[doc. web n. 10105560]

Provvedimento del 24 aprile 2024

Registro dei provvedimenti
n. 264 del 24 aprile 2024

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, l’avv. Guido Scorza e il dott. Agostino Ghiglia, componenti e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati, di seguito: “Regolamento”);

VISTO il decreto legislativo 30 giugno 2003, n.196, recante il Codice in materia di protezione dei dati personali, integrato con le modifiche introdotte dal decreto legislativo 10 agosto 2018, n. 101 (di seguito: “Codice”);

VISTO il regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali (di seguito: “Regolamento 1/2019);

ESAMINATO il reclamo presentato dalla sig.ra XX relativo ad un presunto trattamento illecito di dati personali a sé afferenti effettuato dalla Questura di XX;

VISTE le osservazioni dell’Ufficio, formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali;

Relatore il prof. Pasquale Stanzione;

PREMESSO

1. La vicenda e l’attività istruttoria del Garante

L’11 novembre 2016 la Sig.ra XX ha presentato a questa Autorità un reclamo, integrato il 13 febbraio 2017, lamentando una violazione della disciplina in materia di protezione dei dati personali da parte della Questura di XX per il trattamento di un dato riferito al suo stato di salute, in particolare relativo all’HIV, a seguito di un servizio della Sezione di Polizia Stradale di  svoltosi il 22 agosto 2015 per il contrasto del fenomeno della guida in stato di ebrezza alcolica o di alterazione da stupefacenti, in occasione del quale il dato sensibile sarebbe stato raccolto e successivamente comunicato ai sensi dell’articolo 347 c.p.p. alla Procura di  e ad altri soggetti (tra cui la Prefettura).

1.1. Alla richiesta di informazioni rivolta dal Garante alla Questura e al Ministero dell’interno (nota prot. 18627 del 24 maggio 2017), seguivano il riscontro della Questura (nota prot. 20079 del 6 giugno 2017), nonché ulteriori comunicazioni da parte della reclamante (note prot. n. 20898 del 12 giugno 2017 e prot. n. 34803 del 6 novembre 2017). Alla luce delle informazioni acquisite, il Garante inviava un’ulteriore richiesta di informazioni (nota prot. n. 35047 del 7 novembre 2017), cui seguivano i pertinenti riscontri (Questura, con nota prot. n. 37390 del 29 novembre 2017; Ministero/Compartimento della polizia stradale per la -Sezione di , con nota prot. 37548 del 30 novembre 2017), successive comunicazioni dell’interessata (note prot. n. 38040 del 5 dicembre 2017) e richieste di informazioni della medesima (prot. n. 35575 del 18 ottobre 2019, prot. n. 9665 del 6 marzo 2020 e prot. n. 22285 del 18 giugno 2020), cui il Garante forniva riscontro con nota del 20 luglio 2020.

Seguiva un’ulteriore richiesta di informazioni rivolta al Ministero (nota prot. n. 27195 del 20 luglio 2020), che, con nota prot. n. 29580 del 4 agosto 2020, nel tramettere alcuni documenti relativi alla vicenda, specificava che il trattamento del dato “sensibile” riferito all’interessata (raccolto durante un servizio di controllo del territorio finalizzato al contrasto del fenomeno della guida sotto l’effetto di alcool o in stato di alterazione dopo l’assunzione di sostanze stupefacenti o psicotrope) si era “reso obbligatorio in virtù di una prevista disposizione giuridica indicata dal vigente Codice di Procedura Penale (art.347 c.p.p.), in caso di accertata sussistenza di fattispecie di reato per comportamento doloso.”.

In particolare, il Ministero ha rappresentato:

a) che il referto medico attestante l'effettiva patologia dell’interessata è stato inviato alla Procura della Repubblica di  “in quanto documentazione relativa all'elemento effettivo del fatto indicato alla fonte di prova, nella comunicazione di notizia di reato relativa alla perpetrazione del reato di cui agli art.56-582-583 c.p. (tentate lesioni personali aggravate), depositata a mano in data 25.8.2015 presso la locale Procura della Repubblica”;

b) che “la notizia di reato, priva del predetto documento, recante solo la sommaria ricostruzione dei fatti (indicazione del dato sensibile emerso dalle sole dichiarazioni rese della parte), risultava altresì inviata anche all'Autorità Amministrativa di  (Prefettura UTG) in relazione alle ulteriori fattispecie penali contestate, aventi natura "BINARIA" ex art. 186, comma 2, lett. c) C.d.S. (guida in stato di ebbrezza con tasso superiore a 1,5 gr/1). La comunicazione di notizia di reato e stata altresì inviata alla locale Questura ed all'Ufficio di Polizia Giudiziaria del superiore Compartimento, per obbligo gerarchico. Si richiama in tal senso la deroga prevista dall'art. 25 comma 2 del Codice della Privacy per le forze di Polizia e l'art. 241ettera f) in assenza del consenso dell'interessato”.

In data 18 gennaio 2021 questa Autorità ha inviato al Ministero ed alla Questura un’ulteriore richiesta di informazioni relativa al reclamo in oggetto, sollecitata con note del 10 giugno 2021 e 2 febbraio 2022, che è stata riscontrata con nota del 15 febbraio 2022, nella quale il Ministero ha dichiarato che “nei trattamenti per "finalità di polizia" effettuati sotto la vigenza del precedente regime "speciale" non assumeva autonomo rilievo la categoria dei «dati sensibili» (e ciò anche dopo l'emanazione del d.P.R. n. 15 del 2018). Si dubita, poi, che le "garanzie" stabilite dal richiamato art. 5, della 1. n. 135 del 1990, trovassero applicazione, al tempo dei fatti, in caso di trattamenti effettuati per "finalità di polizia'', proprio perché agli stessi era riservato un regime giuridico derogatorio "speciale" (dubbio che permane anche con riguardo all'attuale quadro normativo). Non sono state di conseguenza elaborate specifiche misure tecniche e organizzative con riferimento al trattamento di «dati sanitari» attinenti proprio all' AIDS e all' HIV.”.

1.2. Poiché le giustificazioni fornite dal Ministero non sono apparse idonee a giustificarne la condotta, con nota prot. n. 19235 del 6 aprile 2022, l’Ufficio ha comunicato al medesimo Ministero, in qualità di titolare del trattamento, e per conoscenza alla signora XX, in qualità di interessata reclamante, l’avvio del procedimento per l’adozione dei provvedimenti di cui agli articoli 143 e 154 del Codice all’epoca vigenti, essendo stata riscontrata:

- la violazione dell’articolo 11 del Codice vigente all’epoca, in relazione alla comunicazione, in data 24 agosto 2015, da parte del Ministero alla Prefettura di dati sensibili riferiti alla reclamante, risultata eccedente rispetto alle finalità perseguite (invio di informazioni necessarie in relazione al procedimento di cui all’articolo 186, comma 2, lett. c), del Codice della strada);

- la violazione dell’articolo 5 della legge n. 135/1990, come modificato dall’articolo 178, comma 2, del Codice, trattandosi di disposizione speciale volta a salvaguardare la riservatezza di persone esposte, in relazione alla patologia da cui sono affette, a forte stigmatizzazione sociale con pesanti ricadute sulla vita privata e le relazioni sociali, ed in quanto dall’istruttoria svolta e da quanto rappresentato dal titolare (cfr. nota del 15 febbraio 2022), non sono risultate adottate “specifiche misure tecniche ed organizzative” con riferimento al trattamento di tale dato sanitario.

Il Ministero ha trasmesso una memoria difensiva (nota del 23 maggio 2022), nella quale ha eccepito preliminarmente, per entrambe le violazioni contestate, il decorso del termine quinquennale di prescrizione, di cui all’art. 28 della legge n. 689/1981. Ha evidenziato, inoltre, che le disposizioni del Codice (vigente al momento dei fatti, avvenuti nel 2015) assoggettavano la condotta materiale della violazione dell’art. 11 del Codice alla sanzione penale di cui all’art. 167, comma 2, del medesimo Codice (poi depenalizzata con le modifiche intervenute con il d.lgs. n. 101/2018 e sanzionata dal Regolamento ex art. 83, par. 5, lett. a), che tuttavia non poteva operare retroattivamente).

In relazione alla contestazione della violazione dell’art. 11 del Codice (vigente nel 2015) “per avere il titolare, mediante la comunicazione alla Prefettura, posto in essere un trattamento eccedente rispetto alle finalità perseguite...”, il Ministero ha ritenuto che “non sembra possa essere considerata «eccessiva» la comunicazione nella sua completezza dello svolgimento dei fatti, incluso il particolare riferito al dato personale sensibile emerso dalle dichiarazioni rilasciate dall’indagata (la reclamante)” (cfr. memoria difensiva citata).

Infine, con riguardo al contestato deficit di specifiche misure tecniche ed organizzative con riferimento al trattamento del particolare dato sensibile, secondo il Ministero, le misure adottate in concreto sarebbero state idonee a ridurre al minimo il rischio di violazione dei dati personali della reclamante, in relazione al trattamento esclusivamente analogico cui gli stessi sono stati sottoposti. Il Ministero ha chiesto, in conclusione, l’archiviazione del procedimento, chiedendo nel merito di considerare la sua condotta rispettosa dei principi e delle regole che presidiano il trattamento dei dati personali e, in ogni caso, “di valutare entrambe le condotte in esame quali violazioni «minori» e per l’effetto – ai sensi dell’art. 58, par. 2, lett. b), del Regolamento, in combinato disposto con relativo consid. 148 – applicare la misura correttiva dell’«ammonimento» in sostituzione della sanzione amministrativa pecuniaria”.

2. Normativa applicabile ai fatti.

All’esito dell’esame della documentazione prodotta dinanzi a questa Autorità e di quanto riferito da codesto Ministero alla luce di quanto sancito dall’art. 168 del Codice, si evidenzia quanto segue.

In relazione alla vicenda in esame risulta applicabile la disciplina vigente alla data della comunicazione e, pertanto, il d.lgs. n. 196 del 30 giugno 2003 recante il Codice in materia di protezione dei dati personali, nella versione antecedente alla riforma del 2018. In particolare, l’articolo 53 del Codice definiva come effettuati per finalità di polizia “i trattamenti di dati personali direttamente correlati all'esercizio dei compiti di polizia di prevenzione dei reati, di tutela dell'ordine e della sicurezza pubblica, nonché di polizia giudiziaria, svolti, ai sensi del codice di procedura penale, per la prevenzione e repressione dei reati” (art. 53, comma 1, cit.), enucleando le disposizioni del Codice non applicabili a tali trattamenti (quelle di cui agli articoli 9, 10, 12, 13 e 16, da 18 a 22, 37, 38, commi da 1 a 5, e da 39 a 45 e da 145 a 151).

Ne consegue che, applicandosi di converso a tali trattamenti l’articolo 11, dovevano essere rispettati i principi in esso codificati e, in particolare, quello secondo il quale i dati personali oggetto di trattamento devono essere pertinenti e non eccedenti rispetto alle finalità per le quali sono raccolti o successivamente trattati (cfr. anche Provv. 27 giugno 2013, www.gpdp.it - doc. web n. 2576958).

3. Esito dell’istruttoria e conclusioni.

Tutto ciò premesso e considerato, all’esito dell’istruttoria svolta, pur rilevandosi nella comunicazione in esame un trattamento di dati personali riferiti all’interessata in violazione dell’articolo 11 del Codice, vigente al momento in cui tale trattamento è avvenuto (nel 2015), in ossequio al principio del tempus regit actum (art. 1 legge n. 689/1981), non risulta applicabile per tale violazione alcuna sanzione amministrativa pecuniaria di cui al Codice vigente nel 2015, il quale non prevedeva, appunto, alcuna sanzione di questo tipo in caso di violazione del ripetuto articolo 11.

Inoltre, considerando che la condotta della suddetta comunicazione è particolarmente risalente nel tempo ed ha esaurito i suoi effetti e che, con riguardo alla presunta violazione dell’art. 5 della legge n. 135/1990, il Ministero ha fornito idonee assicurazioni (dichiarando che le misure organizzative e di sicurezza adottate in concreto, con riferimento al trattamento del particolare dato sensibile, sono state idonee a ridurre al minimo il “rischio” di violazione dei dati personali della reclamante), non ricorrono i presupposti per l’adozione dei provvedimenti di cui agli articoli 143 e 154 del Codice all’epoca vigenti.

4. Rispetto delle persone fragili.

Ad ogni modo, con specifico riferimento al trattamento dei dati relativi alla particolare patologia in esame, si segnala l’opportunità di adottare la massima attenzione per far sì che le esigenze di polizia non vadano a discapito dei diritti delle persone particolarmente fragili e si invita codesto Ministero a vigilare costantemente sul rispetto dei diritti degli individui affetti dalla particolare patologia in esame (cfr. art. 37, comma 2, lett. b) d.lgs. n. 51/2018).

TUTTO CIÒ PREMESSO

ai sensi dell’articolo 37, comma 2, lett. e), del decreto legislativo n. 51 del 2018, nonché dell’articolo 14, comma 5, del regolamento del Garante n. 1/2019 (v. anche l’art. 11, comma 1, lett. d), del regolamento del Garante n. 1/2007, vigente all’epoca della condotta in esame, secondo cui non era previsto un provvedimento del Collegio ex art. 143 del Codice nel caso in cui “d) pur essendo riscontrata una condotta non conforme alla disciplina applicabile, non sono ravvisati i presupposti per adottare, allo stato degli atti, un provvedimento prescrittivo o inibitorio del collegio, in particolare quando la condotta è particolarmente risalente nel tempo o ha esaurito i suoi effetti, oppure quando tali effetti sono stati rimossi o sono state fornite idonee assicurazioni da parte del titolare del trattamento”),

ARCHIVIA

il reclamo in esame per le ragioni di cui in premessa.

Ai sensi degli articoli 78 del Regolamento, 152 del Codice e 10 del d. lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento può essere proposta opposizione, in via alternativa, al tribunale del luogo in cui il titolare del trattamento risiede o ha sede ovvero al tribunale del luogo di residenza dell'interessato, entro trenta giorni dalla data di comunicazione del provvedimento ovvero entro sessanta giorni se il ricorrente risiede all'estero.

Roma, 24 aprile 2024

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Mattei