR), con sede in Viale F.lli Lavanda, n. 3, 37010 – C.F. 00661030239, descritta nei termini di cui in motivazione, consistente nella violazione degli artt. 5, par. 1, lett. a) e c) e 6 del Regolamento;

b) ai sensi dell’art. 58, par. 2, lett. b) del Regolamento, ammonisce il Comune di Torri del Benaco, quale titolare del trattamento in questione, per aver violato gli artt. 5, par. 1, lett. a) e c) e 6 del Regolamento come sopra descritto;

c) ritiene che ricorrano i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 20 giugno 2024

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Mattei