IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti e il cons. Fabio Mattei, Segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito “RGPD”);

VISTO il d. lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4/4/2019, pubblicato in G.U. n. 106 dell’8/5/2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal Segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, in www.gpdp.it, doc. web n. 1098801;

Relatore il dott. Agostino Ghiglia;

PREMESSO

1. Il reclamo

Questa Autorità ha ricevuto un reclamo in ordine alla pubblicazione sul sito web istituzionale dell’Ordine degli Avvocati di Lagonegro del contenuto di una pec inviata dai reclamanti al Consiglio dell’Ordine e ai singoli colleghi consiglieri. Con la pec, in particolare, i reclamanti chiedevano al Consiglio di inserire alcuni punti all’ordine del giorno della successiva adunanza consiliare ed esprimevano alcune considerazioni personali in relazione alla asserita incompatibilità di una collega a ricoprire ruoli in seno al Consiglio e all’opportunità di conferire alla stessa determinati incarichi nonché con riguardo all’avvenuta ricandidatura del Presidente e alle modalità di gestione dell’Ordine da parte di quest’ultimo. I reclamanti hanno inoltre rappresentato che, nonostante avessero richiesto l’“immediata rimozione” dal sito web della richiamata pec, tale documento non sia stato rimosso.

2. L’attività istruttoria.

Con nota del XX, il Presidente del Consiglio dell’Ordine degli avvocati di Lagonegro, ha fornito riscontro alla nota del XX (prot. n. XX) con cui il Dipartimento ha fornito indicazioni in merito alla normativa in materia di protezione dei dati personali applicabile al caso di specie e ha invitato l’Ordine a fornire riscontro alla istanza di rimozione della richiamata pec, formulata dai reclamanti.

Nello specifico, il Presidente dell’Ordine, con dichiarazione della cui veridicità risponde penalmente ai sensi dell’art. 168 del Codice ha chiarito che:

- “nella seduta dell’8 gennaio 2020, il Consiglio dell’Ordine, ha deciso di disporre la rimozione da sito internet dell’Ordine degli Avvocati di Lagonegro, secondo gli art. 15- 22 del Regolamento (…) della nota datata XX inoltrata dall'indirizzo pec dell'avv. XX e diretta al Consiglio dell'Ordine e ai singoli Consiglieri”;

- “il Consiglio dell'Ordine ha adottato tale decisione al solo scopo di non esasperare i termini della questione e pur contestando energicamente la fondatezza dei motivi esposti nel reclamo.

Ad ogni modo, e per quanto possa occorrere, si evidenzia che la nota in oggetto (peraltro non firmata, neppure digitalmente) non conteneva “dati personali” dei reclamanti e riguardava rapporti di carattere istituzionale”.

3. Normativa applicabile.

Ai sensi di quanto previsto dal Regolamento europeo, divenuto applicabile dal 25 maggio 2018, per “dato personale” si intende “qualsiasi informazione riguardante una persona fisica identificata o identificabile (“interessato”)”. Inoltre, “si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale” (art. 4, par. 1, n. 1, del Regolamento).

Il trattamento dei dati personali effettuato da soggetti pubblici (come l’Ordine professionale) è lecito, solo se tale trattamento è necessario “per adempiere un obbligo legale al quale è soggetto il titolare del trattamento” oppure “per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (art. 6, par. 1, lett. c) ed e)).

La normativa europea prevede inoltre che “Gli Stati membri possono mantenere o introdurre disposizioni più specifiche per adeguare l’applicazione delle norme del presente regolamento con riguardo al trattamento, in conformità del paragrafo 1, lettere c) ed e), determinando con maggiore precisione requisiti specifici per il trattamento e altre misure atte a garantire un trattamento lecito e corretto (…)” con la conseguenza che, al caso di specie, risulta applicabile la disposizione contenuta nell’art. 2-ter del Codice, in base al quale l’operazione di diffusione di dati personali (come la pubblicazione in Internet), in ambito pubblico è ammessa solo quando prevista da una norma di legge o, nei casi previsti dalla legge, di regolamento.

In ogni caso, il trattamento dei dati personali deve avvenire nel rispetto dei principi indicati nell’art. 5 del Regolamento, fra cui quelli di “liceità, correttezza e trasparenza” nonché di “minimizzazione dei dati”, secondo i quali i dati personali devono essere – rispettivamente – “trattati in modo lecito, corretto e trasparente nei confronti dell'interessato” nonché “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati” (par. 1, lett. a) e c)).

In tale quadro, si evidenzia che, nel caso di specie, la liceità della diffusione dei dati personali dei ricorrenti contenuti in corrispondenza privata inviata a mezzo posta elettronica certificata deve essere valutata, oltre che alla luce dei princìpi in materia di protezione dei dati personali, tenendo conto del complessivo quadro normativo posto a tutela della libertà e della segretezza della corrispondenza e di “ogni altra forma di comunicazione” (art. 15 Cost.).

Si evidenzia infine che, il Regolamento, disponendo, agli artt. 12 e ss, in materia di “diritti dell’interessato”, prevede che quest’ultimo possa ottenere dal titolare del trattamento l’accesso ai dati personali e a specifiche informazioni sul trattamento dei dati agli stessi riferiti, la rettifica o la cancellazione degli stessi o la limitazione del trattamento che lo riguarda, il diritto alla portabilità dei dati e che possa opporsi al loro trattamento (artt. 15 e ss. e Considerando 63). Ciò a meno che non ricorra uno dei casi di limitazione dei diritti dell’interessato tassativamente indicati all’art. 23 del Regolamento e 2-undecies del Codice, che non risultano conferenti rispetto alla fattispecie in esame.

4. Valutazioni preliminari dell’Ufficio sul trattamento di dati personali effettuato.

Dall’accertamento compiuto sulla base degli elementi acquisiti e dei fatti emersi a seguito dell’attività istruttoria, nonché delle successive valutazioni, l’Ufficio ha accertato che i reclamanti, nel presentare la richiesta di “rimozione” dal sito web dell’Ordine della richiamata Pec, pur in assenza, nella richiesta, di espliciti riferimenti alla normativa sulla protezione dei dati personali, abbiano inteso esercitare i diritti previsti dai richiamati art. 15-22 del Regolamento e che l’Ordine degli avvocati di Lagonegro ha fornito riscontro alla suddetta richiesta oltre il termine di trenta giorni previsto dal Regolamento e solo a seguito dell’invito formulato dall’Ufficio, in violazione dell’art. 12, par. 3, del Regolamento.

L’Ordine professionale, inoltre, non ha informato gli interessati, entro il termine di un mese dal ricevimento della richiesta, dei motivi dell'inottemperanza e della possibilità di proporre reclamo a un'autorità di controllo e di proporre ricorso giurisdizionale, in violazione dell’art. 12, par. 4, del Regolamento.

Dall’accertamento compiuto risulta inoltre che l’Ordine, pubblicando sul sito web istituzionale, la Pec inviata dai reclamanti al Consiglio dell’Ordine e ai singoli consiglieri, ha determinato la diffusione dei dati personali dei reclamanti in assenza di un idoneo presupposto giuridico, ai sensi dell’art. 2-ter, commi 1 e 3 del Codice, e dell’art. 6 par. 1, lett. c) ed e), del Regolamento, che invece ammette la predetta possibilità, da parte di soggetti pubblici, solo quando la diffusione è prevista da una norma di legge o, nei casi previsti dalla legge, di regolamento.

La diffusione dei dati personali è avvenuta, pertanto, in violazione dell’art. 2-ter, commi 1 e 3, del Codice e dell’art. 6, par. 1, lett. c) ed e), del Regolamento e in maniera non conforme al principio di “liceità, correttezza e trasparenza” del trattamento, in violazione dell’art. 5, par. 1, lett. a), del Regolamento.

Si è così proceduto alla notifica delle violazioni effettuate, prevista dall’art. 166, comma 5, del Codice, all’Ordine degli avvocati di Lagonegro, comunicando l’avvio del procedimento per l’adozione dei provvedimenti di cui all’articolo 58, paragrafo 2, del Regolamento e invitando il predetto Ordine a inviare al Garante scritti difensivi o documenti ed, eventualmente, a chiedere di essere sentito dall’Autorità, entro il termine di 30 giorni (art. 166, commi 6 e 7, del Codice; nonché art. 18, comma 1, dalla legge n. 689 del 24/11/1981).

5. Esito dell’istruttoria relativa al reclamo presentato.

Con nota del XX l’Ordine professionale ha inviato al Garante i propri scritti difensivi in relazione alle violazioni notificate, evidenziando in particolare, che“la decisione di far pubblicare la "pec" sul sito web dell'Ordine fu adottata al solo scopo di consentire a tutti gli Iscritti di vagliare l'argomento in questione (istituzione di uno "sportello previdenziale") e fornire eventuali suggerimenti; gli interessati coinvolti furono undici (pari al numero dei componenti del Consiglio dell'Ordine di Lagonegro), e cioè i tre reclamanti (anch'essi membri del Consiglio dell'Ordine) e gli otto destinatari della "pec" (che avevano deciso di farla pubblicare sul sito web); non risultano coinvolti altri interessati. (…) “come riferito dagli stessi reclamanti, "la nota pec in oggetto...si ascrive necessariamente all'attività istituzionale" (tant'è che fu inviata anche all'indirizzo di posta elettronica certificata dell'Ordine di Lagonegro) e la sua pubblicazione può essere intesa a salvaguardia della libertà di espressione e di pensiero (…); peraltro, l'unico dato personale ricavabile dalla "nota pec" in questione è l'indirizzo di posta elettronica certificata dei componenti del Consiglio dell'Ordine (a disposizione di tutti mediante un semplice accesso all'Albo on-line).

Tali elementi, seppure meritevoli di considerazione, non consentono tuttavia di superare i rilievi notificati dall’Ufficio con la nota del XX (prot. n. XX) e non risultano sufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo peraltro nessuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Il reclamo in esame, ha ad oggetto la pubblicazione sul sito istituzionale dell’Ordine degli avvocati di Lagonegro, del contenuto di una Pec, inviata dai reclamanti all’indirizzo di posta elettronica del Consiglio dell’Ordine e dei singoli consiglieri, con la quale veniva richiesto al Consiglio di inserire alcuni punti all’ordine del giorno della successiva adunanza consiliare. La Pec, conteneva, inoltre, talune considerazioni personali dei reclamanti in ordine alla presunta posizione di incompatibilità di una collega a ricoprire ruoli in seno al Consiglio e all’opportunità di conferire alla stessa un determinato incarico nonché talune valutazioni degli stessi in ordine alla avvenuta ricandidatura del Presidente e alle modalità di gestione dell’Ordine da parte di quest’ultimo.

Nel ricordare che per “dato personale” si intende “qualsiasi informazione riguardante una persona fisica identificata o identificabile (“interessato”)” (cfr. art. 4, punto 1 del Regolamento) si evidenzia che, contrariamente a quanto sostenuto dall’Ordine, secondo il quale “la nota in oggetto (…) non conteneva “dati personali” dei reclamanti e riguardava rapporti di carattere istituzionale” la descritta operazione di trattamento, abbia dato luogo ad un trattamento di dati personali, peraltro non limitato, come evidenziato dall’Ordine ai soli gli indirizzi di posta elettronica certificata dei componenti del Consiglio dell'Ordine “a disposizione di tutti mediante un semplice accesso all'Albo on-line”.

L’e-mail inviata dai reclamanti, come risulta evidente dal tenore di questa e dagli argomenti trattati, pur avendo ad oggetto argomenti attinenti all’attività del Consiglio dell’Ordine, affronta questioni riguardanti gli specifici rapporti intercorrenti tra i reclamanti e talune cariche istituzionali in seno al Consiglio e riporta riflessioni e valutazioni critiche degli autori nonché valutazioni in ordine ad atteggiamenti tenuti dal Presidente nel corso del mandato consigliare. La decisione di inviare l’e-mail, a tutti i consiglieri, non appare incidere sulla qualificazione del contenuto della comunicazione medesima che si configura, in ogni caso, come corrispondenza privata, sicuramente non destinata, nell’intenzione dei mittenti, a una diffusione.

Si rileva inoltre che, nel caso di specie, la liceità della diffusione dei dati personali dei reclamanti contenuti in corrispondenza privata inviata a mezzo posta elettronica certificata deve essere valutata, oltre che alla luce dei princìpi in materia di protezione dei dati personali, tenendo conto del complessivo quadro normativo posto a tutela della libertà e della segretezza della corrispondenza e di “ogni altra forma di comunicazione” (art. 15 Cost.).

Al riguardo si evidenzia che il Garante con il provvedimento recante “Linee guida del Garante per posta elettronica e Internet” (adottato dall´Autorità il 1° marzo 2007 e pubblicato in Gazzetta Ufficiale n. 58 del 10 marzo 2007), ha ritenuto che "il contenuto dei messaggi di posta elettronica –come pure i dati esteriori delle comunicazioni e i file allegati- riguardano forme di corrispondenza assistite da garanzie di segretezza tutelate anche costituzionalmente, la cui ratio risiede nel proteggere il nucleo essenziale della dignità umana e il pieno sviluppo della personalità nelle formazioni sociali" (cfr. in part. punto 5.2 lett. b) e che ciò, trasposto anche nell’ambito dell’attività lavorativa prestata dai consiglieri, comporta la possibilità che questi ultimi, possano vantare una legittima aspettativa di riservatezza su talune forme di comunicazione; (v. in senso conforme, da ultimo, Provv. 4.12.2019, n. 216, doc. web n. 9215890; v. altresì, sul punto, Provv. 5.3.2015, n. 136, doc. web n. 3985524).

Da ultimo si rappresenta che la pubblicazione della corrispondenza inviata, a mezzo posta elettronica certificata, dai reclamanti all’indirizzo di posta elettronica del Consiglio dell’Ordine e dei restanti Consiglieri non risulta necessaria “per adempiere un obbligo legale al quale è soggetto il titolare del trattamento” o “per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (art. 6, par. 1, lett. c) ed e), del Regolamento);

In tale quadro risulta contestabile anche l’affermazione del Consiglio dell’Ordine in base alla quale la decisione di pubblicare la Pec sul sito web, sarebbe stata adottata “al solo scopo di consentire a tutti gli Iscritti di vagliare l’argomento in questione (istituzione di uno "sportello previdenziale") e fornire eventuali suggerimenti” ben potendo tale scopo essere perseguito, conformemente alle disposizioni vigenti, con strumenti meno invasivi per il diritto alla riservatezza degli interessati.

Si confermano pertanto le valutazioni preliminari dell’Ufficio e si rileva l’illiceità del trattamento di dati personali effettuato dall’Ordine degli avvocati per aver diffuso, tramite la pubblicazione del contenuto della Pec inviata dai reclamanti al Consiglio dell’Ordine e ai singoli consiglieri, informazioni personali relative agli interessati, in assenza di una idonea base giuridica.

La pubblicazione in esame risulta quindi avvenuta in violazione della normativa a tutela dei dati personali e, specificamente:

a) in violazione dei principi di “liceità, correttezza e trasparenza” e di cui all’art. 5, par. 1, lett. a) del Regolamento;

b) in assenza di un presupposto giuridico per la pubblicazione del contenuto della e-mail pec e dei dati personali ivi contenuti in violazione dell’art. 6, par. 1, lett. c) ed e), par. 2 e par. 3, lett. b), del Regolamento e dell’art. 2-ter, commi 1 e 3, del Codice;

c) in violazione degli artt. 12, comma 3 e 4 del Regolamento.

In tale quadro, considerando, in ogni caso, che la condotta ha esaurito i suoi effetti, atteso che il titolare del trattamento ha provveduto a rimuovere il documento dal sito della scuola, circostanza verificata dall’Ufficio, non ricorrono i presupposti per l’adozione di provvedimenti, di tipo prescrittivo o inibitorio, di cui all’art. 58, par. 2, del Regolamento.

6. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria (artt. 58, par. 2, lett. i; 83 RGPD).

L’Ordine degli avvocati di Lagonegro risulta aver dunque violato gli artt. 5, par. 1, lett. a) e 6, par. 1, lett. c) ed e), par. 2 e par. 3 lett. b), e 12, comma 3 e 4 del Regolamento, nonché l’art. 2-ter commi 1 e 3, del Codice.

Al riguardo, l’art. 83, par. 3, del Regolamento, prevede che “Se, in relazione allo stesso trattamento o a trattamenti collegati, un titolare del trattamento o un responsabile del trattamento viola, con dolo o colpa, varie disposizioni del presente regolamento, l’importo totale della sanzione amministrativa pecuniaria non supera l’importo specificato per la violazione più grave”.

Nel caso di specie, la violazione delle disposizioni citate è soggetta alla stessa sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento, che si applica pertanto al caso di specie.

Il Garante, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere correttivo di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso”. In tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare, tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

In relazione ai predetti elementi va considerato che la rilevata condotta, tenuta in violazione della disciplina in materia di protezione dei dati personali, ha avuto ad oggetto dati personali la cui diffusione non risulta necessaria al fine del perseguimento degli interessi pubblici perseguiti dall’ordine professionale. Tale diffusione si è protratta per circa undici mesi ed è cessata solo a seguito dell’intervento del Garante e ha avuto ad oggetto il contenuto di corrispondenza che implica anche profili di violazione di diritti che prescindono dalla protezione dei dati personali.

È necessario, tuttavia, tenere in considerazione il carattere colposo e la lieve entità della violazione, in quanto l’Ordine professionale ha effettuato la richiamata operazione di trattamento ritenendo erroneamente che i dati personali trattati riguardassero esclusivamente l’indirizzo di posta elettronica degli avvocati, già diffusi mediante inserimento all’albo professionale online. L’Ente ha collaborato con l’Autorità nel corso dell’istruttoria del presente procedimento e si è attivata per rimuovere i dati personali dei soggetti interessati appena ricevuta la richiesta del Garante e non risultano precedenti violazioni pertinenti commesse dal richiamato Ordine o precedenti provvedimenti di cui all’art. 58 del Regolamento.

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di dover determinare ai sensi dell’art. 83, par. 2, del Regolamento l’ammontare della sanzione pecuniaria, prevista dall’art. 83, par. 5, lett. a) del Regolamento, nella misura di euro 3.000,00 (tremila) per la violazione degli artt. 5, par. 1, lett. a) e 6, par. 1, lett. c) ed e), par. 2 e par. 3, lett. b) e 12, comma 3 e 4 del Regolamento, nonché l’art. 2-ter commi 1 e 3, del Codice, quale sanzione amministrativa pecuniaria ritenuta effettiva, proporzionata e dissuasiva sensi dell’art. 83, par. 1, del medesimo Regolamento.

In relazione alle specifiche circostanze del presente caso, si ritiene che debba applicarsi la sanzione accessoria della pubblicazione sul sito del Garante del presente provvedimento, prevista dall’art. 166, comma 7 del Codice e art. 16 del Regolamento del Garante n. 1/2019.

Si ritiene, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento del Garante n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

rilevata l’illiceità del trattamento effettuato dall’Ordine degli Avvocati di Lagonegro nei termini indicati in motivazione ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento, nonché 166 del Codice;

ORDINA

All’Ordine degli Avvocati di Lagonegro, in persona del legale rappresentante pro-tempore, con sede legale in Via Napoli, Snc - 85042 Lagonegro (PZ) – C.F. 91000010768 di pagare la somma di euro 3.000,00 (tremila) a titolo di sanzione amministrativa pecuniaria per le violazioni di cui in motivazione; si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata;

INGIUNGE

al medesimo Consiglio dell’Ordine di pagare la somma di euro 3.000,00 (tremila), secondo le modalità indicate in allegato, entro 30 giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981.

Si ricorda che resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento – sempre secondo le modalità indicate in allegato – di un importo pari alla metà della sanzione irrogata, entro il termine di cui all’art. 10, comma 3, del d. lgs. n. 150 dell’1/9/2011 previsto per la proposizione del ricorso come sotto indicato (art. 166, comma 8, del Codice).

DISPONE

- la pubblicazione del presente provvedimento sul sito web del Garante ai sensi dell’art. 166, comma 7, del Codice e dall’art. 16, comma 1, del Regolamento del Garante n. 1/2019;

- l’annotazione nel registro interno dell’Autorità ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019.

Ai sensi dell’art. 78 del Regolamento, degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Fonte: Garante per la Privacy

https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9674060