Prescrizioni del Garante per la pubblicazione di deliberazioni contenenti dati personali sull'albo pretorio online di una Regione - 26 marzo 2015 [3882453]

Registro dei provvedimenti
n. 182 del 26 marzo 2015

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del dott. XX, presidente, della dott.ssa XX, vicepresidente, della dott.ssa XX e della prof.ssa XX, componenti, e del dott. XX, segretario generale;

ESAMINATA la segnalazione del 27 agosto 2013 di XX;

VISTO il d.lg. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito "Codice");

VISTE le indicazioni fornite dal Garante con il Provvedimento n. 243 del 15 maggio 2014, recante Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati (in www.garanteprivacy.it, doc. web n. 3134436);

VISTE le Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico del 14 giugno 2007 (pubblicate in G.U. 13 luglio 2007, n. 161, doc. web n. 1417809);

VISTE le osservazioni formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;

RELATORE la prof.ssa XX;

PREMESSO

1. XX, dipendente della Regione XX, attualmente funzionario in servizio presso l'Assessorato Sanità e politiche sociali, ha segnalato la persistente pubblicazione di dati personali a sé riferiti sul sito web istituzionale della Regione (in particolare nella sezione denominata "deliberazioni") contenuti nella deliberazione della Giunta regionale n. 1016 del 7 giugno 2013, avente ad oggetto "Mobilità per esigenze organizzative di un dipendente nell'ambito dell'organico della giunta regionale". L'atto pubblicato riporta "valutazioni sulla professionalità" e sul contegno dell'interessato, peraltro espressamente identificato (cfr. segnalazione del 27 agosto 2013 e allegato n. 1).

In particolare, la deliberazione − adottata a seguito del procedimento per l'accertamento dell'incompatibilità ambientale dell'interessato (ai sensi dell'art. 43 L. Regionale n. 22/2010 e della delibera della Giunta regionale n. 2426/2012 − dà conto di "tensioni e rapporti conflittuali che incidono negativamente […] sull'organizzazione e sulla funzionalità complessiva degli uffici […] sul prestigio e sul decoro del Dipartimento […]" e delle "difficoltà di funzionamento degli uffici in relazione alla presenza del dipendente sig. XX" disponendone infine il trasferimento "per accertata incompatibilità ambientale" (cfr. pp. 3 e 4, delibera n. 1016 del 7 giugno 2013, in atti).

2.1. Nel dare riscontro alla richiesta di informazioni formulata dall'Ufficio la Regione, in qualità di titolare del trattamento (artt. 4, comma 1, lett. f) e 28 del Codice), ha dichiarato che la pubblicazione della determinazione in questione sarebbe avvenuta "in base a specifiche disposizioni di legge, concordemente a quanto previsto dal Codice" (cfr. nota del 2 ottobre 2013, in atti). In particolare, la pubblicazione troverebbe il proprio fondamento giuridico nell'art. 10, comma 1, d.lg. 22 aprile 1994, n. 320 (Norme di attuazione dello Statuto speciale della regione XX), che fa riferimento alla pubblicazione "per quindici giorni consecutivi" degli atti deliberativi degli organi regionali "all'albo notiziario dell'amministrazione regionale". Il titolare del trattamento ha pertanto ritenuto di aver assolto agli obblighi di pubblicità "tramite pubblicazione sul sito web della Regione" nel rispetto anche di quanto disposto dall'art. 32, l. 18 giugno 2009, n. 69 (istitutiva dell'albo on line).

Con riguardo al profilo concernente la persistente disponibilità on line dell'atto la Regione ha altresì affermato di aver osservato quanto stabilito, più di recente, dall'art. 8, comma 3, del d.lg. 14 marzo 2013, n. 33 (Riordino della disciplina riguardante gli obblighi di pubblicità, trasparenza e diffusione di informazioni da parte delle pubbliche amministrazioni). (cfr. nota del 2 ottobre 2013, cit.)

2.2. Nelle proprie controdeduzioni l'interessato, oltre a confermare la circostanza della persistente pubblicazione sul sito web della Regione del testo integrale della delibera (che è stata peraltro oggetto di impugnativa innanzi al giudice amministrativo), ha contestato "l'allungamento ad opera dell'art. 8, comma 3 [del c.d. decreto trasparenza] dei termini tradizionalmente previsti per la pubblicazione […] all'albo" (cfr. note 2 dicembre 2013 e 11 novembre 2014, in atti).

3.1. La diffusione di dati personali (art. 4, comma 1, lett. b) ed m) del Codice) −ancorché non "sensibili" né "giudiziari" (art. 4, comma 1, lett. d) ed e) del Codice)− può essere lecitamente effettuata da parte di un soggetto pubblico unicamente quando tale operazione sia prevista da una norma di legge o di regolamento (artt. 11, comma 1, lett. a) e 19, comma 3, del Codice) e nel rispetto del principio di pertinenza e non eccedenza (art. 11, comma 1, lett. d) ed e) del Codice).

3.2. Nel caso di specie l'accertata reperibilità di dati personali riferiti all'interessato sul sito istituzionale della Regione nella sezione "deliberazioni" oltre il termine di 15 giorni previsti dalla disciplina di settore, determina per il periodo eccedente una diffusione illecita in quanto effettuata in assenza di idoneo presupposto normativo (artt. 11, comma 1, lett. a) e 19, comma 3, del Codice, nonché Provv.ti 23 febbraio 2012, n. 73, doc. web n. 1876679 e 6 dicembre 2012, n. 384, doc. web n. 2223278; parte II, punti 1 e 3.a, Linee guida cit.).

La richiamata disciplina di settore, infatti, fissa in "quindici giorni consecutivi, salvo il più breve termine stabilito nell'atto stesso" il termine massimo di pubblicazione delle delibere regionali al c.d. albo notiziario (cfr. art. 10, comma 1, d.lg. 22 aprile 1994, n. 320, in analogia a quanto stabilito con riguardo all´albo pretorio degli enti locali, art. 124, d.lg. 18 agosto 2000, n. 267 e art. 32, l. 18 giugno 2009, n. 69).

3.3. Non può peraltro essere invocato l'art. 8, comma 3, del d.lg. 33/2013 stante la mancata previsione dell'obbligo di pubblicazione di tale tipologia di atti tra le ipotesi puntualmente elencate dal legislatore nel capo II del citato decreto o in altra specifica norma in materia di trasparenza. Queste norme – che prevedono obblighi di pubblicazione nella apposita sezione del sito istituzionale denominata "Amministrazione trasparente" di informazioni "concernenti l'organizzazione e l'attività delle pubbliche amministrazioni" per favorire forme diffuse di controllo sul perseguimento delle funzioni e sull'utilizzo delle risorse pubbliche (artt. 1, comma 1 e 2, comma 2, d.lg. n. 33/2013) − infatti, vanno mantenute distinte, anche sotto il profilo del diverso regime giuridico applicabile, dalle specifiche disposizioni di settore che regolano altri obblighi di pubblicità degli atti amministrativi per finalità diverse dalla trasparenza, come deve considerarsi l'obbligo di pubblicità all'albo notiziario.

Non trova pertanto applicazione al caso di specie il regime di conoscibilità stabilito dalla normativa sulla trasparenza, ivi compresa la specifica previsione concernente l'arco temporale quinquennale di permanenza sul web (cfr. introduzione, parte I, punto I e parte II, Linee guida cit.).

3.4. Inoltre, l'adempimento ad un obbligo di pubblicazione online di informazioni e documenti che comporti una diffusione di dati personali deve avvenire contemperando le esigenze di pubblicità con i diritti e le libertà fondamentali, nonché la dignità dell'interessato (art. 2 del Codice). Tanto premesso, si ritiene che la pubblicazione della delibera riportante il nominativo del segnalante, le valutazioni in merito all'operato nell'esecuzione della propria prestazione lavorativa e le specifiche ragioni poste a fondamento del trasferimento ad altro ufficio, non sia conforme al principio di pertinenza e non eccedenza (art. 11, comma 1, lett. d), del Codice; Linee guida cit.; in tal senso v. Provv. 1° agosto 2013, doc. web n. 2578588, con riguardo alla pubblicazione sul sito web di un'Azienda per i servizi sanitari di un provvedimento di recesso da un contratto individuale di lavoro recante valutazioni negative sull'operato del dipendente e Provv. 13 marzo 2014, doc web n. 3112708, con riguardo alla pubblicazione di delibere che riportavano anche giudizi sull'operato di un dipendente comunale; nella giurisprudenza di legittimità, in senso analogo, cfr. Cass., 20 luglio 2012, n. 12726, che ha confermato il Provv. 9 dicembre 2003, doc. web n. 1054649).

4. Alla luce delle considerazioni svolte, deve pertanto essere vietato alla Regione XX ai sensi degli artt. 143, comma 1, lett. c), 144 e 154, comma 1, lett. d) del Codice, di diffondere ulteriormente in Internet, tramite il sito web istituzionale, i dati personali riferiti al segnalante nella delibera della Giunta regionale n. 1016 del 7 giugno 2013. Si ricorda, al riguardo, che l'inosservanza del provvedimento di divieto del Garante è punita ai sensi dell'art. 170 del Codice ed è altresì applicata in sede amministrativa, in ogni caso, la sanzione di cui all'art. 162, comma 2-ter, del Codice.

Si prescrive, inoltre, ai sensi degli artt. 143, comma 1, lett. b), e 154, comma 1, lett. c), del Codice, di conformare la pubblicazione di atti e documenti in Internet alle disposizioni contenute nel Codice in materia di protezione dei dati personali tenendo presente le indicazioni contenute nelle menzionate Linee guida (cfr., parte II) e rispettando, in particolare, il principio in base al quale la diffusione di dati personali è lecita quando prevista da una norma di legge o di regolamento (artt. 11, comma 1, lett. a) e 19, comma 3, del Codice).

Si ricorda, al riguardo, che l'inosservanza del provvedimento del Garante di prescrizione di misure necessarie determina l'applicazione in sede amministrativa, in ogni caso, della sanzione di cui all´art. 162, comma 2-ter, del Codice.

5. Si osserva, infine, che, sebbene la disciplina in materia di trasparenza non preveda espressamente la pubblicazione obbligatoria delle delibere della Regione, resta salva la facoltà in capo alla Regione di disporre - anche al fine di favorire la "conoscenza degli atti emanati dall'Amministrazione regionale e di trasparenza della relativa attività" (cfr. documentazione in atti) - la pubblicazione di documenti ulteriori, ad esempio tutte le deliberazioni adottate dagli organi regionali, sempre che tale pubblicazione sia effettuata per esclusive finalità di trasparenza. In tali casi di pubblicazione facoltativa per finalità di trasparenza, la Regione potrà procedere alla pubblicazione solo dopo aver provveduto "alla anonimizzazione dei dati personali eventualmente presenti" (art. 4, comma 3, del d.lgs. n. 33/2013, nonché, parte I, punto 3, Linee guida cit.).

Dopo aver proceduto a tale indispensabile opera di anonimizzazione, tenendo presente le indicazioni che il Garante ha fornito nelle Linee guida (cfr., parte I, punto 3), sarà quindi possibile procedere alla pubblicazione di tutte le delibere all'interno della apposita sezione denominata "Amministrazione trasparente" (art. 9, comma 1, del d.lgs. n. 33/2013).

6. L'Autorità si riserva di valutare, con separato procedimento, gli estremi per la contestazione della violazione amministrativa prevista dall'art. 162, comma 2-bis, del Codice.

TUTTO CIÒ PREMESSO IL GARANTE

nei confronti della Regione XX, ritenuta illecita per violazione degli artt. 11, comma 1, lett. a) e d), nonché 19, comma 3 del Codice, nei termini indicati in motivazione, la diffusione dei dati personali riferiti al segnalante,

1. vieta, ai sensi degli artt. 143, comma 1, lett. c), 144 e 154, comma 1, lett. d), del Codice, di diffondere ulteriormente in Internet, mediante il proprio sito web istituzionale, i dati personali oggetto di segnalazione riferiti al segnalante contenuti nella delibera della Giunta regionale n. 1016 del 7 giugno 2013;

2. prescrive, ai sensi degli artt. 143, comma 1, lett. b), e 154, comma 1, lett. c), del Codice, di conformare la pubblicazione di atti e documenti in Internet alle disposizioni contenute nel Codice in materia di protezione dei dati personali tenendo presente le indicazioni contenute nelle Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati (cfr., parte II), rispettando, in particolare, il principio in base al quale la diffusione di dati personali è lecita quando prevista da una norma di legge o di regolamento (artt. 11, comma 1, lett. a) e 19, comma 3, del Codice);

3. chiede, ai sensi dell'art. 157 del Codice, di dare comunicazione al Garante, entro centottanta giorni dalla data di ricezione del presente provvedimento, delle misure adottate per conformarsi alle prescrizioni impartite con il presente provvedimento. Il mancato riscontro alla presente richiesta è punito con la sanzione amministrativa di cui all'art. 164 del Codice.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all'estero.

Fonte: Garante per la protezione dei dati personali