IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, e della prof.ssa Licia Califano e della dott.ssa Giovanna Bianchi Clerici, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che l´Ufficio, con atto n. 17172/88651 del 10 giugno 2015 (notificato in pari data), che qui deve intendersi intendersi integralmente riportato, ha contestato alla Regione autonoma Valle d´Aosta (di seguito Regione Valle d´Aosta), in persona del legale rappresentante pro-tempore, con sede legale in Aosta, piazza Deffeyes, n. 1, C.F. 80002270074, la violazione prevista dall´art. 162, comma 2-bis, del Codice in materia di protezione dei dati personali (d. lg. 30 giugno 2003, n. 196, di seguito denominato "Codice");

RILEVATO che dall´esame degli atti del procedimento sanzionatorio avviato con la contestazione di violazione amministrativa è emerso, in sintesi, quanto segue:

- è pervenuta all´Autorità una segnalazione da parte di un dipendente della Regione Valle d´Aosta, il quale ha lamentato la pubblicazione, da parte dell´Ente, della deliberazione della Giunta regionale n. 1016 del 7 giugno 2013 sul sito web istituzionale della Regione (sezione "deliberazioni"). Tale deliberazione aveva per oggetto "Mobilità per esigenze organizzative di un dipendente nell´ambito dell´organico della giunta regionale" e riportava valutazioni sulla professionalità e sul contegno del segnalante, identificato con nome e cognome, e informazioni in ordine al trasferimento del medesimo avvenuto "per accertata incompatibilità ambientale";

- all´esito dell´istruttoria dell´Ufficio, il Garante ha adottato il provvedimento n. 182 del 26 marzo 2015 (in www.gpdp.it, doc. web n. 3882453) con il quale ha accertato che la Regione Valle d´Aosta, con la pubblicazione della predetta deliberazione, ha determinato un´illecita diffusione dei dati personali del segnalante. Il Garante ha altresì vietato alla Regione Valle d´Aosta "di diffondere ulteriormente in Internet, mediante il proprio sito web istituzionale, i dati personali […] riferiti al segnalante contenuti nella delibera della Giunta regionale n. 1016 del 7 giugno 2013";

RILEVATO che l´Ufficio del Garante ha provveduto a contestare alla Regione Valle d´Aosta, con il richiamato atto n. 17172/88651 del 10 giugno 2015, la violazione della disposizione di cui all´art. 19, comma 3, sanzionata dall´art. 162, comma 2-bis, del Codice, per aver effettuato un trattamento illecito (diffusione di dati personali oltre i termini previsti dalla legge) con riguardo ai dati contenuti nella delibera della Giunta regionale n. 1016, poiché i medesimi sono rimasti consultabili sul sito istituzionale del Comune oltre l´arco temporale previsto dalla disciplina del settore, concernente la pubblicità degli atti degli enti locali sull´albo pretorio;

VISTO il rapporto relativo all´atto di contestazione di cui sopra, predisposto dall´Ufficio ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689, dal quale non risulta essere stato effettuato il pagamento in misura ridotta;

LETTI gli scritti difensivi del 7 luglio 2015, nei quali si rappresenta che:

- "nel caso di specie, la facoltà di divulgazione dei dati […] necessiti di una lettura congiunta con gli obblighi previsti dal d.lgs. 14 marzo 2013, n. 33, "Riordino della disciplina riguardante gli obblighi di pubblicità, trasparenza e diffusione di informazioni da parte delle pubbliche amministrazioni" che, dal canto suo, impone la pubblicazione degli atti concernenti l´organizzazione e l´attività delle pubbliche amministrazioni. In particolare, all´articolo 13 viene espressamente sancito che: "Le pubbliche amministrazioni pubblicano e aggiornano le informazioni e i dati concernenti la propria organizzazione, corredati dai documenti anche normativi di riferimento. […]";

- "Pare indubbio che l´atto in questione costituisca, a tutti gli effetti, un atto di organizzazione. E´ infatti noto che il trasferimento per incompatibilità ambientale sia ascrivibile al più ampio genus del trasferimento per esigenze organizzative, che, pur incidendo sul singolo rapporto di lavoro, afferisce, in via generale, all´organizzazione amministrativa complessivamente intesa, in quanto concernente l´assegnazione di risorse umane alle diverse strutture di articolazione";

- "il regolamento regionale 28 febbraio 2008, n. 2, "Nuova disciplina delle modalità di esercizio e dei casi di esclusione del diritto di accesso ai documenti amministrativi", all´articolo 13, comma 4, impone, infatti, all´Amministrazione regionale la pubblicazione di tutte le deliberazioni della Giunta regionale in un´apposita sezione del sito internet della Regione, "fatti salvi i divieti di diffusione e di divulgazione dì cui all´articolo 65, comma 5, del decreto legislativo 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali)", e ciò "al fine di garantire la più ampia trasparenza dell´attività istituzionale dell´Amministrazione regionale". Posto che la citata norma non definisce un limite temporale alla pubblicazione, l´Amministrazione regionale si è conformata a quanto previsto, in via generale, dall´articolo 8 del d.lgs. 33/2013, (Decorrenza e durata dell´obbligo di pubblicazione), che dispone, al comma 3, "I dati, le informazioni e i documenti oggetto di pubblicazione obbligatoria ai sensi della normativa vigente sono pubblicati per un periodo di 5 anni, decorrenti dal 1° gennaio dell´anno successivo a quello da cui decorre l´obbligo di pubblicazione, e comunque fino a che gli atti pubblicati producono i loro effetti, fatti salvi i diversi termini previsti dalla normativa in materia di trattamenti dei dati personali […]";

RITENUTO che le argomentazioni addotte non risultano idonee a determinare l´archiviazione del procedimento sanzionatorio avviato con la contestazione di cui sopra per le ragioni che di seguito si espongono:

- il provvedimento del Garante n. 182 del 26 marzo 2015 ha evidenziato che "nel dare riscontro alla richiesta di informazioni formulata dall´Ufficio la Regione, in qualità di titolare del trattamento (artt. 4, comma 1, lett. f) e 28 del Codice), ha dichiarato che la pubblicazione della determinazione in questione sarebbe avvenuta "in base a specifiche disposizioni di legge, concordemente a quanto previsto dal Codice" […]. In particolare, la pubblicazione troverebbe il proprio fondamento giuridico nell´art. 10, comma 1, d.lg. 22 aprile 1994, n. 320 (Norme di attuazione dello Statuto speciale della regione Valle d´Aosta), che fa riferimento alla pubblicazione "per quindici giorni consecutivi" degli atti deliberativi degli organi regionali "all´albo notiziario dell´amministrazione regionale". Il titolare del trattamento ha pertanto ritenuto di aver assolto agli obblighi di pubblicità "tramite pubblicazione sul sito web della Regione" nel rispetto anche di quanto disposto dall´art. 32, l. 18 giugno 2009, n. 69 (istitutiva dell´albo on line). Con riguardo al profilo concernente la persistente disponibilità on line dell´atto la Regione ha altresì affermato di aver osservato quanto stabilito, più di recente, dall´art. 8, comma 3, del d.lg. 14 marzo 2013, n. 33 (Riordino della disciplina riguardante gli obblighi di pubblicità, trasparenza e diffusione di informazioni da parte delle pubbliche amministrazioni)".

- con il provvedimento n. 182/2015 si rilevava come la pubblicazione dei dati del segnalante si fosse protratta per un periodo superiore a quello previsto nella disciplina di settore (quindici giorni) e come, nel caso di specie, non potesse essere invocato l´art. 8, comma 3, del d. lg. n. 33/2013, che prevede un termine di pubblicazione quinquennale, "stante la mancata previsione dell´obbligo di pubblicazione di tale tipologia di atti tra le ipotesi puntualmente elencate dal legislatore nel capo II del citato decreto o in altra specifica norma in materia di trasparenza. Queste norme – che prevedono obblighi di pubblicazione nella apposita sezione del sito istituzionale denominata "Amministrazione trasparente" di informazioni "concernenti l´organizzazione e l´attività delle pubbliche amministrazioni" per favorire forme diffuse di controllo sul perseguimento delle funzioni e sull´utilizzo delle risorse pubbliche (artt. 1, comma 1 e 2, comma 2, d.lg. n. 33/2013) − infatti, vanno mantenute distinte, anche sotto il profilo del diverso regime giuridico applicabile, dalle specifiche disposizioni di settore che regolano altri obblighi di pubblicità degli atti amministrativi per finalità diverse dalla trasparenza, come deve considerarsi l´obbligo di pubblicità all´albo notiziario. Non trova pertanto applicazione al caso di specie il regime di conoscibilità stabilito dalla normativa sulla trasparenza, ivi compresa la specifica previsione concernente l´arco temporale quinquennale di permanenza sul web";

- sebbene con le argomentazioni difensive la parte abbia rappresentato di aver proceduto alla pubblicazione della deliberazione n. 1016 del 7 giugno 2013 in base ad un diverso titolo normativo (art. 13, comma 4 del Regolamento regionale n. 2/2008 in tema di trasparenza, e non art. 10, comma 1, del d. lg. n. 320/1994), deve evidenziarsi che anche in questo caso trovano conferma le motivazioni del provvedimento n. 182/2015;

- infatti la citata norma regolamentare nulla stabilisce in ordine alla durata della pubblicazione delle deliberazioni dell´Ente, il quale ha ribadito, nel caso in argomento, l´applicabilità dell´art. 8, comma 3, del d. lg. n. 33/2013, che stabilisce un termine massimo di cinque anni;

- tuttavia, il richiamo alle disposizioni di cui al d. lg. n. 33/2013 non può limitarsi ai termini di pubblicazione ma deve tenere conto anche delle altre norme applicabili, in particolare di quelle riportate al punto n. 5 del provvedimento n. 182/2015, ove si osserva che "sebbene la disciplina in materia di trasparenza non preveda espressamente la pubblicazione obbligatoria delle delibere della Regione, resta salva la facoltà in capo alla Regione di disporre - anche al fine di favorire la "conoscenza degli atti emanati dall´Amministrazione regionale e di trasparenza della relativa attività" […] - la pubblicazione di documenti ulteriori, ad esempio tutte le deliberazioni adottate dagli organi regionali, sempre che tale pubblicazione sia effettuata per esclusive finalità di trasparenza. In tali casi di pubblicazione facoltativa per finalità di trasparenza, la Regione potrà procedere alla pubblicazione solo dopo aver provveduto "alla anonimizzazione dei dati personali eventualmente presenti" (art. 4, comma 3, del d.lgs. n. 33/2013, nonché, parte I, punto 3, Linee guida cit.). Dopo aver proceduto a tale indispensabile opera di anonimizzazione, tenendo presente le indicazioni che il Garante ha fornito nelle Linee guida (cfr., parte I, punto 3), sarà quindi possibile procedere alla pubblicazione di tutte le delibere all´interno della apposita sezione denominata "Amministrazione trasparente" (art. 9, comma 1, del d.lgs. n. 33/2013)";

- nel caso in argomento, non avendo la Regione proceduto, prima della pubblicazione, alla anonimizzazione dei dati personali presenti nella deliberazione n. 1016/2013, come prescritto dall´art. 4, comma 3, del d.lg. n. 33/2013, né limitato la pubblicazione ai quindici giorni previsti dalla disciplina di settore indicata dall´Ente in sede di istruttoria (art. 10, comma 1, del d. lg. n. 320/1994), emerge che il trattamento dei dati personali del segnalante contenuti nella citata deliberazione è stato effettuato, in ogni caso, non tenendo conto dei limiti imposti dalla vigenti disposizioni in tema di trasparenza e quindi in carenza di un idoneo presupposto normativo, come richiesto dall´art. 19, comma 3, del Codice;

- deve quindi confermarsi la responsabilità della Regione Valle d´Aosta in relazione alla violazione contestata con l´atto n. 17172/88651 del 10 giugno 2015.

RILEVATO, quindi, che la Regione Valle d´Aosta, sulla base delle considerazioni sopra richiamate, risulta aver commesso, in qualità di titolare del trattamento, ai sensi degli artt. 4, comma 1, lett. f), e 28 del Codice la violazione prevista dall´art. 162, comma 2-bis, del Codice, per aver effettuato un trattamento illecito dei dati personali del segnalante, contenuti nella deliberazione n. 1016/2013 oggetto di pubblicazione sul sito istituzionale dell´Ente, in assenza di idoneo presupposto normativo, così come richiesto dall´art. 19, comma 3, del Codice;

VISTO l´art. 162, comma 2-bis, del Codice, che punisce la violazione delle disposizioni indicate nell´art. 167, fra le quali figura l´art. 19, con la sanzione amministrativa del pagamento di una somma da diecimila a centoventimila euro;
CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge n. 689/1981, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore; in particolare, nel caso in esame si rileva che la violazione risulta connotata dal disvalore reputazionale dell´illecito trattamento commesso e dal lungo periodo di diffusione dei dati del segnalante;

RITENUTO, quindi, di dover determinare, ai sensi dell´art. 11 della legge n. 689/1981, l´ammontare della sanzione pecuniaria, in ragione dei suddetti elementi valutati nel loro complesso, nella misura di euro 20.000,00 (ventimila);

VISTA la documentazione in atti;

VISTA la legge n. 689/1981, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la prof.ssa Licia Califano;

ORDINA

alla Regione autonoma Valle d´Aosta (di seguito Regione Valle d´Aosta), in persona del legale rappresentante pro-tempore, con sede legale in Aosta, piazza Deffeyes, n. 1, C.F. 80002270074, di pagare la somma di euro 20.000,00 (ventimila) a titolo di sanzione amministrativa pecuniaria per la violazione indicate in motivazione;

INGIUNGE

al medesimo Ente di pagare la somma di euro 20.000,00 (ventimila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.