IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno perso parte il dott. Antonello Soro, presidente, la dott.ssa Giovanna Bianchi Clerici e la prof.ssa Licia Califano, componenti, e il dott. Giuseppe Busia, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione del n. 98 del 4/4/2019, pubblicato in G.U. n. 106 dell’8/5/2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal Segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore il dott. Antonello Soro;

PREMESSO

1. Il reclamo.

Con reclamo del XX, presentato ai sensi dell’art. 77 del Regolamento, la sig.ra XX, dipendente del Comune di Manduria, ha lamentato la comunicazione di propri dati personali, attraverso l’invio di "una nota stampa", da parte della Commissione Straordinaria del Comune, a “due testate giornalistiche locali e a due di rilievo regionale”, nella quale la reclamante veniva menzionata "con riferimento all’attivazione di una procedura stragiudiziale […] per il riconoscimento di mansioni superiori". In particolare, in tale nota si afferma che la reclamante "tramite i propri legali, ha richiesto [all’] Amministrazione Straordinaria il pagamento […] della somma di circa […] euro per aver svolto "funzioni dirigenziali", sulla base dei decreti a firma dell’ex Sindaco […]".

2. L’attività istruttoria.

Con nota del XX (prot. n. XX), il Comune, dando riscontro alla richiesta d’informazioni del Garante (prot. n. XX dell’XX), ha dichiarato che:

- in data XX il giornale "La voce di Manduria” aveva pubblicato un articolo, firmato da un ex assessore comunale, nel quale si contestava la gestione del personale da parte dell’amministrazione straordinaria, che avrebbe indotto alcuni dipendenti, tra cui la reclamante, a chiedere il trasferimento presso altri enti;

- la Commissione Straordinaria del Comune, al fine di tutelare la propria immagine "e al contempo per dare attuazione ai principi di trasparenza”, aveva ritenuto di rispondere a tali affermazioni, inviando, nel mese di XX, una nota "al Direttore di "La Voce di Manduria”, al Corrispondente del "Quotidiano di Taranto” e della "Gazzetta del Mezzogiorno”, e al Direttore di RTM e di Ciacksocial””;

- la nota "è stata trasmessa […] esercitando un legittimo diritto di critica, per tutelare l’immagine del Comune di Manduria e l’attività posta in essere dalla Commissione Straordinaria […] e "meglio delineare quanto stava accadendo nel Comune”;

- il trattamento dei dati personali relativi alla reclamante, riportati nella nota, "è stato ritenuto coerente con i limiti della pertinenza e minimizzazione dei dati oggetto di trattamento (art. 5, comma 1, lett. c) del Regolamento)”, poiché "il dato personale, contenuto nel cognome, è associato ad un dato economico che rappresenta l’emolumento richiesto dal funzionario per ritenuta attività dirigenziale svolta prima della nomina della […] Commissione”;

- "tale dato rientrerebbe in ogni caso tra le informazioni che, secondo quanto disposto dall’art. 14 comma 1-ter del D.Lgs 33/2013, andrebbe reso oggetto di pubblicazione”.

Sulla base degli elementi acquisiti, anche attraverso la documentazione inviata e alla luce dei fatti emersi nel corso dell’attività istruttoria, l’Ufficio ha notificato al Comune (nota prot. n. XX del XX), in qualità di titolare del trattamento, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, avente ad oggetto le presunte violazioni degli 2-ter, commi 1, 2 e 3, del Codice e dell’art. 6, par. 1, lett. c) ed e), par. 2 e par. 3, lett. b), del Regolamento, invitando il Comune a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, dalla l. n. 689 del 24 novembre 1981).

Il Comune ha fatto pervenire le proprie memorie difensive con nota prot. n. XX del XX, rappresentando, in particolare, che:

- in data XX, la testata "La Voce di Manduria" aveva pubblicato un articolo, “nel quale un ex amministratore dell’Ente faceva esplicito riferimento alla circostanza che la reclamante (ivi indicata con nome e cognome) avesse formulato richiesta di trasferimento ad altro Ente, a causa di non meglio precisate e documentate problematiche amministrative interne";

- a seguito della pubblicazione di tale articolo, “veniva diramato il comunicato stampa, da cui origina il reclamo […] nel dichiarato ed esclusivo intento di tutelare l’immagine del Comune attraverso la rappresentazione dei fatti per come realmente documentati agli atti dell'Ente”;

- “in tale contesto, il richiamo ai dati personali” della reclamante, “già presenti nell’articolo a firma dell’ex amministratore, è avvenuto da parte della […] Commissione, in conformità all’art. 6 par. 1, lett. c) e e) del Regolamento, “per l’esecuzione di un compito connesso all’esercizio di pubblici poteri", ossia […] a tutela dell’immagine dell'Ente, […] messa in discussione dagli articoli di stampa a più riprese pubblicati dal foglietto cartaceo e on-line “La Voce di Manduria””;

- “la necessità di evitare la veicolazione di informazioni distorte a mezzo stampa a danno dell’Ente ha indotto [la] Commissione, nella doverosa e difficile operazione di bilanciamento tra le esigenze di tutela della sfera di riservatezza della dipendente e quelle di trasparenza, a ritenere che queste ultime potessero avere legittimamente la prevalenza, e ciò nella considerazione che la pubblicazione riguardava dati, attinenti alla sfera di rilevanza pubblica strettamente connessa all’attività svolta dalla reclamante, che rientrano in ogni caso tra quelli soggetti all’obbligo di pubblicazione in base all’art. 15 del D.Lgs. n. 33/2013”;

- “A tale interpretazione [la] Commissione si è determinata anche sulla base dell’applicazione concreta del dato ermeneutico fornito dall’ Autorità Garante […] con la Deliberazione n. 243 del 15 maggio 2014, recante “Linee Guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati", in particolare dalla lettura combinata del punto 9.c, […] e la Parte Seconda”, sul presupposto che, ad avviso della Commissione, “il dato economico, XX, rientra nel novero dei dati conoscibili da terzi in ragione dell’obbligo di pubblicazione in trasparenza dei compensi percepiti dai titolari di incarichi dirigenziali pubblici sancito dall’art. 15 del D.Lgs. n. 33/2013”;

- “la condotta tenuta dalla Commissione Straordinaria è stata [pertanto] improntata ad assoluta buona fede”;

- “con nota […] prot. n. XX dell’XX”, la Commissione ha “richiesto alle testate interessate (“La Voce di Manduria" on-line e “RTMweb”) la rimozione dal web dell’articolo di stampa oggetto di reclamo, al fine di evitare potenziali effetti negativi sulla sfera giuridica dell’interessata, siano essi qualificabili o meno in termini di violazione delle norme in materia di protezione di dati personali”;

- tale rimozione è “avvenuta nella stessa giornata dell’XX”;

- “la violazione contestata non riguarda dati “particolari”, ossia dati sensibili e/o giudiziari, bensì dati personali attinenti alla sfera di rilevanza pubblica connessa all’attività svolta dalla reclamante nel Comune di Manduria ed alle implicazioni di ordine economico, conseguenti alla qualificazione giuridica delle funzioni a questa attribuite in un determinato arco temporale”.

3. Esito dell’attività istruttoria.

La disciplina di protezione dei dati personali prevede che i soggetti pubblici, anche qualora operino nello svolgimento dei propri compiti di datori di lavoro, possono trattare i dati personali (art. 4, n. 1, del Regolamento) dei dipendenti, se il trattamento è necessario “per adempiere un obbligo legale al quale è soggetto il titolare del trattamento” (si pensi a specifici obblighi o compiti previsti dalla legge per finalità di gestione del rapporto di lavoro; cfr. art. 88 del Regolamento) oppure “per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (art. 6, par. 1, lett. c) ed e) del Regolamento).

Più in generale la normativa europea prevede che “gli Stati membri possono mantenere o introdurre disposizioni più specifiche per adeguare l’applicazione delle norme del presente regolamento con riguardo al trattamento, in conformità del paragrafo 1, lettere c) ed e), determinando con maggiore precisione requisiti specifici per il trattamento e altre misure atte a garantire un trattamento lecito e corretto […]” (art. 6, par. 2, del Regolamento). Al riguardo, si evidenzia che l’operazione di comunicazione di dati personali, da parte di soggetti pubblici, è ammessa solo quando prevista da una norma di legge o, nei casi previsti dalla legge, di regolamento (art. 2-ter, commi 1 e 3, del Codice).

Il titolare del trattamento è tenuto, inoltre, a rispettare i principi in materia di protezione dei dati, fra i quali quello di “liceità, correttezza e trasparenza” nonché di “minimizzazione”, in base ai quali i dati personali devono essere “trattati in modo lecito, corretto e trasparente nei confronti dell’interessato” e devono essere “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati” (art. 5, par. 1, lett. a) e c), del Regolamento).

In tale quadro, non può essere accolto quanto sostenuto dall’Ente con riferimento alla circostanza che la comunicazione dei dati personali della reclamante alle testate giornalistiche sarebbe stata necessaria per “per l’esecuzione di un compito connesso all’esercizio di pubblici poteri”, né tale comunicazione è prevista dal “diritto dell’Unione” o “dello Stato membro” (art. 6 par. 3, del Regolamento).

Risulta, inoltre, inconferente l’affermazione che i dati personali della reclamante rientrassero “in ogni caso tra quelli soggetti all’obbligo di pubblicazione in base all’art. 15 del D.Lgs. n. 33/2013”, così come il conseguente richiamo alle “Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati” (provv. n. 243 del 15 maggio 2014, doc. web n. 3134436). Ciò, in primo luogo, in quanto il Comune ha posto in essere una comunicazione di dati personali a terzi, ovvero le testate giornalistiche, e non già una diffusione di dati mediante pubblicazione di una determina all’albo pretorio on line, come richiesto dalla disciplina sulla trasparenza dell’attività amministrativa degli enti pubblici. Né la comunicazione di dati personali in questione è stata effettuata per finalità di trasparenza dell’azione amministrativa, bensì, come dichiarato dall’Ente, per “tutelare l’immagine del Comune”. In ogni caso, si rileva che l’art. 15 del d.lgs. 14 marzo 2013, n. 33 disciplina gli obblighi di pubblicazione concernenti i titolari di incarichi di collaborazione o consulenza, non trovando, invece, applicazione con riferimento al personale dipendente. Parimenti non avrebbe potuto trovare applicazione l’art. 14 del medesimo decreto, pure invocato dal Comune, atteso che, al tempo in cui si sono verificati i fatti oggetto di reclamo, la reclamante non era formalmente inquadrata nel ruolo dirigenziale.

Per tali ragioni si ritiene che la comunicazione di dati personali della dipendente effettuata dall’amministrazione comunale alla stampa sia avvenuta in assenza di idoneo presupposto di liceità (art. 6, par. 1, lett. c) ed e), par. 2 e par. 3, lett. b), del Regolamento).

Come evidenziato dall’Autorità, già con riguardo al quadro normativo previgente, nelle “Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico" del 14 giugno 2007 (doc. web n. 1417809), “specifiche disposizioni legislative o regolamentari individuano i casi in cui l’amministrazione pubblica è legittimata a comunicare informazioni che riguardano i lavoratori a terzi, soggetti pubblici o privati”, mentre “quando manca una tale previsione specifica non possono essere […] comunicati dati personali del dipendente […] a terzi […]” (par. 5).

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, tenuto conto delle dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria Ë� della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice Ë� si rappresenta che gli elementi forniti dal titolare del trattamento nelle memorie difensive, seppure meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Si rappresenta, altresì, che la violazione dei dati personali oggetto dell’istruttoria, da parte del Comune, è avvenuta nella piena vigenza delle disposizioni del Regolamento e del Codice, nel testo antecedente alle modifiche apportate dal d.lgs. n. 101/2018, e che, pertanto, al fine della determinazione del quadro normativo applicabile sotto il profilo temporale (art. 1, comma 2, della l. 24 novembre 1981, n. 689), queste costituiscono le disposizioni vigenti al momento della commessa violazione, che nel caso di specie è avvenuta nel mese di luglio 2018, in cui il Regolamento era pienamente efficace.

Pertanto, si confermano le valutazioni preliminari dell’Ufficio e si rileva l’illiceità del trattamento di dati personali effettuato dal Comune di Manduria, per aver comunicato a terzi dati personali relativi alla reclamante, in assenza di idonei presupposti normativi, in violazione dell’art. 6, par. 1, lett. c) ed e), par. 2 e par. 3, lett. b), del Regolamento e dell’art. 19, comma 3, del Codice (ora trasfuso nell’art. 2-ter del Codice, con il d.lgs. n. 101/2018).

La violazione delle predette disposizioni rende applicabile, ai sensi dell’art. 58, par. 2, lett. i), del Regolamento, la sanzione amministrativa prevista dall’art. 83, par. 5, del Regolamento medesimo, come richiamato anche dall’art. 166, comma 2, del Codice. In tale quadro, considerato che la condotta ha cessato di produrre i suoi effetti, non ricorrono i presupposti per l’adozione di ulteriori provvedimenti correttivi di cui all’art. 58, par. 2 del Regolamento

5. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

Al riguardo, tenuto conto dell’art. 83, par. 3, del Regolamento, nel caso di specie – considerando anche il richiamo contenuto nell’art. 166, comma 2, del Codice – la violazione delle disposizioni citate è soggetta all’applicazione della stessa sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento.

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento. A tal fine è stato considerato che i dati personali oggetto di comunicazione non rientrano tra le categorie particolari di dati personali e attengono comunque a un solo interessato, che il titolare del trattamento si è attivato per chiedere alle testate giornalistiche, a cui era stata inviata la nota contenente i dati personali della reclamante, la rimozione degli articoli di stampa che riportavano tali dati e che il Comune ha prodotto una dichiarazione, sottoscritta dalla reclamante in data 6 giugno 2019, con la quale la stessa prende atto delle iniziative intraprese dall’amministrazione per attenuare il danno subito. Non risultano, inoltre, precedenti violazioni pertinenti commesse dal titolare del trattamento o precedenti provvedimenti di cui all’art. 58 del Regolamento.

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria tenendo anche conto della fase di prima applicazione delle disposizioni sanzionatorie nella misura di euro 2.000,00 (duemila) per la violazione dell’art. 6, par. 1, lett. c) ed e), par. 2 e par. 3, lett. b), del Regolamento.

Tenuto conto della circostanza per cui i dati personali dell’interessati sono stati ulteriormente diffusi dalle testate giornalistiche, si ritiene altresì che debba applicarsi la sanzione accessoria della pubblicazione sul sito del Garante del presente provvedimento, prevista dall’art. 166, comma 7 del Codice e art. 16 del Regolamento del Garante n. 1/2019.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

TUTTO CIÒ PREMESSO IL GARANTE

ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, rileva l’illiceità del trattamento effettuato dal Comune di Manduria, per violazione degli art. 6, par. 1, lett. c) ed e), par. 2 e par. 3, lett. b), del Regolamento, nei termini di cui in motivazione;

ORDINA

al Comune di Manduria, in persona del legale rappresentante pro-tempore, con sede legale in Piazza Garibaldi, 21, 74024 Manduria (TA), C.F. 80009070733, ai sensi degli artt. 58, par. 2, lett. i), e 83, par. 5, del Regolamento e 166, comma 2, del Codice, di pagare la somma di euro 2.000,00 (duemila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione; si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata;

INGIUNGE

al medesimo Comune di pagare la somma di euro 2.000,00 (duemila), in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, secondo le modalità indicate in allegato, entro 30 giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981;

DISPONE

ai sensi dell’art. 166, comma 7, del Codice, la pubblicazione del presente provvedimento sul sito web del Garante, ritenendo che ricorrano i presupposti di cui all’art. 17 del Regolamento del Garante n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

Ai sensi dell’art. 78 del Regolamento, degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.