IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. XXX, presidente, della dott.ssa XXX, vicepresidente, della dott.ssa XXX e della prof.ssa XXX, componenti e del dott. XXX, segretario generale;

VISTO il D.lgs. 196/2003 recante il “Codice in materia di protezione dei dati personali” (d’ora innanzi “Codice”);

VISTO il D.lgs. 101 del 10 agosto 2018 recante le “Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga le direttive 95/46/CE (regolamento generale sulla protezione dei dati)” e, in particolare, l’art. 18, riguardante la “Definizione agevolata delle violazioni in materia di protezione dei dati personali” alla quale hanno diritto di accedere i trasgressori nei confronti dei quali penda un procedimento sanzionatorio non ancora definito alla data del 25 maggio 2018;

VISTA la legge n. 689/1981 e successive modificazioni e integrazioni e, in particolare, l’art. 1, comma 2, ai sensi del quale le leggi che prevedono sanzioni amministrative si applicano soltanto nei casi e per i tempi in esse considerati;

VISTO il provvedimento "Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati" – doc. web n. 3134436 contenuto in www.gpdp.it e pubblicato sulla Gazzetta Ufficiale n. 134 del 12 giugno 2014;

VISTA la segnalazione pervenuta al Garante in data 2 febbraio 2016, concernente la diffusione di dati personali relativi ai partecipanti a un concorso bandito dal Comune di Porto Sant’Elpidio (d’ora in avanti il “Comune”), con sede legale in Sant’Elpidio, Via Umberto I n. 485, C.F. 81003650447, tra i quali anche i dati personali riguardanti il segnalante. Più specificamente, la lamentata diffusione era determinata dalla possibilità di visualizzare, anche mediante il motore di ricerca Google e ancora dopo “(…) svariati anni (…)” dall’espletamento del suddetto concorso, l’elenco “(…) dei nominativi degli ammessi con riserva alla selezione pubblica, riservata ai lavoratori disabili (…)”;

VISTO il verbale delle operazioni compiute dal competente Dipartimento Unità Lavoro Pubblico e Privato di questa Autorità in data 8 marzo 2016, con le quali sono stati svolti accertamenti in ordine ai fatti oggetto della sopra citata segnalazione;

VISTO il provvedimento n. 244 del 1 giugno 2016, doc. web n. 5260571 rintracciabile in www.gpdp.it – inibitorio, prescrittivo e di richiesta di informazioni ai sensi dell’art. 157 del Codice - adottato dal Garante nei confronti del Comune a seguito dell’accertata presenza, sul sito istituzionale www.elpinet.it del Comune, di documenti relativi a una procedura selettiva bandita da quest’ultimo (delibere e graduatorie) contenenti dati personali di soggetti in condizioni di disabilità, nonché rinvii alla legge 12 marzo 1999, n. 68 (Norme per il diritto al lavoro dei disabili), immediatamente visibili in rete anche tramite motori di ricerca generalisti”;

VISTA la nota prot. n. 25133 del 13 luglio 2016 con cui il Comune ha comunicato al Garante di aver eliminato le graduatorie oggetto di segnalazione, di aver modificato gli atti presenti sul sito web (rete civica e Albo pretorio), riportando solo le iniziali degli interessati, nonché di aver provveduto a divulgare tra il personale dipendente le sopra citate Linee guida del Garante;

VISTA la nota prot. n. 19058/104142 del 27 giugno 2016 con cui il citato Dipartimento Unità Lavoro Pubblico e Privato ha trasmesso gli atti, unitamente al provvedimento del Garante n. 244 del 1 giugno 2016, al Dipartimento Attività Ispettive, affinché valutasse i presupposti per l'applicazione della sanzione amministrativa di cui all'articolo 162, comma 2-bis, del Codice in relazione alla avvenuta diffusione di dati idonei a rivelare lo stato di salute (art. 22, comma 8, del Codice) dei partecipanti alla selezione pubblica sopra citata;

VISTO l'atto prot. n. 24405/104142 del 18 agosto 2016 con cui il Garante ha contestato al Comune la violazione della disposizione di cui all'articolo 22, comma 8, del Codice sanzionata dall'articolo 162, comma 2-bis del medesimo Codice, in relazione alla accertata diffusione di dati idonei a rivelare lo stato di salute di soggetti partecipanti ad una procedura selettiva pubblica bandita dal Comune “(…) Infatti è stata accertata la presenza di documenti (delibere e graduatorie), sul sito istituzionale www.elpinet.it del Comune, contenenti dati personali di interessati in condizioni di disabilità, con rinvii alla legge 12 marzo 1999, n. 68 (Norme per il diritto al lavoro dei disabili), immediatamente visibili in rete anche tramite motori di ricerca generalisti”;

RILEVATO che dal rapporto amministrativo prot. n. 14366/104142 del 14 aprile 2017, predisposto dall’Ufficio del Garante ai sensi dell’art. 17 della legge 24 novembre 1981 n. 689, non risulta essere stato effettuato il pagamento in misura ridotta di cui all’art. 16 della legge 689/81;

VISTA la memoria difensiva, presentata ai sensi dell'articolo 16 della legge 24 novembre 1981 n. 689, con cui il Comune ha evidenziato che il proprio ufficio del personale ha provveduto a pubblicare sul sito istituzionale due determinazioni recanti, rispettivamente, l’elenco degli esclusi e degli ammessi con riserva alla procedura selettiva di cui sopra (Determinazione n. 60 prot. generale n. 175 del 24.04.2013) e la graduatoria finale di tale procedura (Determinazione n. 90 prot. generale n. 280 del 26.06.2013) “ (…) nella convinzione di aver ottemperato agli obblighi di pubblicità disposti per legge in ordine agli atti relativi a concorsi e selezioni pubbliche e dunque del tutto involontaria è stata l'eventuale violazione dell'articolo 22, comma 8. del Codice”. A sostegno di ciò ha rappresentato che “ (…) negli ultimi anni si è assistito ad un ampliamento degli obblighi di pubblicità e trasparenza a carico degli Enti Pubblici con evidenti difficoltà per gli operatori di contemperare l’esigenza e l'obbligo di trasparenza con la necessità di rispettare la normativa sulla privacy, tanto che sono state emanate nel 2014 le nuove Linee Guida da parte dell'Autorità Garante, sia in ordine all'entrata in vigore del D.Lgs. 33/2013 sia in ordine ad aggiornamenti e specificazioni ulteriori rispetto alle precedenti Linee Guida, anche in riferimento alla pubblicità degli esiti di prove concorsuali e graduatorie finali (sezione 3.b “Graduatorie”), e ciò a dimostrazione delle difficoltà interpretative ed applicative che si sono sviluppate nel tempo”.

Inoltre, la parte ha posto in luce che “ (…) gli unici dati che risultano dagli atti sono i nominativi dei partecipanti (e) non anche altri dati (…) quali la data di nascita, codice fiscale, residenza e quant’altro possa ritenersi idoneo all’identificazione dei soggetti interessati (…)”.

In considerazione di tali argomentazioni, nonché anche sulla base del fatto di “(…) aver provveduto tempestivamente all'adeguamento al Codice come (…) prescritto (con provvedimento) dal Garante, dandone comunicazione (…) (a quest’ultimo) con la (…) nota protocollo 25133 del 13 luglio 2016”, il Comune ha richiesto pertanto di valutare l’eventuale “(…) esclusione, nel caso in esame, dell'elemento soggettivo e dunque di esclusione della colpa nella condotta posta in essere così come previsto dalla legge 689/1981 ai fini della archiviazione del provvedimento sanzionatorio de quo, nonché, in subordine, la riduzione della sanzione comminata al minimo consentito dalla normativa (…)”.

“(…) In via ulteriormente subordinata (…)”, il Comune ha richiesto la rateizzazione della sanzione eventualmente comminata, formulando, in chiusura, la richiesta di audizione presso il Garante;

VISTO il verbale di audizione delle parti avvenuta in data 16 gennaio 2017 con cui il Comune ha richiamato integralmente i contenuti della memoria difensiva presentata;

VISTA lo scritto difensivo datato 9 febbraio 2019, inviato al Garante ai sensi dell’art. 18, comma 4, del D.lg. 101 del 10 agosto 2018, con il quale il Comune ha rinnovato quanto rappresentato e richiesto con la sopra citata memoria difensiva, nonché nel corso della suddetta audizione;

RITENUTO che le argomentazioni addotte dal Comune non sono idonee ad accogliere integralmente le richieste formulate nelle memorie difensive e nel corso dell’audizione innanzi al Garante.

Infatti, con riferimento all’assenza dell’elemento psicologico e alla invocata buona fede, si fa presente che, secondo consolidata giurisprudenza (Cass. Civ. sez. I del 21 febbraio 1995 n. 1873; Cass. Civ. sez II del 13 marzo 2006, n. 5426), è necessario che tale buona fede o, nei termini di cui all’art. 3 della legge 689/1981, l’errore, affinché siano scusabili, si fondino su un elemento positivo, estraneo all’agente e idoneo a determinare in lui la convinzione della liceità del suo comportamento. Tale elemento positivo deve risultare non ovviabile dall’interessato con l’uso dell’ordinaria diligenza. Il Comune, in qualità di titolare del trattamento e in relazione allo svolgimento delle proprie funzioni istituzionali era tenuto, diligentemente, a conoscere le norme applicabili nella materia di cui si tratta, nonché la relativa interpretazione e quindi, principalmente, a conoscere e osservare il divieto di diffusione di dati sensibili posto dalla legge attraverso la disposizione normativa contenuta nel citato art. 22, comma 8, del Codice, nonché gli indirizzi impartiti dal Garante con il documento recante le Linee guida sopra citate e le relative interpretazioni.

Quanto all’argomentazione per la quale “ (…) gli unici dati che risultano dagli atti sono i nominativi dei partecipanti (e) non anche altri dati (…)”, si fa presente che, sebbene nell’allegato A della determinazione del Comune sopra citata (Determinazione n. 60 prot. generale n. 175/2013) siano elencati i soli nomi e cognomi degli interessati, tuttavia, nella denominazione di tale elenco, è ben visibile che il n. 1 posto a tempo indeterminato e part time di Istruttore amministrativo messo in bando per il settore “Servizi Sociali” - Area “Servizi alla persona e alla comunità” del Comune, è riservato esclusivamente ai lavoratori disabili ex legge 68/99. Analogamente, nella determinazione di approvazione della graduatoria (Determinazione n. 90 prot. generale n. 280 del 26.06.2013) si fa esplicito riferimento a tale legge relativa ai lavoratori disabili, ponendo, pertanto, in essere una diffusione di dati idonei a rivelare lo stato di salute dei soggetti coinvolti nella vicenda. Tale illiceità è stata puntualmente accertata dall’Autorità con il citato provvedimento n. 244 del 1 giugno 2016, che non risulta essere stato impugnato ai sensi dell’art. 152 del Codice;

RILEVATO che, sulla base delle considerazioni sopra richiamate, il Comune, in qualità di titolare del trattamento ai sensi dell’art. 4, comma 1, lett. f), e 28 del Codice, risulta aver commesso la violazione della disposizione di cui all’art. 22, comma 8, del Codice sanzionata dall’art. 162, comma 2-bis, del Codice medesimo, per aver effettuato un trattamento illecito di dati personali mediante la diffusione di dati idonei a rivelare lo stato di salute, come sopra specificato;

VISTO l’art. 162, comma 2-bis del Codice, che punisce le violazioni indicate nell’art. 167, tra cui la violazione relativa all’art. 22, comma 8, del medesimo Codice con la sanzione amministrativa del pagamento di una somma da euro 10.000,00 (diecimila) a euro 120.000,00 (centoventimila);

CONSIDERATO che, ai fini della determinazione dell’ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell’art. 11 della legge n. 689/1981, dell’opera svolta dall’agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

RITENUTO, quindi, in ragione dei suddetti elementi valutati nel loro complesso di dover determinare, ai sensi dell’art. 11 della legge n. 689/1981, l’ammontare della sanzione pecuniaria prevista dall’art. 162, comma 2-bis del Codice, nella misura minima di euro 10.000,00 (diecimila) per la violazione dell’art. 22, comma 8, del medesimo Codice;

RITENUTO di accogliere la richiesta del Comune di rateizzazione dell’ammontare della sanzione sopra determinata in n. 25 (venticinque) rate mensili corrispondenti all’importo di euro 400 (quattrocento) ciascuna;

VISTA la documentazione in atti;

VISTE le osservazioni dell’Ufficio formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la dott.ssa XXX;

ORDINA

al Comune di Porto Sant’Elpidio, con sede legale in Sant’Elpidio, Via Umberto I n. 485, C.F. 81003650447, di pagare la somma di euro 10.000 (diecimila) a titolo di sanzione amministrativa pecuniaria per la violazione della disposizione di cui all'articolo 22, comma 8, del Codice, sanzionata dall'articolo 162, comma 2-bis del medesimo Codice, frazionandola, in accoglimento della richiesta di rateizzazione, in n. 25 (venticinque) rate mensili dell’importo di euro 400,00 (quattrocento) ciascuna;

INGIUNGE

al medesimo Comune di pagare la somma di euro 10.000,00 (diecimila) secondo le modalità indicate in allegato, i cui versamenti frazionati avranno inizio entro l’ultimo giorno del mese successivo a quello in cui avverrà la notifica della presente ordinanza, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale o in copia autentica, quietanza dell’avvenuto versamento.

Ai sensi degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.