Per quanto riguarda il tema della trasparenza e della pubblicazione in internet di dati personali, a seguito dell’entrata in vigore del d.lgs. n. 33/2013 e considerate le numerose istanze ricevute, il Garante ha adottato le “Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalita' di pubblicita' e trasparenza sul web da soggetti pubblici e da altri enti obbligati” (provv. 15 maggio 2014, n. 243, doc. web n. 3134436: in merito v. pure par. 13.3).

Le nuove Linee guida sono state elaborate tenuto conto delle osservazioni e dei riscontri ricevuti dal Dipartimento della funzione pubblica, dall’Autorita' nazionale anticorruzione e per la valutazione e la trasparenza delle amministrazioni pubbliche (gia' Civit e ora Anac) e dall’AgID ed hanno sostituito le precedenti “Linee guida in materia di trattamento di dati personali contenuti anche in atti e documenti amministrativi, effettuato da soggetti pubblici per finalita' di pubblicazione e diffusione sul web” (provv. 2 marzo 2011, n. 88, doc. web n. 1793203).

Il Garante ha, in primo luogo, sottolineato che rimane ferma la regola generale per la quale i soggetti pubblici possono diffondere dati personali solo se cio' e' ammesso da una specifica disposizione di legge o di regolamento (art. 19, comma 3, del Codice).

In tal quadro, e' necessario distinguere fra obblighi di pubblicazione online di dati per finalita' di trasparenza oppure per altre finalita' della p.a. (ad es., albo pretorio o altre forme di pubblicita' dichiarativa, notizia o integrativa dell’efficacia) cui si applicano le indicazioni contenute, rispettivamente, nella prima e nella seconda parte delle Linee guida.

Anche in presenza di un obbligo di pubblicazione online le pp.aa. devono comunque selezionare i dati personali da inserire negli atti e documenti oggetto di pubblicazione e verificare, caso per caso, se ricorrono i presupposti per l’oscuramento di determinate informazioni nel rispetto del principio di pertinenza e non eccedenza dei dati personali nonche', nel caso dei dati sensibili, di indispensabilita'.

Restano fermi alcuni divieti di diffusione di dati personali. In particolare, e' sempre vietato diffondere dati idonei a rivelare lo stato di salute – ossia qualsiasi informazione da cui si possa desumere, anche indirettamente, lo stato di malattia o l’esistenza di patologie dei soggetti interessati, compreso qualsiasi riferimento alle condizioni di invalidita', disabilita' o handicap fisici e/o psichici – nonche' dati idonei a rivelare la vita sessuale quando la pubblicazione e' effettuata per finalita' di trasparenza (art. 4, comma 6, d.lgs. n. 33/2013).

L’indicizzazione dei dati nei motori di ricerca generalisti (ad es., Google) durante il periodo di pubblicazione obbligatoria e' limitato ai soli dati tassativamente individuati dalle norme in materia di trasparenza. Vanno quindi esclusi gli altri dati che si ha l’obbligo di pubblicare per altre finalita' di pubblicita' (ad es., pubblicita' legale sull’albo pretorio, pubblicazioni matrimoniali, ecc.).

Il Garante ha inoltre precisato che in ogni caso i dati pubblicati online non sono liberamente riutilizzabili da chiunque per qualunque finalita', poiche' l’obbligo previsto dalla normativa in materia di trasparenza online della p.a. di pubblicare dati in “formato aperto” non comporta che tali dati siano anche “dati aperti”, cioe' liberamente utilizzabili da chiunque per qualunque scopo. Al fine di chiarire tale circostanza, le amministrazioni sono invitate a inserire nella sezione denominata “Amministrazione trasparente” dei propri siti web un alert con cui si informa il pubblico che i dati personali sono “riutilizzabili solo alle condizioni previste dalla normativa vigente sul riuso dei dati pubblici (direttiva 2003/98/CE e d.lgs. n. 36/2006 di recepimento della stessa), in termini compatibili con gli scopi per i quali sono stati raccolti e registrati, e nel rispetto della normativa in materia di protezione dei dati personali”.

E' stato oltresi' precisato che il periodo di mantenimento di dati, informazioni e documenti sul web coincide in linea di massima con il termine di cinque anni, ma anche che laddove atti, documenti e informazioni oggetto di pubblicazione obbligatoria per finalita' di trasparenza contengano dati personali, questi ultimi devono essere oscurati, anche prima del termine di cinque anni, quando sono stati raggiunti gli scopi per i quali sono stati resi pubblici e gli atti stessi hanno prodotto i loro effetti.

Nel caso di pubblicazione di atti e documenti, per finalita' diverse da quelle di trasparenza, rimangono invece ferme le specifiche disposizioni di settore (ad es., quindici giorni per la pubblicazione delle deliberazioni all’albo pretorio degli enti locali ai sensi dell’art. 124, d.lgs. 18 agosto 2000, n. 267). Se, invece, la disciplina di settore non stabilisce un limite temporale alla pubblicazione degli atti, vanno individuati – a cura delle amministrazioni titolari del trattamento – congrui periodi di tempo entro i quali mantenerli online, ma questo lasso di tempo non puo' essere superiore al periodo ritenuto, caso per caso, necessario al raggiungimento degli scopi per i quali i dati personali stessi sono resi pubblici.

Anche alla luce di tali indicazioni il Garante e' intervenuto in numerose questioni sottoposte alla propria attenzione di cui si riportano le piu' rilevanti.

Con riferimento alla diffusione di dati personali online in assenza di idonei presupposti normativi, e' stata riscontrata una condotta non conforme alla disciplina applicabile in ordine ai dati personali contenuti in numerosi documenti pubblicati sui siti web istituzionali come, fra gli altri,

• i verbali della commissione elettorale comunale relativi alla revisione e all’aggiornamento dell’albo unico degli scrutatori di seggio elettorale (con indicazione dei nominativi degli interessati, luogo e data di nascita, indirizzo, motivo della non inclusione o della cancellazione nell’albo degli scrutatori oppure notizia della relativa iscrizione) (nota 22 agosto 2014);
• i provvedimenti amministrativi di cancellazione anagrafica per irreperibilita' (nota 4 dicembre 2014);
• le fotocopie di carte di identita' o di patenti di guida (nota 8 gennaio 2014);
• i nomi degli utenti morosi che utilizzano il servizio pre e post scuola con indicazione del nome del bambino, quello del genitore, numero di cellulare, indirizzo dell’abitazione, scuola frequentata dal minore e la somma ancora non pagata per il servizio (nota 4 dicembre 2014);
• la copia degli atti da notificare e contestazioni di sanzioni amministrative (con indicazione in chiaro dei dati personali del destinatario del provvedimento) (nota 29 settembre 2014);
• le immagini in chiaro dei bambini in costume da bagno ammessi alla colonia estiva del comune (nota 19 agosto 2014);
• le deliberazioni pubblicate sull’albo pretorio degli enti locali per piu' di quindici giorni (nota 8 ottobre 2014).

Dati sanitari

Con riferimento alla diffusione di dati personali online idonei a rivelare lo stato di salute, il Garante e' intervenuto nei confronti di un’azienda sanitaria che ha pubblicato in internet:

• le delibere relative alla liquidazione di fatture per l’inserimento di un minore in una comunita' terapeutica riabilitativa. A tali delibere erano state allegate le copie integrali delle fatture relative alla retta della comunita' che contenevano in chiaro e per esteso i dati anagrafici del giovane (nome, cognome, data e luogo di nascita) causando una diffusione di dati sul suo stato di salute vietata dalle norme in materia di protezione dei dati personali (provv. 6 novembre 2014, n. 494, non pubblicato ai sensi dell’art. 24 del Regolamento del Garante del 1 agosto 2013).

Sullo stesso tema, e' stata riscontrata una condotta non conforme alla disciplina applicabile in ordine alla pubblicazione sul sito web istituzionale di determinazioni aventi a oggetto:

• “il ricovero urgente in ospedale di persona affetta da malattia mentale” (Tso) con indicazione in chiaro dei dati dell’interessato e della relativa patologia (nota 22 agosto 2014),

oppure

• la concessione dei benefici di cui all’art. 33, comma 3, l. n. 104/92 con espliciti riferimenti alla condizione di handicap della figlia di un dipendente avente diritto al predetto beneficio (nota 22 agosto 2014).

Dati giudiziari

E' stata altresi' stigmatizzata la pubblicazione sul sito web istituzionale di un comune del decreto del Ministro dell’interno di rigetto della domanda di cittadinanza contenente dati personali anche giudiziari dell’interessato (nota 14 gennaio 2014)ed e' stato chiarito, a un comune che aveva intenzione di pubblicare sul sito internet istituzionale il certificato del casellario giudiziale del sindaco, degli assessori e dei membri di “maggioranza” dei componenti il consiglio comunale, che il trattamento di dati giudiziari da parte di soggetti pubblici e' consentito solo se autorizzato da espressa disposizione di legge o provvedimento del Garante che specifichino le finalita' di rilevante interesse pubblico del trattamento, i tipi di dati trattati e di operazioni eseguibili (art. 21, comma 1) (nota 22 agosto 2014).

Sempre in tema di trasparenza, il Garante e' stato poi interpellato con riferimento alla questione della reperibilita' in rete, tramite i motori di ricerca generalisti (es. Google), di dati personali anche sensibili e giudiziari contenuti negli atti pubblicati sul sito web istituzionale della Camera dei deputati, nonche' sul profilo della conoscibilita' dei documenti formati e acquisiti dalle Commissioni parlamentari di inchiesta.

In ordine alla prima questione, confermando i precedenti orientamenti in materia (cfr. Relazione 2012, p. 70), e' stato fatto presente che i lavori delle istituzioni parlamentari sono soggetti a regime di pubblicita' (artt. 65 e 144 del regolamento della Camera e 33 del regolamento del Senato) e che i principi inerenti al trattamento dei dati sensibili e giudiziari sono applicabili ai trattamenti svolti dalla Presidenza della Repubblica, dalla Camera dei deputati, dal Senato della Repubblica e dalla Corte Costituzionale “in conformita' ai rispettivi ordinamenti” (art. 22, comma 12, del Codice). E' stato altresi' ricordato che l’Ufficio di Presidenza della Camera dei deputati, con la delibera n. 46 del 2013, come modificata dalla delibera n. 53 del 2013, ha adottato una disciplina concernente la “Procedura in ordine a richieste concernenti dati personali contenuti in atti parlamentari” relativa alle modalita' con cui i cittadini possono fare istanza direttamente alla Presidenza della Camera dei deputati con riferimento “a loro dati personali contenuti in atti parlamentari pubblicati sul sito internet della Camera dei deputati” (nota 5 giugno 2014).

In relazione, invece, alla pubblicazione sul sito istituzionale di atti e documenti delle Commissioni parlamentari d’inchiesta e' stato rappresentato che esistono due diverse tipologie di atti e documenti: quelli “formati” dalla Commissione d’inchiesta stessa (come i resoconti delle audizioni) e quelli, invece, solo “acquisiti” dalla Commissione stessa in quanto prodotti da soggetti esterni.

Fino a oggi, tale tipologia di atti e documenti formati o acquisiti dalle Commissioni parlamentati d’inchiesta e' stata soggetta a un preciso regime di pubblicita', differenziato in ragione della “diversa natura dei documenti in esame”, che prevede la pubblicazione sul sito web istituzionale della Camera degli atti formati dalle Commissioni, in quanto soggetti al principio di pubblicita' dei lavori parlamentari ai sensi dell’art. 64 Cost., e la mera consultabilita', presso i locali dell’archivio storico dei documenti acquisiti dalla Commissione nel corso dell’inchiesta da parte di chiunque ne faccia richiesta.

Con riferimento all’interesse alla conoscibilita' dei documenti “acquisiti” dalle Commissioni d’inchiesta, occorre tenere conto che gli stessi sono stati oggetto del vaglio della Commissione e le informazioni ritenute di interesse ai fini dell’inchiesta sono state presumibilmente evidenziate nelle relazioni – di maggioranza ed, eventualmente, di minoranza – gia' integralmente pubblicate. Di conseguenza, le eventuali ulteriori informazioni che emergano dai documenti esterni acquisiti dalla Commissione – e che giustifichino la successiva ostensione dei documenti medesimi – potrebbero essere state ritenute dai diversi componenti della Commissione irrilevanti o addirittura inattendibili.

Considerata quindi la notevole varieta'a' del contenuto e dei dati personali, anche sensibili e giudiziari, inseriti soprattutto negli atti esterni acquisiti dalle Commissioni parlamentari d’inchiesta per l’esercizio delle proprie funzioni, spetta ai competenti organi della Camera – alla luce dei principi in materia di protezione dei dati personali prima richiamati – effettuare il piu' corretto bilanciamento fra l’interesse alla piena conoscibilita' della documentazione dell’attivita' delle menzionate Commissioni e la riservatezza delle informazioni in essa contenute.

In ogni caso, tenendo conto della “diversa natura dei documenti in esame”, l’Ufficio ha ritenuto che gli organi della Camera hanno correttamente differenziato il relativo regime di pubblicita', prevedendo per gli atti formati dalla Commissione d’inchiesta la “pubblicazione” (art. 4, comma 1, lett. m), del Codice) su internet e per gli altri documenti la sola “comunicazione” degli stessi (art. 4, comma 1, lett. l), del Codice), nella forma della consultabilita' a richiesta dei soggetti eventualmente interessati, assicurando in tal modo il pubblico interesse alla piena conoscibilita' degli atti esterni acquisiti dalle Commissioni.

In tale cornice, e' stato ritenuto che, per favorire una maggiore facilita' di accesso agli atti esterni acquisiti dalle Commissioni parlamentari d’inchiesta, nel pieno rispetto dell’interesse alla loro massima conoscibilita', trattando le Commissioni d’inchiesta di questioni di “pubblico interesse”, possono essere comunque predisposte modalita' di accesso online alle medesime informazioni, tramite accessi selettivi, ai soli soggetti che ne facciano richiesta appositamente identificati. Tale soluzione, che e' stata rappresentata come un’opzione praticabile, deve ritenersi preferibile rispetto alla diffusione in quanto assicura un corretto bilanciamento tra le esigenze di semplificazione delle modalita' di accesso a informazioni di “pubblico interesse” e il diritto alla protezione dei dati personali.

Al riguardo, per completezza e' stato ricordato che il Cad, per consentire l’accesso ai servizi erogati in rete da parte delle pp.aa, prevede l’utilizzo della carta d’identita' elettronica e della carta nazionale dei servizi, oppure di strumenti diversi purche' idonei a consentire “l’individuazione del soggetto che richiede il servizio” (art. 64, commi 1 e 2, d.lgs. 7 marzo 2005, n. 82) (nota 19 giugno 2014).

Fonte: Autorità Garante - Relazione 2014