g-docweb-display Portlet

Provvedimento del 13 aprile 2023 [9889553]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 9889553]

Provvedimento del 13 aprile 2023

Registro dei provvedimenti
n. 118 del 13 aprile 2023

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l'avv. Guido Scorza, componenti e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore la prof.ssa Ginevra Cerrina Feroni;

PREMESSO

1. Introduzione.

Con reclamo presentato ai sensi dell’art. 77 del Regolamento nei confronti del Comune di Savignone (di seguito, il “Comune”), il sig. XX ha rappresentato:

di aver presentato domanda di partecipazione a una procedura concorsuale indetta dal Comune nel XX, dichiarando, sotto la propria personale responsabilità, ex artt. 2 e 3 della l. 4 gennaio 1968, n. 15, di non aver subito condanne penali né di avere procedimenti penali in corso;

di essersi classificato al terzo posto nella graduatoria finale di merito di tale concorso pubblico;

che, all’esito della necessità di procedere allo scorrimento della graduatoria, il Comune, in data XX, acquisiva il proprio certificato del casellario giudiziale;

che nella parte motiva della Deliberazione della Giunta del Comune del XX, n. XX si riportava che, in sede di verifica dei requisiti degli idonei per l’accesso ai pubblici impieghi attraverso l’acquisizione del predetto certificato, “è emerso che il [reclamante] ha riportato delle condanne penali, come si evince dal certificato generale del Casellario Giudiziale rilasciato dalla Procura della Repubblica presso il Tribunale di […], e, conseguentemente viene escluso dalla convocazione, avendo, per altro, dichiarato il falso in sede di domanda per accedere al concorso in argomento”;

che con nota a firma del Sindaco del Comune del XX, prot. n. XX, veniva presentata denuncia alla Procura della Repubblica di […] a carico del reclamante per l’accusa di “estremi di reato di falso”, sul presupposto che egli “ha riportato delle condanne penali (come si evince dal casellario giudiziale generale) in netto contrasto con quanto dichiarato dallo stesso, sotto la propria responsabilità, nella domanda di partecipazione al concorso”;

che con decreto penale di condanna del GIP del Tribunale di […] del […] XX, n. […] veniva pronunciata condanna a pena pecuniaria a carico del reclamante in relazione ai fatti oggetto della denuncia del Sindaco del Comune, in quanto avrebbe “affermato falsamente di essere immune da precedenti penali […]”;

di aver fatto istanza al Comune, con nota del XX, in ordine all’assenza di istanze risarcitorie da parte dell’Ente ai fini di un eventuale procedimento di riabilitazione, inviando al Comune documenti contenenti anche dati personali relativi a condanne penali e reati (decreto penale di condanna e relativa richiesta di emissione; ricevuta versamento multa; decreto applicazione indulto; certificato del casellario giudiziale; due attestazioni di buona condotta), cui il Comune replicava con nota del XX, prot. XX, affermando che “il Comune di Savignone non intraprenderà nessuna azione risarcitoria per la denuncia attivata nei confronti del [reclamante], verso il reato ex art. 483 c.p. commesso il XX in […]”;

che con sentenza della Corte d’appello di […] [del] […] XX, era pronunciata assoluzione per i fatti oggetto della denuncia del Sindaco del Comune;

di aver informato il Comune e il proprio Responsabile della protezione dei dati, con nota del XX, in merito alla predetta sentenza, chiedendo contestualmente “la cancellazione, ex art. 17, par. 1, Reg. UE 2016/679, dei dati personali sensibili di natura giudiziaria detenuti [dall’] amministrazione in forza degli atti summenzionati in assenza di motivi per l'ulteriore conservazione”.

In tale contesto, il reclamante ha lamentato il “mancato riscontro [alla predetta] istanza motivata di cancellazione” da parte del Comune.

Ad avviso del reclamante, la cancellazione dei propri dati personali relativi a condanne penali e reati dalla documentazione detenuta dal Comune (certificato del casellario, delibera giuntale di esclusione concorsuale, note in tema riabilitazione con annessi documenti, sentenza di condanna in primo grado, versamento multa, sentenza di assoluzione in appello) sarebbe dovuta in quanto “i procedimenti amministrativi relativi al concorso pubblico ed alla successiva assunzione sono conclusi ed i relativi atti conclusivi sono definitivi e non più passibili d’impugnazione; il procedimento penale generato dall[a] […] denuncia […] del Sindaco dell’ente s’è concluso con l’assoluzione irrevocabile […]; il procedimento (eventuale) di riabilitazione non è per l’effetto in alcun modo più possibile; eventuali ipotesi di reato connesse alla potenziale calunnia e/o diffamazione del […] denunciante in danno del reclamante quale partecipante alla procedura concorsuale sono in ogni caso prescritte così come ogni relativa ipotesi di responsabilità civile discendente”.

In particolare, ad avviso del reclamante, i propri dati personali devono “essere cancellati dall’ente locale detentore a mezzo della loro distruzione con redazione di relativo processo verbale”.

2. L’attività istruttoria.

A fronte della richiesta dell’Autorità, formulata ai sensi dell’art. 15 del Regolamento n. 1/2019, concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali (doc. web n. 9107633), il Comune, con nota prot. n. XX del XX, ha dichiarato, in particolare, che “l’[…] amministrazione ha riscontrato correttamente l’istanza presentata dal [reclamante] in data XX sia via mail sia a mezzo raccomandata a.r presso l’indirizzo di residenza di quest’ultimo”.

Il Comune ha, quindi, prodotto copia della nota prot. n. XX del XX, con la quale era stata fornito riscontro all’istanza dell’interessato “del XX pervenuta agli atti [del Comune] in data XX”.

Con nota prot. n. XX del XX, l’Autorità ha significato al Comune che il predetto riscontro non poteva considerarsi idoneo, essendosi il Comune limitato a “prende[re] atto della […] comunicazione [dell’interessato]” e ad informare lo stesso che “relativamente al trattamento dei dati sensibili essi saranno tratti ai sensi di legge ed in particolare secondo la normativa vigente in tema di privacy”. L’Autorità ha, inoltre, rappresentato al Comune che lo stesso, in quanto titolare del trattamento, avrebbe, invece, dovuto fornire all’interessato conferma dell’avvenuta cancellazione dei dati personali in questione o, in alternativa, esplicitare le ragioni, tra quelle indicate all’art. 17, par. 3, del Regolamento, per le quali, a proprio avviso, tale richiesta di cancellazione non potesse essere accolta.

Con nota prot. n. XX del XX, inviata a mezzo PEC all’Autorità e a mezzo raccomandata a.r. al reclamante, il Comune ha dichiarato che “provvederà alla cancellazione dei dati personali contenuti nella segnalazione effettuata dal Sindaco allora in carica relativamente al reato di cui all’art. 483 c.p.p. oggetto di deliberazione di G.C. n. XX del XX, in forza della sentenza emessa dalla Corte d’Appello di Torino n. XX […]”.

Con nota prot. n. XX del XX, l’Autorità ha rappresentato al Comune come anche il predetto riscontro non potesse considerarsi idoneo a soddisfare la richiesta dell’interessato, atteso che lo stesso si era limitato a fornire rassicurazioni in merito alla futura cancellazione di tali dati, senza aver dichiarato di aver effettivamente cancellato tali dati in una data certa. L’Autorità faceva, inoltre, presente che, ad avviso del reclamante, “il trattamento dei dati personali è avvenuto non già soltanto nella richiamata deliberazione giuntale d’esclusione da graduatoria concorsuale ma anche nella denuncia penale conseguentemente insinuata nonché nella successiva deliberazione giuntale di scorrimento della graduatoria a favore d’altro candidato residente nello stesso Comune” (nota inviata dal reclamante all’Autorità il XX), ritenendo egli, pertanto, che il riscontro del Comune fosse nuovamente inidoneo.

Il Comune veniva, pertanto, nuovamente invitato dall’Autorità, anche in relazione ai dati personali contenuti nei predetti documenti, a fornire riscontro all’istanza, confermando di aver proceduto alla cancellazione degli stessi, oppure esplicitando le ragioni, tra quelle indicate all’art. 17, par. 3, del Regolamento, per le quali, a proprio avviso, tale richiesta di cancellazione non potesse essere accolta (ad esempio, ove la conservazione dei dati fosse ritenuta necessaria ad assolvere gli obblighi in materia di conservazione dei documenti amministrativi), ferma restando la necessità di provvedere alle opportune rettifiche dei dati inesatti o non aggiornati (v. art. 5, par. 1, lett. d), del Regolamento), nonché l’inutilizzabilità ulteriore dei dati trattati in violazione della disciplina rilevante in materia di trattamento dei dati personali (v. art. 2-decies del Codice).

Con nota prot. n. XX del XX, il Comune, dopo aver rappresentato che “entrambe le comunicazioni [, ovvero quelle prot. n. XX del XX e n. XX del XX,] inoltrate a mezzo raccomandata a.r. al recapito del [reclamante] sono state entrambe restituite al mittente per compiuta giacenza”, ha affermato che la documentazione in proprio possesso (originale in formato cartaceo della Deliberazione della Giunta Comunale n. XX del XX; della comunicazione indirizzata alla Procura della Repubblica presso il Tribunale di […]; della dichiarazione liberatoria indirizzata al reclamante, prot. n. XX del XX “è sottoposta a termini di conservazione amministrativa”.

Il Comune ha, inoltre, “ritenuto di accogliere le richieste del [reclamante] di cancellazione dei dati”, provvedendo a (i) inserire gli originali cartacei della predetta documentazione in buste sigillate, con l’avvertenza di non aprire le stesse e non esibire i documenti in essere contenuti, neanche a seguito di richieste di accesso documentale ai sensi della l. 241/1990; e (ii) creare delle copie cartacee della predetta documentazione, opportunamente anonimizzate, da esibire in caso di richieste di accesso documentale ai sensi della l. 241/1990.

Con nota del XX, il reclamante, dopo aver effettuato un accesso agli atti del fascicolo agli atti del Garante, ha replicato alla predetta nota del Comune, ribadendo l’inidoneità del riscontro fornitogli, atteso che l’Ente avrebbe dovuto “procedere alla distruzione integrale degli atti contenenti dati personali […] di natura giudiziaria”. Il reclamante ha, peraltro, eccepito l’inadeguatezza delle proposte modalità di oscuramento dei propri dati personali dagli originali cartacei in possesso del Comune, ritenendo che egli sarebbe stato comunque identificabile mediante taluni elementi di contesto e altre informazioni a egli riferibili.

Con nota dell’XX, il reclamante ha affermato nuovamente che, a suo avviso, il riscontro fornito dal Comune non può ritenersi adeguato, non sussistendo alcuna esigenza di conservazione ulteriore dei propri dati personali.

Con nota del XX (prot. n. XX), l’Ufficio, sulla base degli elementi acquisiti, dalle verifiche compiute e dei fatti emersi a seguito dell’attività istruttoria, ha notificato al Comune, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, per aver il Comune:

fornito riscontro alla richiesta dell’interessato di cancellazione dei propri dati personali oltre il termine massimo di un mese previsto dalla normativa in materia di protezione dei dati personali, senza aver informato lo stesso, entro il medesimo termine, dei motivi dell'inottemperanza e della possibilità di proporre reclamo a un'autorità di controllo o ricorso giurisdizionale, in violazione dell’art. 12, parr. 3 e 4, del Regolamento;

fornito all’interessato, con le predette note prot. nn. XX del XX e XX del XX, un riscontro inadeguato, in violazione dell’art. 17 del Regolamento.

Con la medesima nota, il Comune è stato inviato a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, dalla l. 24 novembre 1981, n. 689).

Con nota del XX (prot. n. XX), il Comune ha presentato la propria memoria difensiva, dichiarando, in particolare, che:

“in data XX, con mail ordinaria proveniente dall’indirizzo [nome].[cognome]@[…].it (casella di posta elettronica ordinaria presumibilmente assegnata dall’Università […]) ed indirizzata alla casella di posta elettronica ordinaria segreteria@comune.savignone.ge.it […], il [reclamante] trasmetteva al Comune […] copia del giudicato irrevocabile assolutorio reso dalla Corte d’Appello di […] esercitando il proprio diritto alla cancellazione, ai sensi dell’art. 17, par. 1, del Regolamento […], dei propri dati personali, di natura giudiziaria, detenuti dal Comune […]”;

“l’anzidetta mail del XX […] veniva trasmessa in copia conoscenza anche all’indirizzo di posta ordinaria dell’allora nominato Responsabile della protezione dei dati […] nonché all’indirizzo pec del Comune di Savignone”;

“il Comune di Savignone acquisiva e registrava la mail del XX al Prot. n. XX del XX”;

“il [reclamante], nell’esercizio del proprio diritto di cui all’art. 17 [del] Regolamento […], non ha indicato alcun canale o recapito ai fini della risposta, né ha allegato un documento di riconoscimento; l’ente, pertanto, all’epoca dei fatti, disponeva unicamente dell’indirizzo di provenienza della mail del XX […] ossia [nome].[cognome]@[…].it. Trattasi però di una mail nominativa assegnata, a quanto consta, dall’Università […]”;

“il Comune di Savignone tentava così invano di dare riscontro all’anzidetta richiesta utilizzando quale canale di comunicazione il predetto indirizzo, tuttavia, l’unico invio che pare essere andato a buon fine è quello risalente al XX, Prot. XX […]: trattasi di un ulteriore invio da mail ordinaria, [ovvero da ] ragioneria@comune.savignone.ge.it, a mail ordinaria, [nome].[cognome]@[…].it [, riconducibile a un Ateneo,], che in ogni caso non è dato sapere se sia stato effettivamente recapitato e letto dal [reclamante]”;

“il Comune di Savignone, invero, a scanso di equivoci, inoltrava eguale messaggio in data XX dalla casella PEC dell’ente alla mail del [reclamante], a cui seguiva una notifica di accettazione riportante la dicitura […] l’account di posta che hai tentato di raggiungere non esiste”;

“il Comune di Savignone, stante le difficoltà riscontrate, quale extrema ratio […] in data XX inviava una raccomandata A.R. al [reclamante], di nuovo di medesimo contenuto di cui al prot. XX del XX […]: in data XX il plico postale veniva riconsegnato all’ente per compiuta giacenza”;

il “reclamante [ha] esercitato il proprio diritto alla cancellazione, di cui all’art. 17 [del] Regolamento […], in modo improprio: non ha allegato alcun documento di riconoscimento alla mail del XX […]; non ha indicato i recapiti utili alla risposta dell’ente […]; l’anzidetta mail del XX […] proveniva da un indirizzo di posta ordinaria nominativo, assegnato [al reclamante da un Ateneo];

“il Comune […] si [è] da subito, adoperato affinché l’interessato […] fosse realmente messo a conoscenza del riscontro alla sua richiesta. Seppur detto riscontro, documentalmente, risulti esser stato fornito oltre il termine massimo di un mese previsto dalla normativa, appaiono innegabili la solerzia e lo spirito collaborativo mostrato dall’ente”;

“ricevuta la mail del X […], seppur da indirizzo improprio ed in assenza di documento di riconoscimento allegato, il Comune […] ha, sin da subito, tentato di fornire adeguato riscontro alle richieste del reclamante utilizzando l’indirizzo mail di provenienza della richiesta: tali tentativi non hanno sortito esito positivo in quanto generavano errori di invio, purtroppo, ad oggi, non più documentabili”;

“l’ultimo e unico tentativo che parrebbe aver raggiunto l’indirizzo del destinatario […] è proprio il richiamato prot. XX del XX […] che ha comportato un ritardo, seppur breve (di quindici giorni) oltre il termine massimo legalmente consentito”;

“a riprova della sollecitudine del Comune […], si veda altresì l’invio dell’ulteriore PEC del XX […] nonché dell’invio della raccomandata A.R. del XX […]; in particolare l’invio della PEC del XX ha consentito al Comune […] di prendere coscienza della “non esistenza” dell’indirizzo mail in questione”;

“con note prot. n. XX del XX e prot. n. XX del XX ed in accoglimento delle stesse, […] [il] Comune […], con nota prot. n. XX del XX […] comunicava al [reclamante], nonché all’Autorità Garante e, per conoscenza, al […] Responsabile della protezione dei dati, il mancato accoglimento della richiesta di cancellazione integrale dei dati personali […], rispetto alla documentazione in proprio possesso, a fronte degli obblighi di conservazione amministrativa imposti ex lege”;

“l’art. 68 del DPR 445/2000 prevede che ogni amministrazione debba dotarsi di un “piano di conservazione degli archivi, integrato con il sistema di classificazione, per la definizione dei criteri di organizzazione dell’archivio, di selezione periodica e di conservazione dei documenti”;

“[…] gli enti pubblici (e tra questi i Comuni), per lo scarto archivistico devono quindi ottenere l’autorizzazione del Ministero per i beni e le attività culturali, ai sensi dell’art. 21, comma 1, lettera d) del Codice dei beni culturali e del paesaggio (D. lgs. 22 gennaio 2004, n.42)”;

“gli adempimenti previsti ai fini della procedura di scarto si sostanziano, pertanto, in un provvedimento formale dell’amministrazione (deliberazione di Giunta o determinazione dirigenziale) e nell’acquisizione dell’autorizzazione da parte degli organi periferici del citato Ministero, vale a dire le Soprintendenze archivistiche competenti per territorio”;

“l’Allegato 7 […] del manuale di gestione [adottato dal Comune] […] mostra come per le Deliberazioni di Giunta sia prevista la conservazione permanente. Così come è prevista una conservazione permanente per i fascicoli di procedimenti instaurati innanzi ad Autorità Giudiziarie”;

il Comune “provvederà tempestivamente all’attivazione della procedura volta ad ottenere l’autorizzazione da parte della Soprintendenza archivistica, competente per territorio, allo scarto della delibera di G.C. n. […] del […], della comunicazione indirizzata alla Procura della Repubblica presso il Tribunale di […], prot. n. […] del […] e della dichiarazione liberatoria indirizzata al reclamante, prot. n. […] del […], finalizzata alla distruzione integrale della documentazione, al fine di contemperare le esigenze dell’interessato con il quadro normativo riferibile alla conservazione documentale”;

“l’asserita violazione è priva di carattere doloso: l’ente ha agito in perfetta buona fede e richiede che venga tenuta in considerazione l’oggettiva difficoltà di effettuare talvolta il bilanciamento fra gli obblighi di conservazione e di protezione dei dati personali”;

“la condotta contestata risale al XX ed il riscontro alla richiesta risulta con un ritardo (non voluto) di soli quindici giorni rispetto al termine massimo; il Comune, a distanza di tre anni, riteneva la questione fosse già stata risolta, in quanto non è stata ricevuta alcuna ulteriore lamentela da parte del reclamante […]”;

“se di errore si è trattato sicuramente lo si è commesso per una colpa lieve essendo il termine previsto dall’art. 17 del Regolamento […] spirato di quindici giorni, di cui solo dieci lavorativi”;

“non vi è stata alcuna divulgazione dei dati personali oggett[o] di reclamo e, per l’effetto, non si è concretizzato alcun danno fisico, materiale o immateriale con conseguenti rischi per i diritti e le libertà dell’interessato”;

occorre tenere in “in considerazione delle difficoltà riscontrate nel reperire qualsivoglia contatto o recapito del [reclamante] che, peraltro, non ha ritirato nessuna delle raccomandate a.r. inviategli, tutte restituite al mittente per compiuta giacenza”.

Con successiva nota del XX (prot. n. XX), il Comune, a integrazione di quanto esposto nella propria memoria difensiva, ha trasmesso copia della nota dalla Soprintendenza archivistica e bibliotecaria della Liguria (nota prot. n. XX del XX), “in risposta alla richiesta del Comune di Savignone circa l’ottenimento dell’autorizzazione allo scarto”, nella quale si afferma quanto segue: “in considerazione del fatto che i verbali delle deliberazioni della Giunta comunale, così come la documentazione relativa al contenzioso, sono documenti da considerarsi a conservazione permanente si ritiene che la richiesta di autorizzazione allo scarto non possa essere accolta”. Ciò con riserva di “trasmettere la richiesta […] Direzione generale archivi per un parere qualificato ed eventuali indicazioni in merito”, considerato che “si tratta di questione particolarmente delicata”.

3. Esito dell’attività istruttoria.

Il trattamento dei dati personali, da parte dei soggetti pubblici, deve avvenire nel rispetto delle disposizioni del Regolamento e del Codice.

Oltre a dover verificare la sussistenza di una base giuridica che possa giustificare il trattamento (cfr. artt. 6, 9 e 10 del Regolamento, nonché 2-ter, 2-sexies e 2-octies del Codice), il titolare del trattamento è, in ogni caso, tenuto a rispettare i principi in materia di protezione dei dati, fra i quali, in particolare, quello di “liceità, correttezza e trasparenza” nonché di “limitazione della conservazione”, in base ai quali i dati personali devono essere “trattati in modo lecito, corretto e trasparente nei confronti dell’interessato” e “conservati in una forma che consenta l'identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati […]” (art. 5, par. 1, lett. a) ed e) del Regolamento).

Ai sensi dell’art. 17 del Regolamento, l'interessato ha il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo e il titolare del trattamento ha l'obbligo di cancellare i dati, in particolare se “i dati personali non sono più necessari rispetto alle finalità per le quali sono stati raccolti o altrimenti trattati” (par. 1, lett. a)), se “l'interessato si oppone al trattamento ai sensi dell'articolo 21, paragrafo 1, e non sussiste alcun motivo legittimo prevalente per procedere al trattamento […]” (par. 1, lett. b)), o se “i dati personali sono stati trattati illecitamente” (par. 1, lett. c)).

Ciò salvo che il trattamento sia necessario, in particolare, “b) […] per l'adempimento di un obbligo legale che richieda il trattamento previsto dal diritto dell'Unione o dello Stato membro cui è soggetto il titolare del trattamento o per l'esecuzione di un compito svolto nel pubblico interesse oppure nell'esercizio di pubblici poteri di cui è investito il titolare del trattamento; […] [o] d) a fini di archiviazione nel pubblico interesse, […], nella misura in cui il diritto di cui al paragrafo 1 rischi di rendere impossibile o di pregiudicare gravemente il conseguimento degli obiettivi di tale trattamento; […] [o] e) per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria” (art. 17, par. 3).

In caso di esercizio del diritto alla cancellazione dei dati, il titolare del trattamento “fornisce all'interessato le informazioni relative all'azione intrapresa riguardo [alla] richiesta […] senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della richiesta stessa. […] Se non ottempera alla richiesta dell'interessato, il titolare del trattamento informa l'interessato senza ritardo, e al più tardi entro un mese dal ricevimento della richiesta, dei motivi dell'inottemperanza e della possibilità di proporre reclamo a un'autorità di controllo e di proporre ricorso giurisdizionale” (art. 12, parr. 3 e 4, del Regolamento).

Nel caso di specie, il Comune, con nota prot. n. XX del XX, ha fornito riscontro all’istanza di cancellazione dei dati personali dell’interessato del XX, acquisita agli atti del Comune in data XX.

Il Comune ha rappresentato di avere inizialmente provato ad inviare detta nota prima a mezzo email (in data XX), poi a mezzo PEC (in data XX) e successivamente, a seguito di tali “tentativi […] [infruttuosi,] in quanto le procedure sia mail che pec respingono l’invio con il messaggio [a un] indirizzo inesistente”, anche a mezzo raccomandata a.r. (in data XX).

Solo con la nota prot. n. XX del XX, il Comune ha esplicitato le ragioni da esso ritenute ostative alla cancellazione dei dati personali del reclamante (ovvero la circostanza che la documentazione in proprio possesso fosse “sottoposta a termini di conservazione amministrativa”), in presenza di un quadro normativo di settore che regola la conservazione degli “gli archivi e [de]i singoli documenti dello Stato, delle regioni, degli altri enti pubblici territoriali, nonché di ogni altro ente ed istituto pubblico” (art. 10, comma 2, lett. b), del d.lgs. 22 gennaio 2004, n. 42; cfr. art. 68 del D.P.R. 28 dicembre 2000, n. 44) e le operazioni di scarto dei documenti degli archivi pubblici (v. art. 22 del d.lgs. 22 gennaio 2004, n. 42).

Il Comune ha, pertanto, fornito riscontro all’interessato, in data XX, oltre il termine massimo di un mese previsto dalla normativa in materia di protezione dei dati personali, non avendo, peraltro, informato l’interessato, senza ritardo e al più tardi entro un mese dal ricevimento della richiesta, dei motivi dell'inottemperanza e della possibilità di proporre reclamo a un'autorità di controllo o ricorso giurisdizionale.

Inoltre, per le ragioni esposte nelle note dell’Ufficio del Garante, inviate al Comune nel corso dell’istruttoria e sopra menzionate (v. il precedente par. 2), il riscontro in questione - così come quello successivamente fornito dal Comune con nota del XX (prot. n. XX) - non era comunque conforme a quanto previsto dagli artt. 12 e 17 del Regolamento.

Il Comune ha, pertanto, agito in violazione di quanto previsto dagli artt. 12, parr. 3 e 4, e 17 del Regolamento.

Con riguardo al merito delle motivazioni addotte dal Comune in merito all’impossibilità di accogliere l’istanza di cancellazione dei dati personali dell’interessato, occorre evidenziare che, in tale contesto, alla luce della disciplina di settore applicabile sopra richiamata che regola la gestione degli archivi delle pubbliche amministrazioni in modo uniforme a livello nazionale, spetta al Ministero della cultura - e non al Garante - valutare la correttezza delle procedure seguite ai fini della conservazione e dello scarto dei documenti presenti negli archivi pubblici. Al riguardo si rileva che, come rappresentato dal Comune, la Soprintendenza archivistica e bibliotecaria della Liguria ha espresso il proprio diniego alla richiesta di autorizzazione allo scarto dei documenti in possesso del Comune, contenenti i dati personali del reclamante.

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dal Comune nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗, seppure meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Si confermano, pertanto, le valutazioni preliminari dell’Ufficio e si rileva l’illiceità del trattamento di dati personali effettuato dal Comune, per aver fornito all’interessato un riscontro inadeguato a un’istanza di cancellazione dei dati personali, oltre il termine previsto dalla normativa in materia di protezione dei dati personali, in violazione degli artt. 12, parr. 3 e 4, e 17 del Regolamento.

Ciò premesso, tenuto conto che:

la violazione ha riguardato un solo interessato;

il titolare del trattamento è un Ente di piccole dimensioni (di circa 3.000 abitanti), per il quale la questione giuridica sottesa all’istanza dell’interessato di cancellazione dei propri dati personali presentava particolare complessità (tanto che la stessa Soprintendenza archivistica e bibliotecaria della Liguria, nell’esprimere il proprio diniego all’autorizzazione allo scarto, si è riservata di chiedere un parere alla competente Direzione generale del Ministero, considerato che “si tratta di questione particolarmente delicata”);

il titolare del trattamento ha fornito un primo riscontro all’istanza dell’interessato, sebbene in maniera inadeguata, con un ritardo comunque non particolarmente eccessivo (quindici giorni oltre il termine previsto dall’art. 12 del Regolamento, di cui solo dieci giorni lavorativi), anche a fronte di asseriti precedenti tentativi – ancorché non documentati nel corso dell’istruttoria - di contattare l’interessato, essendosi, peraltro, prodigato per assicurare l’effettivo recapito del proprio riscontro mediante diversi canali di comunicazione (email, PEC e raccomandata a.r.);

il Comune ha cooperato in maniera proattiva con l’Autorità nel corso dell’istruttoria, anche attivandosi presso le autorità competenti (Soprintendenza archivistica e bibliotecaria della Liguria) al fine di orientare correttamente le proprie scelte in un ambito caratterizzato da elevata complessità giuridica;

non risultano precedenti violazioni pertinenti commesse dal titolare del trattamento o precedenti provvedimenti di cui all’art. 58 del Regolamento;

le circostanze del caso concreto inducono a qualificare lo stesso come “violazione minore”, ai sensi del cons. 148 del Regolamento e delle “Linee guida riguardanti l'applicazione e la previsione delle sanzioni amministrative pecuniarie ai fini del regolamento (UE) n. 2016/679”, adottate dal Gruppo di Lavoro Art. 29 il 3 ottobre 2017, WP 253, e fatte proprie dal Comitato europeo per la protezione dei dati con l’”Endorsement 1/2018” del 25 maggio 2018.

Alla luce di tutto quanto sopra rappresentato, e dei termini complessivi della vicenda in esame, si ritiene, pertanto, sufficiente ammonire il titolare del trattamento per la violazione delle disposizioni sopraindicate, ai sensi dell’art. 58, par. 2, lett. b), del Regolamento (cfr. anche cons. 148 del Regolamento).

In tale quadro, considerando, in ogni caso, che la condotta ha esaurito i suoi effetti, non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del regolamento n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

a) dichiara, ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, l’illiceità del trattamento dei dati personali effettuato dal Comune di Savignone, in persona del legale rappresentante pro-tempore, con sede legale in Via Garibaldi, 2 - 16010 Savignone (GE), C.F. 00866540107, per violazione degli artt. 12, parr. 3 e 4, e 17 del Regolamento, nei termini di cui in motivazione;

b) ai sensi dell’art. 58, par. 2, lett. b) del Regolamento, ammonisce il Comune di Savignone, quale titolare del trattamento in questione, per aver violato gli artt. 12, parr. 3 e 4, e 17 del Regolamento, come sopra descritto;

c) ritiene che ricorrano i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 13 aprile 2023

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL SEGRETARIO GENERALE
Mattei

Scheda

Doc-Web
9889553
Data
13/04/23

Argomenti


Tipologie

Ammonimento