IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che il Garante per la protezione dei dati personali (si seguito Garante), con provvedimento n. 587 del 12 novembre 2015 nei confronti della Provincia di Reggio Calabria Cod. fisc.: 80000100802, con sede in Reggio Calabria, piazza Italia, ha accertato che sul sito istituzionale della suddetta Provincia erano pubblicate sia la graduatoria unica provinciale relativa a disabili e categorie protette per l´anno 2014 sia la graduatoria provinciale dei centralinisti telefonici non vedenti aggiornata al 31/12/2014, le quali, recando in chiaro i dati identificativi degli interessati ed essendo liberamente accessibili e raggiungibili attraverso i principali motori di ricerca sul web, determinavano la diffusione di dati da cui era possibile desumere lo stato di malattia o l´esistenza di patologie dei soggetti interessati (ivi compresi riferimenti a condizioni di invalidità, disabilità o handicap fisici e/o psichici, terapie in corso), rientranti nella categoria dei dati sensibili in quanto idonei a rivelare lo stato di salute degli interessati, in violazione dell´art. 22, comma 8 del d.lg. 30 giugno 2003, n. 196 recante Codice in materia di protezione dei dati personali (di seguito denominato Codice);

RILEVATO altresì che, con la nota di trasmissione dell´Unità lavoro pubblico e privato del 27 gennaio 2016, i cui esiti sono stati riscontrati con il verbale del 4 febbraio 2016, veniva accertata sia la permanenza, sul sito web della Provincia, dei dati personali oggetto del provvedimento n. 587 del 12 novembre 2015 nonostante il divieto e le prescrizioni del Garante, in violazione delle disposizioni di cui all´art. 154, comma 1, lett. c) e d) del Codice, sia il mancato riscontro della Provincia di Reggio Calabria in ordine alle misure adottate per conformarsi alle prescrizioni impartite dal Garante con il citato provvedimento n. 587 del 12 novembre 2015, in violazione dell´art. 157 del Codice;

RILEVATO inoltre che è stato accertato il mancato riscontro, entro il termine prescritto (14 dicembre 2015), in ordine alle informazioni richieste dal Garante, ai sensi dell´art. 157, con il provvedimento n. 587 del 12 novembre 2015, in violazione delle disposizioni di cui all´art. 157 del Codice;

VISTO il verbale n. 3296/101977 dell´8 febbraio 2016 con cui sono state contestate alla Provincia di Reggio Calabria, in persona del legale rappresentante pro-tempore, la violazione amministrativa prevista dall´art. 162, comma 2-bis, del Codice, in relazione all´art. 22, comma 8, riguardo la diffusione dei dati sensibili degli interessati, la violazione amministrativa prevista dall´art. 162, comma 2-ter del Codice, in relazione all´art. 154, comma 1, lett. c) e d) del Codice, riguardo l´inosservanza del provvedimento n. 587 del 12 novembre 2015 adottato dal Garante, la violazione amministrativa prevista dall´art. 164 del Codice, in relazione all´art. 157 del medesimo Codice, riguardo il mancato riscontro ad una richiesta di informazioni del Garante, informandola, per le tre violazioni contestate, della facoltà di effettuare il pagamento in misura ridotta ai sensi dell´art. 16 della legge n. 689/1981;

ESAMINATO il rapporto dell´Ufficio del Garante predisposto ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689, dal quale non risulta essere stato effettuato il pagamento in misura ridotta;

VISTI gli scritti difensivi datati 8 marzo 2016 inviati ai sensi dell´art. 18 della legge n. 689/1981, con i quali la Provincia di Reggio Calabria ha evidenziato come "(…) nella contestazione (…) e nel provvedimento ivi richiamato (provvedimento del Garante n. 587 del 12 novembre 2015) non è indicata la data di accertamento delle presunte violazioni. Tale mancanza non consente la verifica dei termini previsti dall´art. 14 della legge n. 689/1891(…)". Inoltre, ha rilevato come "(…) le graduatorie sono state pubblicate omettendo i dati sensibili degli interessati, come riconosciuto dallo stesso Garante, che contesta solo la presenza di nome e cognome dei soggetti in graduatoria", ove sul punto ha precisato come "(…) tali graduatorie sono su base territoriale e, pertanto, vista l´amplissima platea di cittadini, non vi è alcuna possibilità di individuazione del soggetto interessato. Peraltro, l´art. 8 comma 1 della legge n. 68/99 prevede che l´interessato possa iscriversi nell´apposito elenco del territorio di residenza o nell´elenco di altro servizio nel territorio dello Stato". E´ stato altresì osservato che, "(…) poiché non è stato contestato l´obbligo di pubblicazione, non si comprende come possa essere pubblicata una graduatoria senza nominativi (…). Ne consegue che la pubblicazione delle graduatorie in argomento è avvenuta nel rispetto dei principi di necessità, pertinenza e non eccedenza nonché delle disposizioni a tutela dei dati sensibili, secondo le disposizioni indicate nelle Linee guida di codesto Garante n. 243 del 15 maggio 2014". Relativamente alla violazione dell´art. 157 del Codice riguardo il mancato riscontro ad una richiesta di informazioni del Garante, ha evidenziato come "(…) l´art. 157 del Codice si riferisce all´obbligo di fornire informazioni ed esibire documenti, e non all´eventuale inosservanza di prescrizioni imposte dal Garante, già sanzionate al capo b) della contestazione";

CONSIDERATO che le argomentazioni addotte non permettono di escludere la responsabilità della Provincia di Reggio Calabria in relazione alla contestazione in argomento.

Relativamente a quanto argomentato circa l´impossibilità di "(…) verifica dei termini previsti dall´art. 14 della legge n. 689/1891(…)", si evidenzia come:

riguardo quanto contestato ai sensi dell´art. 162, comma 2-bis, del Codice, in relazione all´art. 22, comma 8, circa la diffusione dei dati sensibili degli interessati, la Provincia di Reggio Calabria non tiene conto del fatto che il provvedimento del Garante n. 587 del 12 novembre 2015, espressamente menzionato nel verbale di contestazione n. 3296/101977 dell´8 febbraio 2016, nel prevedere a pagina 2 "RILEVATA , pertanto l´illiceità del trattamento effettuato dalla Provincia di Reggio Calabria in relazione all´avvenuta diffusione di dati idonei a rivelare lo stato di salute degli interessati (art. 22, comma 8, del Codice)", ha puntualmente accertato, ai sensi dell´art. 13 della legge n. 689/1981, la violazione in argomento, consentendo quindi ogni valutazione in ordine al rispetto del termine di cui all´art. 14 della legge n. 689/1981;

riguardo quanto contestato ai sensi dell´art. 162, comma 2-ter del Codice, in relazione all´art. 154, comma 1, lett. c) e d) del Codice, circa l´inosservanza del provvedimento n. 587 del 12 novembre 2015 adottato dal Garante, la citata Provincia non si avvede che il verbale di contestazione che ci occupa, nel prevedere a pagina 2: "VISTA la nota di trasmissione dell´Unità lavoro pubblico e privato del 27 gennaio 2016, in cui veniva evidenziato il mancato riscontro del titolare del trattamento in ordine alle misure adottate per conformarsi alle prescrizioni del Garante, nonché la permanenza sul sito web della Provincia dei dati personali oggetto del provvedimento, nonostante il divieto adottato dal Garante", forniva il dovuto riscontro in ordine all´atto con il quale, ai sensi dell´art. 13 della legge n. 689/1981, veniva accertata la violazione contestata, consentendo, pertanto, ogni controllo circa il rispetto del termine di cui all´art. 14 della legge n. 689/1981;

riguardo quanto contestato ai sensi dell´art. 164 del Codice, in relazione all´art. 157 del Codice, circa il mancato riscontro ad una richiesta di informazioni del Garante, la citata Provincia, anche in questo caso, non si avvede che il verbale di contestazione che ci occupa, nel prevedere a pagina 2: "CONSTATATO che il citato provvedimento è stato notificato alla Provincia in data 24 novembre 2015 tramite posta elettronica certificata, il cui avviso di avvenuta consegna è agli atti del fascicolo; RILEVATO, quindi, che il termine di venti giorni per l´adozione delle misure prescritte e per il conseguente riscontro al Garante è spirato il 14 dicembre 2015", fornisce tutte le indicazioni utili in ordine all´individuazione del momento (14 dicembre 2015) nel quale la violazione in argomento deve essere considerata accertata ai sensi dell´art. 13 della legge n. 689/1981, così consentendo, ogni controllo circa il rispetto del termine di cui all´art. 14 della legge n. 689/1981.

Con riferimento a quanto dedotto in relazione alla violazione dell´art. 157 del Codice se ne evidenzia l´inconferenza, atteso che, anche in questa circostanza, la Provincia non tiene conto di quanto indicato al punto 3 del dispositivo del provvedimento dell´Autorità n. 587 del 12 novembre 2015, nel quale il Garante oltra a disporre "chiede, ai sensi dell´art. 157 del Codice, di dare comunicazione al Garante, entro venti giorni dalla data di ricezione del presente provvedimento, delle misure adottate per conformarsi alle prescrizioni impartite provvedimento", indica esplicitamente le conseguenze del mancato riscontro alla richiesta formulata "Il mancato riscontro alla presente richiesta è punito con la sanzione amministrativa di cui all´art. 164 del Codice".

Relativamente alle ulteriori argomentazioni, si evidenzia come non forniscano alcun elemento utile a qualificare una causa di giustificazione in ordine a quanto contestato, atteso che le osservazioni formulate nella memoria difensiva non tengono conto di quanto rappresentato nel provvedimento del Garante n. 587 del 12 novembre 2015 che, nel fornire una chiara interpretazione applicativa delle norme di settore (incluse la Legge 12 marzo 1999 n. 68, recante Norme per il diritto al lavoro dei disabili e le Linee guida in materia di trattamento dei dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati, citate nella memoria difensiva), ne esplicita chiaramente le conseguenze a pagina 2 del citato provvedimento del Garante n. 587 del 12 novembre 2015 nel "CONSIDERATO che i soggetti pubblici, nei casi in cui diffondono dati personali sui propri siti istituzionali per finalità di trasparenza, sono tenuti a rispettare il divieto di pubblicazione di qualsiasi informazione da cui si possa desumere, anche indirettamente, lo stato di salute degli interessati (art. 22, comma 8, del Codice; art. 4 d.lg. n. 33/2013), e che tale divieto sussiste anche laddove la diffusione avvenga in ottemperanza a specifiche disposizioni di settore, come evidenziato nelle citate Linee guida";

In conclusione, quanto prodotto dalla Provincia di Reggio Calabria, non consente di qualificare alcuno degli elementi costitutivi della disciplina sull´errore scusabile comunemente definibile come buona fede, di cui all´art. 3 della legge n. 689/1981, anche in base a quanto asserito dalla giurisprudenza (Cass. Civ. sez. I del 15 maggio 2006 n. 11012; Cass. Civ. sez II del 13 marzo 2006, n. 5426);

RILEVATO, pertanto, che la Provincia di Reggio Calabria: a) ha pubblicato sul proprio sito istituzionale sia la graduatoria unica provinciale relativa a disabili e categorie protette per l´anno 2014 sia la graduatoria provinciale dei centralinisti telefonici non vedenti aggiornata al 31/12/2014, determinando la diffusione di dati da cui era possibile desumere lo stato di malattia o l´esistenza di patologie dei soggetti interessati, rientranti nella categoria dei dati sensibili in quanto idonei a rivelare lo stato di salute degli interessati, in violazione dell´art. 22, comma 8 del Codice; b) non ha ottemperato al divieto adottato dal Garante con il provvedimento n. 587 del 12 novembre 2015 e non ha adempiuto alle misure adottate per conformarsi alle prescrizioni impartite dal Garante con il citato provvedimento, in violazione delle disposizioni di cui all´art. 154, comma 1, lett. c) e d) del Codice; c) non ha fornito riscontro, entro il termine prescritto (14 dicembre 2015), in ordine alle informazioni richieste dal Garante, ai sensi dell´art. 157, con il già citato provvedimento n. 587 del 12 novembre 2015, in violazione delle disposizioni di cui all´art. 157 del Codice;

VISTO l´art. 162, comma 2-bis, del Codice, che punisce la violazione delle disposizioni indicate nell´art. 167 del Codice, tra le quali quella di cui all´art. 22, comma 8, del medesimo Codice, con la sanzione amministrativa del pagamento di una somma da diecimila euro a centoventimila euro;

VISTO l´art. 162, comma 2-ter, del Codice, che stabilisce che in caso di inosservanza dei provvedimenti di prescrizione di misure necessarie o di divieto di cui, rispettivamente, all´art. 154, comma 1, lett. c) e d), è altresì applicata in sede amministrativa, in ogni caso, la sanzione del pagamento di una somma da trentamila euro a centottantamila euro;

VISTO l´art. 164 del Codice che punisce la violazione delle disposizioni di cui all´art. 157 del medesimo Codice con la sanzione amministrativa del pagamento di una somma da diecimila euro fino a sessantamila euro;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore e che pertanto l´ammontare delle tre sanzioni pecuniarie: con riferimento alla violazione sanzionata dall´art. 162-bis relativa al rilievo di cui al punto a) deve essere quantificato nella misura di euro 10.000,00 (diecimila); con riferimento alla violazione sanzionata dall´art. 162, comma 2-ter relativa al rilievo di cui al punto b) deve essere quantificato nella misura di euro 40.000,00 (quarantamila); con riferimento alla violazione sanzionata dall´art. 164 relativa al rilievo di cui al punto c) deve essere quantificato nella misura di euro 10.000,00 (diecimila), per un importo complessivo pari a euro 60.000,00 (sessantamila);

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTA la documentazione in atti;

VISTE le osservazioni dell´Ufficio, formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

RELATORE la prof.ssa Licia Califano Califano;

ORDINA

alla Provincia di Reggio Calabria cod. fisc.: 80000100802, con sede in Reggio Calabria, piazza Italia, in persona del legale rappresentante pro-tempore, di pagare la somma di euro 60.000,00 (sessantamila) a titolo di sanzione amministrativa pecuniaria per le tre violazioni di cui agli artt. dell´art. 162, comma 2-bis; 162, comma 2-ter e 164 del Codice indicate in motivazione;

INGIUNGE

al medesimo soggetto di pagare la somma di euro 60.000,00 (sessantamila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.