IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. XXX, presidente, della dott.ssa XXX, vicepresidente, della dott.ssa XXX e della prof.ssa XXX, componenti, e del dott. XXX, segretario generale;

VISTO l’art. 1, comma 2, della legge 24 novembre 1981, n. 689, ai sensi del quale le leggi che prevedono sanzioni amministrative si applicano soltanto nei casi e per i tempi in esse considerati;

RILEVATO che è pervenuta a questa Autorità in data 1° luglio 2016, una segnalazione con cui veniva lamentata la pubblicazione sul sito web istituzionale del Comune di Bardolino degli elenchi dei beneficiari di contributi economici, contenuti nelle delibere per le annualità 2013, 2015 e 2016, con l’indicazione del nominativo e del codice fiscale degli interessati nonché della disciplina di riferimento, e delle Newsletter recanti informazioni e dati personali di due dipendenti comunali beneficiari dei permessi di “Astensione obbligatoria dal lavoro” e “Congedo retribuito”;

CONSIDERATO che l’Ufficio avviava nei confronti del Comune di Bardolino un’istruttoria, all’esito della quale accertava, con nota n. 12867 del 3 maggio 2018, che sul sito web istituzionale del Comune stesso erano pubblicati i file contenenti gli elenchi dei beneficiari di contributi economici inferiori a mille euro o che versano in condizioni di disagio economico, recanti il nominativo e il codice fiscale degli interessati, con la relativa normativa di riferimento; risultavano, altresì, pubblicate due newsletter recanti dati e informazioni personali relative a due dipendenti comunali, beneficiari dei permessi di “Astensione obbligatoria del lavoro” e di “Congedo retribuito per la durata di anni due in considerazione dello stato di disabilità grave del padre convivente”. La pubblicazione delle citate informazioni aveva provocato una diffusione di dati personali in assenza di idonei presupposti normativi e la diffusione di dati idonei a rivelare lo stato di salute, in violazione di quanto disposto, rispettivamente, dagli artt. 19, comma 3, e 22, comma 8, del Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196, di seguito “Codice”);

VISTO il verbale prot. n. 16898/109485 del 4 giugno 2018 con cui sono state contestate al Comune di Bardolino, con sede in Bardolino (VR), P.tta S. Gervaso n. 1, C.F. 00345090237, in persona del legale rappresentante pro-tempore:

- la violazione amministrativa prevista dall’art. 162, comma 2-bis, del Codice, applicata in combinato disposto con l’art. 164-bis, comma 3, (in considerazione dell’elevato numero di interessati coinvolti dalla violazione) in relazione all’art. 19, comma 3, del medesimo Codice, per aver diffuso in assenza di una norma di legge o di regolamento dati personali relativi ai destinatari di contributi economici e dati personali dei due dipendenti comunali beneficiari dei permessi di “Astensione obbligatoria dal lavoro” e di “Congedo retribuito”;

- la violazione amministrativa prevista dall’art. 162, comma 2-bis, del Codice in relazione all’art. 22, comma 8, per aver diffuso dati idonei a rivelare lo stato di salute;
informando la parte della facoltà di effettuare il pagamento in misura ridotta ai sensi dell’art. 16 della legge 24 novembre 1981 n. 689;

RILEVATO che dal rapporto predisposto ai sensi dell’art. 17 della legge 24 novembre 1981, n. 689, non risulta effettuato il pagamento in misura ridotta;

VISTI gli scritti difensivi, datati 26 giugno 2018, inviati ai sensi dell’art. 18 della legge 24 novembre 1981 n. 689, con cui il Comune ha chiesto che venisse disposta l’archiviazione del procedimento sanzionatorio in considerazione di diversi elementi.

In primo luogo, la parte ha rilevato l’assoluta indeterminatezza della quantificazione della sanzione dovuta alla “indeterminatezza, concentrazione e confusione in un unico capo di diverse ipotesi di violazione, ossia: la pubblicazione degli elenchi dei destinatari dei contributi economici sul sito istituzionale e nel contempo la diffusione di dati personali di due dipendenti comunali beneficiari di permessi di astensione obbligatoria dal lavoro e congedo retribuito pubblicati sulla newsletter del Comune”. In particolare, l’applicazione dell’aggravante di cui all’art. 164-bis, comma 3, del Codice dovrebbe valere, eventualmente, solo per la fattispecie relativa alla pubblicazione degli elenchi dei beneficiari dei contributi economici e non anche alla pubblicazione sulla newsletter dei dati dei due dipendenti comunali beneficiari di congedi.

In secondo luogo, la parte ha eccepito la tardività della notifica della contestazione (avvenuta in data 4 giugno 2018) in considerazione del fatto che la violazione risultava già accertata con la nota del 10 febbraio 2017, con cui il Comune forniva riscontro alla richiesta di informazioni del Garante. Successivamente, l’Ufficio del Garante inviava “a distanza di un anno” una nuova richiesta di informazioni (nota n. 7249 del 2 marzo 2018), con la quale si limitava a “richiedere un supplemento di istruttoria soltanto ed unicamente con riferimento all’altra questione concernente la diffusione on line dei file contenenti gli elenchi dei beneficiari degli atti di concessione dei benefici economici (…)” senza chiedere nulla rispetto alla questione relativa alla diffusione di dati personali nelle newsletter, il cui accertamento deve, pertanto, considerarsi concluso con la suddetta nota del 10 febbraio 2017.

E’ stato, inoltre, rilevato come il suddetto supplemento istruttorio del Garante (avvenuto come detto con la nota del 2 marzo 2018), avesse ad oggetto la pubblicazione di file non più raggiungibili sul sito web, se non da chi “aveva una precisa ed esatta conoscenza della collocazione dell’informazione nella cache del browser sul server”. Il Comune, infatti, con la nota del 10 febbraio 2017 aveva fornito rassicurazioni in ordine alla ripubblicazione degli elenchi in conformità alla disciplina di settore.

In ultimo, la parte ha osservato che la nota del 3 maggio 2018 con cui l’Ufficio ha concluso l’istruttoria richiamava solo la “newsletter n. 9 del 9 marzo 2016” e non anche quella n. 5 del 10 febbraio 2016, ragione per cui la contestazione, che invece richiama entrambe le newsletter a presupposto delle disposizioni ritenute violate, deve considerarsi nulla;

VISTO il verbale di audizione del 18 settembre 2018, svoltosi ai sensi dell’art. 18 della legge n. 689/1981, con cui la parte ha ribadito quanto già argomentato nelle memorie difensive, chiedendo l’archiviazione del procedimento sanzionatorio o, in subordine, l’applicazione del minimo edittale in considerazione dei criteri di cui all’art. 11 della legge n. 689/1981;

RITENUTO che devono essere parzialmente accolte le argomentazioni addotte dalla parte, con riferimento all’applicazione dell’aggravante di cui all’art. 164-bis, comma 3, del Codice, in relazione all’art. 19, comma 3. In merito, si osserva che nel verbale di contestazione, in base a quanto accertato dall’Ufficio nel corso dell’istruttoria, la violazione dell’art. 19, comma 3, del Codice comprende sia la pubblicazione degli elenchi dei beneficiari dei contributi economici sia la pubblicazione, mediante newsletter, delle informazioni relative ai due dipendenti comunali, sul presupposto che la condotta illecita sia una sola e consista, appunto, nella diffusione di dati personali in assenza di una norma di legge o di regolamento che espressamente la preveda. Tuttavia, il numero di interessati coinvolti nella violazione dell’art. 19, comma 3, del Codice, (elemento che giustifica l’applicazione dell’aggravante di cui all’art. 164-bis, comma 3), è rinvenibile solo nel caso della diffusione degli elenchi dei beneficiari dei contributi economici, Pertanto, si ritiene che, conformemente a quanto richiesto dalla parte, debba essere archiviata la disposizione di cui all’art. 164-bis, comma 3, del Codice, in relazione all’art. 19, comma 3. In considerazione del fatto che la parte ha prontamente provveduto a ripubblicare gli elenchi citati conformemente alle disciplina di settore e a cancellare definitivamente i file dalla cache del sistema, si ritiene che la sanzione di cui all’art. 162, comma 2-bis, del Codice debba essere applicata in combinato disposto con l’art. 164-bis, comma 1, del Codice che prevede una diminuzione di due quinti dei limiti minimi e massimi delle sanzioni quando la violazione risulti di meno gravità, circostanza che ricorre nel caso in esame. Va, infine, rilevato che, con riferimento a una delle due newsletter, la pubblicazione delle iniziali e della qualifica del dipendente, unitamente all’indicazione dello stato di disabilità grave del padre convivente, ha comportato una diffusione di dati idonei a rivelare lo stato di salute, espressamente vietata dalla disposizione di cui all’art. 22, comma 8, del Codice.

Per quanto riguarda, invece, l’argomentazione addotta dalla parte in merito alla tardività della notifica della contestazione, si osserva che il momento dell’accertamento della violazione non può ricondursi alla nota di riscontro del Comune, datata 10 febbraio 2017, bensì al momento in cui l’Ufficio, acquisiti tutti gli elementi necessari a conoscere e, soprattutto, a valutare l’accaduto, ha concluso l’istruttoria con la nota del 3 maggio 2018, dandone comunicazione alla parte. Pertanto, da quel momento si configura la definizione dell’accertamento dal quale occorre far decorrere i 90 giorni previsti dall’art. 14 della legge n. 689/1981 per procedere alla notifica della contestazione, avvenuta regolarmente in data 4 giugno 2018. Tra l’altro, deve osservarsi che il supplemento istruttorio si era reso necessario in considerazione del fatto che i file contenenti gli elenchi dei beneficiari degli atti di concessione di benefici economici (relativi agli anni 2013, 2015 e 2016) risultavano ancora visibili agli indirizzi url consultati dall’Ufficio, nonostante il Comune avesse precedentemente comunicato di aver provveduto alla loro ripubblicazione, conformemente alle disposizioni vigenti in materia. Ai fini dell’accertamento della violazione, pertanto, considerata la necessità di chiedere alla parte ulteriori informazioni in merito alla persistenza di tali documenti on line, solo a seguito del riscontro fornito dal Comune in data 13 marzo 2018, la situazione è stata corretta (mediante la definitiva eliminazione dei dati dal server web del Comune) ed è stato possibile concludere l’istruttoria con la predetta nota del 3 maggio 2018, in cui tutte le criticità emerse nel corso dell’istruttoria (comprese quelle relative alla pubblicazione delle newsletter) sono state accertate quale violazione alla disciplina in materia di protezione dei dati personali. Infine, si osserva che, contrariamente a quanto sostenuto dalla parte, la nota di chiusura dell’istruttoria non solo evidenziava l’illecita diffusione di dati personali avvenuta mediante la pubblicazione delle newsletter, ma rilevava la violazione dell’art. 22, comma 8, del Codice, per aver riportato la notizia di un dipendente comunale a cui era stato concesso un periodo di congedo “in considerazione dello stato di disabilità grave del padre convivente”;

RILEVATO, pertanto, che il Comune di Bardolino ha effettuato una diffusione di dati personali in assenza di idonei presupposti normativi, in violazione di quanto disposto dall’art. 19, comma 3, del Codice, e una diffusione di dati idonei a rivelare lo stato di salute, in violazione di quanto disposto dall’art. 22, comma 8, del medesimo Codice;

VISTO l’art. 162, comma 2-bis, del Codice che punisce la violazione delle disposizioni indicate nell’art. 167 del medesimo Codice, tra cui gli artt. 19 e 22, comma 8, con la sanzione amministrativa del pagamento di una somma da diecimila euro a centoventimila euro, per ciascuna delle due violazioni contestate;

RITENUTO che, con riferimento alla violazione dell’art. 19, comma 3, del Codice, non sussistono i presupposti per applicare la disposizione di cui all’art. 164-bis, comma 3, del Codice;

RITENUTO, invece, che ricorrono i presupposti per applicare la disposizione di cui all’art. 164-bis, comma 1, del Codice;

RILEVATO che la violazione dell’art.22, comma 8, pur essendo relativa ad un dato idoneo a rivelare lo stato di salute, ha riguardato una sola persona e con riferimento ad un dato presumibilmente già noto in una piccola comunità come quella del Comune di Bardolino;

CONSIDERATO che la procedura descritta nell’articolo 18 sopra indicato non è applicabile alle contestazioni intervenute successivamente alla data del 25 maggio 2018, ma che la rigidità dell’indicazione di un termine per poter essere ammessi alla definizione agevolata, tenendo conto che il trasgressore non ha potere di incidere sulla tempestività della notifica della contestazione, consente di valutare l’opportunità di applicare la diminuente prevista dall’art. 164-bis, comma 1, del Codice al caso di specie;

CONSIDERATO che, ai fini della determinazione dell’ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell’art. 11 della legge 24 novembre 1981 n. 689, dell’opera svolta dall’agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

RITENUTO, quindi, di dover determinare, ai sensi dell’art. 11 della legge n. 689/1981, l’ammontare della sanzione pecuniaria, in ragione dei suddetti elementi valutati nel loro complesso, nella misura di:

- euro 4.000,00 (quattromila) per la violazione di cui all’art. 162, comma 2-bis del Codice, applicata in combinato disposto con l’art. 164-bis, comma 1, in relazione all’art. 19, comma 3, del Codice;

- euro 4.000,00 (quattromila) per la violazione di cui all’art. 162, comma 2-bis del Codice, applicata in combinato disposto con l’art. 164-bis, comma 1,in relazione all’art. 22, comma 8, del Codice, per un ammontare complessivo pari a euro 8.000,00 (ottomila);

VISTA la documentazione in atti;

VISTE le osservazioni dell’Ufficio, formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la dott.ssa XXX;

ORDINA

al Comune di Bardolino, con sede in Bardolino (VR), P.tta S. Gervaso n. 1, C.F. 00345090237, in persona del legale rappresentante pro-tempore, di pagare la somma di euro 8.000,00 (ottomila) a titolo di sanzione amministrativa pecuniaria per la violazione prevista dall’art. 162, comma 2-bis, del Codice, come indicato in motivazione, per aver effettuato una diffusione di dati personali in assenza di idonei presupposti normativi e una diffusione di dati idonei a rivelare lo stato di salute;

INGIUNGE

al medesimo di pagare la somma di euro 8.000,00 (ottomila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d. lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.