[doc. web n. 9844727]

Ordinanza ingiunzione nei confronti di Comune di Reggio Emilia - 1 dicembre 2022

Registro dei provvedimenti
n. 405 del 1 dicembre 2022

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l'avv. Guido Scorza, componenti e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);

VISTA la legge n. 689/1981 e successive modificazioni e integrazioni, con particolare riferimento all’art. 1, comma 2;

VISTO il reclamo presentato in data XX, tramite il proprio avvocato, dalla Sig.ra XX, con il quale è stata lamentata  la circostanza che il Comune di Reggio Emilia (di seguito “Comune”) - presso il quale la stessa prestava la propria attività lavorativa - a seguito di risoluzione del contratto di lavoro “per inabilità assoluta e permanente alle mansioni del proprio profilo professionale”, pubblicava il Provvedimento dirigenziale R.U.A.D. n. XX in cui “veniva riportato con indicazione in chiaro dei relativi dati anagrafici (nominativo, e data di nascita) il giudizio diagnostico” della reclamante;

VISTO che la determinazione è stata visibile anche in rete fino al XX, data in cui, a seguito di diffida da parte dell’interessato, il Comune ha provveduto a rimuoverla dal proprio sito istituzionale e dal web;

PRESO ATTO della nota del XX, inviata il XX, (prot. n. XX), con la quale il Comune forniva riscontro alla richiesta di informazioni del Dipartimento realtà pubbliche di questa Autorità del XX (nota prot. n. XX), dichiarando, in particolare, che:

- “in data XX veniva redatto e firmato digitalmente (tramite la procedura JEnte-Atti con numero di R.U.A.D. XX) dalla Dirigente del Servizio Gestione e Sviluppo del Personale e dell'Organizzazione del Comune di Reggio Emilia il Provvedimento dirigenziale avente ad oggetto “Risoluzione del Rapporto di Lavoro per Inabilità assoluta e permanente alle mansioni del proprio profilo professione della dipendente V.P. e provvedimenti conseguenti”;

- “tale provvedimento veniva pubblicato sull'Albo Pretorio on-line del Comune di Reggio Emilia dal XX al XX e, successivamente, nella Sezione Amministrazione trasparente del sito istituzionale dell’Ente fino al XX data in cui la determinazione veniva oscurata a seguito di richiesta di rimozione da parte dell’interessata del XX”;

- “in relazione agli obblighi di pubblicazione all’albo pretorio si richiama la sentenza n.1370 del 15/03/2006, con cui il Consiglio di Stato ha stabilito che “la pubblicazione all'albo pretorio del Comune è prescritta dall'art. 124 T.U. n. 267/2000 per tutte le deliberazioni del Comune e della Provincia ed essa riguarda non solo le deliberazioni degli organi di governo (Consiglio e Giunta municipali) ma anche le determinazioni dirigenziali”;

- “per quanto riguarda invece gli obblighi di pubblicazione nella Sezione Amministrazione trasparente del sito istituzionale dell’Ente si richiama quanto previsto dall’articolo 23 del D.Lgs. n. 33/2013”;

- “la determinazione dirigenziale R.U.A.D. XX veniva redatta con i dati della dipendente in chiaro ai fini della trasmissione all’INPS dell’atto integrale per il seguito di competenza in capo all’Istituto previdenziale”;

- “in data XX veniva trasmesso via PEC all'INPS il modello 350P INADEL per la liquidazione del Trattamento di Fine Servizio della Sig.ra XX con allegato il Provvedimento Dirigenziale R.U.A.D. XX”;

- “pertanto le finalità di ottemperanza al dettato normativo in materia di pubblicazioni all’albo pretorio e di amministrazione trasparente dei provvedimenti amministrativi venivano correttamente perseguite da questa Amministrazione, lasciando però erroneamente in chiaro i dati personali dell’interessata”;

- “la determinazione dirigenziale in questione rimaneva visibile sul sito istituzionale del Comune, e quindi successivamente indicizzata dai motori di ricerca generalisti, dalla data di pubblicazione all’albo pretorio, XX, alla data in cui la determinazione è stata oscurata, XX, a seguito di richiesta di rimozione da parte dell’interessata avvenuta il XX”.

VISTA la nota prot. n. XX del XX del Dipartimento realtà pubbliche, con la quale è stato definito il procedimento istruttorio, le cui motivazioni devono intendersi qui integralmente richiamate, nella quale risulta accertato che, per effetto della pubblicazione della determinazione dirigenziale R.U.A.D. XX sul sito istituzionale del Comune, e successivamente indicizzata sui motori di ricerca, sono stati diffusi i dati personali del reclamante, anche relativi allo stato di salute, fino al XX, data in cui, a seguito di diffida da parte dell’interessato, il Comune ha provveduto a rimuoverla dal proprio sito istituzionale e dal web;

CONSIDERATO che il Dipartimento ha rilevato che, in base alla disciplina in materia di protezione dei dati, le pubbliche amministrazioni, anche quando operano come datori di lavoro, possono trattare i dati personali solo in presenza di un idoneo presupposto di liceità (v., con riguardo alle disposizioni applicabili al caso di specie sotto il profilo temporale, artt. 11, comma 1, lett. a), e 19, nonché, con riferimento ai dati sensibili e giudiziari, artt. 20, 21 e 22, del Codice, nel testo anteriore alle modifiche apportate dal d.lgs. 101/2018). Anche in presenza di un obbligo di pubblicazione, i soggetti chiamati a darvi attuazione non possono diffondere i dati personali eccedenti o non pertinenti, non potendosi ritenere sufficiente il richiamo alla disciplina concernente la pubblicità degli atti degli enti locali sull’albo pretorio, in quanto anche alle pubblicazioni nell’albo pretorio online (art. 124 del d.lgs. 267/2000) si applicano tutti i limiti previsti dal principio di minimizzazione dei dati (cfr., al riguardo, la ricognizione del quadro normativo applicabile, contenuta nelle “Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati” n. 243 del 15 maggio 2014, doc. web n. 3134436, parte seconda, parr. 1 e 3.a);

CONSIDERATO che la pubblicazione della determinazione dirigenziale oggetto del reclamo risulta avvenuta, come confermato dal titolare del trattamento, dal XX fino al XX, quindi, in data anteriore a quella nella quale il Regolamento (UE) 2016/679 è diventato applicabile (25 maggio 2018) e che, pertanto, ai trattamenti dei dati personali in esame si applicano le disposizioni contenute nel il Codice in materia di protezione dei dati personali (d.lg. 30 giugno 1003, n. 196) nella versione antecedente alla riformulazione del medesimo operata a mezzo del d.lgs. n. 101/2018;

VISTO l'atto del XX (prot. n. XX) con cui il Dipartimento Realtà Pubbliche del Garante ha contestato al Comune di Reggio Emilia, in persona del legale rappresentante pro-tempore, con sede legale in Piazza Prampolini, 1 - 42121 Reggio nell'Emilia (RE), C.F. 00145920351, la violazione delle disposizioni di cui agli articoli 19, 20 e 22 comma 8 del Codice, sanzionate dall'articolo 162, comma 2-bis del medesimo Codice, per aver diffuso dati personali del reclamante, anche relativi alla salute; 

RILEVATO che dal rapporto amministrativo predisposto dall’Ufficio, ai sensi dell’art. 17 della legge 24 novembre 1981 n. 689, non risulta essere stato effettuato il pagamento in misura ridotta di cui all’art. 16 della legge 689/81;

RILEVATO che il Comune di Reggio Emilia, con nota del XX ha presentato una memoria difensiva rappresentando, in particolare, che “la contestazione [al Comune] è stata effettuata oltre cinque anni dalla piena conoscenza da parte del Garante degli eventi e degli elementi necessari per valutare l’esistenza della violazione e pertanto oltre i termini previsti sia dall’art. 14 che dall’art. 28 dalla L. 689/1981” [considerato che] “il soggetto reclamante [aveva già] provveduto ad esporre lo stesso reclamo tramite il proprio legale di fiducia con Pec del XX indirizzata al Garante della protezione dei dati personali, oltre che al Comune di Reggio Emilia”;

CONSIDERATO che quanto rappresentato nella predetta memoria difensiva non ha consentito di superare i rilievi notificati dall’Ufficio in quanto:

- la nota del XX richiamata, è stata indirizzata dall’interessato al Comune, al fine di esercitare i propri diritti, quale quello di cancellazione dei propri dati personali pubblicati sul sito web istituzionale, ai sensi degli artt.7 e 8 del Codice nel testo anteriore alle modifiche del d.lgs. 101 del 10/08/2018;

- a fronte dell’esercizio dei diritti da parte dell’interessato - artt.7 e 8 del Codice nel testo anteriore alle modifiche del d.lgs. 101 del 10/08/2018 - non è tuttavia seguito un formale ricorso al Garante, ai sensi dell’art.142 del Codice;

- a seguito dell’entrata in vigore del Regolamento UE 679/2016  e delle disposizioni di adeguamento dell’ordinamento nazionale, la legge ha espressamente previsto che le segnalazioni e i reclami, già presentati al Garante, divenissero improcedibili qualora non fosse inviata all’Autorità una espressa richiesta di trattazione entro 60 giorni decorrenti dalla data di pubblicazione in Gazzetta Ufficiale dell’avviso di cui al comma 3 dell’art.19 del d.lgs. 101 del 2018 (v.art.19 commi 1, 3 e 4 del d.lgs.101 del 2018);

- al riguardo il Garante, con deliberazione n. 455 del 27 settembre 2018 (doc. web n. 9047256), ha infatti fornito indicazioni relative alle istanze da ritenersi comprese nell’ambito degli affari pregressi di cui all’art. 19 del predetto decreto e ha pubblicato, nella G.U. Serie Generale n.231 del 4/10/2018, l’avviso, di cui all’art. 19 comma 3, relativo ai reclami, alle segnalazioni e alle richieste di verifica preliminare (tale avviso è disponibile altresì sul sito istituzionale Garante, doc web 9047249);

- non avendo l’interessato manifestato nel predetto termine il proprio “attuale interesse” alla trattazione della segnalazione, la stessa era stata conseguentemente archiviata nei predetti termini di legge;

- solo a seguito di successivo e autonomo reclamo, presentato ai sensi dell’art.77 del Regolamento in data XX, l’Ufficio ha avviato una distinta istruttoria richiedendo chiarimenti al Comune per acquisire gli elementi necessari al fine di ricostruire la vicenda lamentata e verificare se il trattamento fosse ancora in corso;

RILEVATO che, sulla base delle motivazioni di cui alla contestazione amministrativa del XX, che si intendono qui integralmente richiamate e confermate, il Comune di Reggio Emilia, in persona del rappresentante legale pro-tempore, in qualità di titolare del trattamento, risulta aver commesso la violazione delle disposizioni di cui agli artt. 19, 20 e 22 comma 8 del Codice, sanzionata dall’art. 162, comma 2-bis, del Codice medesimo, per aver diffuso dati personali del reclamante, anche relativi alla salute, in assenza di un idoneo presupposto normativo e in violazione del divieto di diffusione dei dati relativi alla salute, come sopra specificato;

VISTO l’art. 162, comma 2-bis del Codice, che punisce le violazioni indicate nell’art. 167, tra cui le violazioni relative agli artt. 19, 20 e 22 comma 8 del medesimo Codice, con la sanzione amministrativa del pagamento di una somma da euro 10.000,00 (diecimila) a euro 120.000,00 (centoventimila);

RITENUTO che, per il caso di specie, possa applicarsi la riduzione prevista dall’art. 164-bis, comma 1, del Codice, in quanto dalla documentazione in atti risulta che il Comune, titolare del trattamento, ha dichiarato che per un disguido sono stati lasciati “erroneamente in chiaro” i dati della reclamante nella delibera che si riteneva di dover pubblicare in base alla legge, circostanza che, seppur sia stata tenuta in debita considerazione, non risulta comunque sufficiente a giustificare, sotto il profilo della protezione dei dati, la condotta posta in essere;

RITENUTO, pertanto, che la sanzione prevista dal citato art. 162, comma 2-bis, del Codice, rideterminata ai sensi del suddetto art. 164-bis, comma 1, del Codice medesimo, varia da un minimo di euro 4.000,00 ad un massimo di euro 48.000,00;

CONSIDERATO che con la predetta contestazione amministrativa del XX, inviata in data XX, il Garante ha informato il Comune di Reggio Emilia della possibilità di avvalersi della facoltà di effettuare il pagamento, nel termine perentorio di 60 giorni dalla data di notificazione della contestazione, della somma stabilita in 8.000,00 (ottomila) euro;

CONSIDERATO che il Comune di Reggio Emilia non si è avvalsa di tale facoltà;  

CONSIDERATO che, ai fini della determinazione dell’ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, dell’opera svolta dall’agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore e che pertanto l’ammontare della sanzione pecuniaria deve essere quantificato nella misura di euro 8.000,00 (ottomila);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la prof.ssa Ginevra Cerrina Feroni;

ORDINA

al Comune di Reggio Emilia, in persona del legale rappresentante pro-tempore, con sede legale in Piazza Prampolini, 1 - 42121 Reggio nell'Emilia (Re), C.F. 001459203515, di pagare la somma euro 8.000,00 (ottomila), a titolo di sanzione amministrativa pecuniaria per la violazione delle disposizioni di cui all’art. 19, 20 e 22 comma 8 del Codice medesimo per aver diffuso dati personali del reclamante, anche relativi alla salute, senza un idoneo presupposto giuridico;

INGIUNGE

al medesimo Comune di pagare la somma di euro 8.000,00 (ottomila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.

Roma, 1° dicembre 2022

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL SEGRETARIO GENERALE
Mattei