Il Garante privacy sanziona un Comune per la pubblicazione all’albo pretorio di dati giudiziari
(SF) Il Garante per la protezione dei dati personali comune sanziona un Comune (ordinanza n. 118 del 2 luglio 2020) per avere pubblicato sull’albo pretorio un atto contenente dati personali, considerati ridondanti e non pertinenti e peraltro riferiti a dati giudiziari.
L’Autorità Garante, adita dalla persona interessata, afferma che il trattamento dei dati relativi alle condanne penali e ai reati o a connesse misure di sicurezza può avvenire soltanto sotto il controllo dell’autorità pubblica o se il trattamento è autorizzato dal diritto dell’Unione o degli Stati membri che preveda garanzie appropriate per i diritti e le libertà degli interessati (art. 10 del Regolamento), ovvero solo qualora il trattamento sia autorizzato da una norma di legge o, nei casi previsti dalla legge, di regolamento (art. 2-octies, commi 1 e 5 del Codice).
Il titolare del trattamento è tenuto, inoltre, a rispettare i principi in materia di protezione dei dati, fra i quali quello di “liceità, correttezza e trasparenza” nonché di “minimizzazione”, in base ai quali i dati personali devono essere “trattati in modo lecito, corretto e trasparente nei confronti dell’interessato” e devono essere “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati” (art. 5, par. 1, lett. a) e c), del Regolamento).
In particolare, nel rispetto del principio di “minimizzazione dei dati” (art. 5, par. 1, lett. c), del Regolamento), anche in presenza di un obbligo di pubblicazione, i soggetti chiamati a darvi attuazione non possono comunque diffondere i dati personali eccedenti o non pertinenti (cfr. provv. n. 243 del 15 maggio 2014, Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati, doc. web n. 3134436, parte seconda parr. 1 e 3.a.).
In tale quadro, osserva il Garante, non rileva quanto dichiarato dall’Ente con riferimento alla circostanza che la reclamante non fosse identificabile. Considerando che “per identificazione non si intende solo la possibilità di recuperare il nome e/o l’indirizzo di una persona, ma anche la potenziale identificabilità mediante individuazione, correlabilità e deduzione”, la menzione delle iniziali del cognome e del nome della reclamante all’interno della determinazione era, infatti, idonea a consentirne l’identificazione, quantomeno da parte dei dipendenti del Comune e dei familiari o conoscenti della reclamante, anche in considerazione delle dimensioni del Comune (circa 13749 abitanti) e del proprio organico (84 lavoratori a tempo indeterminato, secondo quanto riportato nel conto annuale 2018, redatto nel 2019, pubblicato sul sito web del Comune).
Ugualmente, è priva di apprezzamento la tesi, peraltro non provata dal Comune, che la reclamante avesse già reso noti alla stampa i propri dati personali contenuti nella determinazione, così come la tesi che la sentenza di condanna in sede penale, da cui era scaturito il procedimento disciplinare nei confronti della reclamante, “era già stata tolta dalla sfera della riservatezza ab origine dal giudice comminando la pena accessoria della pubblicazione” del dispositivo della sentenza su due quotidiani. I soggetti pubblici possono, infatti, diffondere dati personali solo nei casi previsti da una norma di legge o, nei casi previsti dalla legge, di regolamento (art. 2-ter, commi 1 e 3, del Codice), a nulla rilevando che i medesimi dati siano già stati diffusi nell’ambito della pubblicazione di sentenze o provvedimenti a fini di informatica giuridica (cfr. artt. 51 e 52 del Codice) o a titolo di sanzione accessoria, o dallo stesso interessato o da terzi per altre finalità (sul punto, v. provv. n. 35 del 13 febbraio 2020, doc. web n. 9285411).
Infine, aggiunge il garante, anche alle pubblicazioni nell’albo pretorio online si applicano tutti i limiti previsti sopra menzionati con riguardo al rispetto del principio di minimizzazione dei dati e alle cautele nel caso in cui gli atti da pubblicare contengano dati appartenenti a categorie particolari o giudiziari (cfr. parte II, par. 3(a) delle Linee guida sopra citate).
Nella determinazione oggetto di pubblicazione, quindi, non avrebbero dovuto essere riportati dati identificativi dell’interessata (es. iniziali del nome e del cognome) né altri dati di contesto che avrebbero potuto consentire l’identificazione della stessa, quali, ad esempio, i riferimenti puntuali agli estremi di altri atti e documenti amministrativi. La pubblicazione della determinazione con tali accorgimenti non avrebbe, peraltro, compromesso il principio di adeguata motivazione di cui all’art. 3 della l. 241/1990, poiché la versione integrale della determinazione sarebbe restata, in ogni caso, agli atti del Comune e sarebbe stata accessibile, da parte di soggetti qualificati, nei modi e nei limiti previsti dalla legge.
Peraltro, la circostanza che la determinazione sia stata pubblicata, senza previa anonimizzazione, nella sezione dedicata all’Albo storico, oltre l’arco temporale previsto dalla disciplina di settore (cfr. art. 124, d.lgs. 18 agosto 2000, n. 267 concernente la pubblicità degli atti degli enti locali sull’albo pretorio, nonché art. 32, l. 18 giugno 2009, n. 69), connota ulteriormente di illiceità la diffusione dei dati personali in essa contenuti.
Il provvedimento conclude affermando che le informazioni relative a vicende connesse alla commissione di reati o a procedimenti penali, che interessano una persona fisica, costituiscono “dati personali relativi alle condanne penali e ai reati o a connesse misure di sicurezza” ai sensi e per gli effetti di cui all’art. 10 del Regolamento, senza che rilevino la circostanza che tali informazioni non contengano riferimenti agli specifici reati commessi e lo stato in cui si trovino i procedimenti penali in questione.
