Diritti interna

Diritti - Come tutelare i tuoi dati

Doveri interna

Doveri - Come trattare correttamente i dati

Search Form Portlet

ricerca avanzata

g-docweb-display Portlet

Pubblicazione sul sito web istituzionale di un Comune dei dati personali riferiti a un dipendente - 13 marzo 2014 [3112708]

[doc. web n. 3112708]

Pubblicazione sul sito web istituzionale di un Comune dei dati personali riferiti a un dipendente - 13 marzo 2014

Registro dei provvedimenti
n. 121 del 13 marzo 2014

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti, e del dott. Giuseppe Busia, segretario generale;

ESAMINATA la segnalazione del 19 giugno 2013 di XY;

VISTO il d.lg. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito "Codice");

VISTE le Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico del 14 giugno 2007 (pubblicate in G.U. 13 luglio 2007, n. 161, doc. web n. 1417809);

VISTE le Linee guida in materia di trattamento di dati personali contenuti anche in atti e documenti amministrativi, effettuato da soggetti pubblici per finalità di pubblicazione e diffusione sul web del 2 marzo 2011 (pubblicate in G.U. n. 64 del 19 marzo 2011 e disponibili in www.garanteprivacy.it, doc. web n. 1793203);

VISTE le osservazioni formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

RELATORE la dott.ssa Giovanna Bianchi Clerici;

PREMESSO

1. XY, dipendente del Comune di KK in qualità di responsabile del servizio finanziario, ha lamentato – unitamente ad altri profili non rientranti nelle attribuzioni proprie del Garante – la pubblicazione di dati personali a sé riferiti sul sito web istituzionale del Comune (in particolare nelle sezioni denominate "delibere" ed "albo pretorio") contenuti in deliberazioni del Consiglio comunale, segnatamente le n. 6 e n. 11 (e relativo allegato A), entrambe adottate il JJ 2013 (cfr. segnalazione e successive note del 20, 21 e 24 giugno 2013).

In particolare, la delibera n. 6/2013, avente ad oggetto "Convenzione per il servizio associato di segreteria tra i comuni di KK e WW", reca al proprio interno − oltre al contenuto del parere espresso dalla segnalante in ordine alla regolarità contabile della convenzione ai sensi dell´art. 49, d.lg. 18 agosto 2000, n. 267 ("Testo unico delle leggi sull´ordinamento degli enti locali") − anche valutazioni manifestate dal Sindaco nel corso della seduta consiliare in ordine alla condotta tenuta dalla segnalante nei giorni antecedenti l´adozione della convenzione ("La responsabile negli ultimi giorni ha tempestato lo stesso, il Segretario e il Comune [di …] di note e comunicazioni tese ad esprimere le proprie considerazioni […] e ciò certamente mina l´efficienza, l´economicità, ed il buon funzionamento degli Uffici": cfr. delibera n. 6, cit.).

La delibera n. 11/2013, avente ad oggetto "Mozione d´ordine ai sensi dell´art. 8 del regolamento di consiglio comunale", finalizzata all´istituzione di una commissione speciale d´indagine relativa a vicende che hanno coinvolto la segnalante, riporta anch´essa giudizi sul contegno e l´operato della stessa ed è stata pubblicata unitamente alla nota redatta da un consigliere nella quale si riferiscono al Consiglio, nel dettaglio, comportamenti asseritamente tenuti dall´interessata.

2.1. Nel dare riscontro alla richiesta di informazioni formulata dall´Ufficio, con nota del 5 luglio 2013 il Comune ha dichiarato:

a) di non ravvisare "la violazione della normativa in materia di protezione dei dati personali tale da avere conseguenze gravi e pregiudizievoli della dignità" dell´interessata;

b) di aver provveduto "per eccesso di zelo" a disporre "l´oscuramento della delibera n. 11/2013", di cui peraltro viene ribadita la regolarità formale;

c) che, con riguardo alla delibera n. 6/2013 (tuttora consultabile tramite il sito), l´unico profilo concernente la segnalante riguarderebbe il parere negativo dalla stessa espresso in ordine ad emolumenti che l´Amministrazione sarebbe chiamata ad erogare, reso pubblico inserendolo nel testo della delibera (peraltro su richiesta della segnalante medesima).

2.2. Nel corso del procedimento sono stati inoltre lamentati dall´interessata elementi nuovi rispetto alle richieste formulate nella segnalazione (cfr. in particolare le comunicazioni del 5 agosto, 14 e 16 settembre nonché 18 ottobre 2013): segnatamente, la pubblicazione sul medesimo sito istituzionale della delibera n. 39 del 19 luglio 2013 che, a detta della segnalante, conterrebbe dati personali alla stessa riferibili, nonché la diffusione di alcune deliberazioni della giunta comunale − nn. 20, 37, 38, 41, 48, 49, 52 del 2013 – "contenenti la menzione espressa del parere del responsabile del relativo servizio […] del tutto inesistente, in quanto mai reso dallo scrivente funzionario e allo stesso neppure richiesto […] essendo alcune di queste delibere irregolari anche nei restanti contenuti […]" (cfr. nota del 16 settembre 2013, cit.).

2.3. In ordine a tali ulteriori profili il Comune ha rappresentato (cfr. nota 4 dicembre 2013) che:

a) con riguardo alle delibere nn. 6 e 39 del 2013, le stesse non conterrebbero "dati personali e/o sensibili, di cui all´art. 4 comma 1 lett. b)" del Codice;

b) con riguardo alle restanti delibere, che conterrebbero il riferimento a pareri espressi ai sensi dell´art. 49, d.lg. n. 267/2000, che:

i. solo nella delibera n. 37 "effettivamente la responsabile […] non ha mai espresso parere sulla proposta circa la delibera"; rispetto ad essa il Comune "valuterà l´opportunità di revocar[la] in autotutela";

ii. con riguardo alle delibere nn. 38, 48, 49, "l´unico parere a dover essere reso era quello dell´Ufficio tecnico comunale […] non di competenza della [segnalante]";

iii. con riguardo alla delibera n. 41, questa non sarebbe soggetta a parere tecnico in quanto "mero atto di indirizzo";

iv. con riguardo alla delibera n. 52, "il parere del[la segnalante] è stato regolarmente reso";

c) inoltre, "tutte le deliberazioni citate sono state pubblicate all´Albo pretorio on line per 15 giorni ed attualmente non sono più presenti sul medesimo, ma solo sullo storico e rintracciabili solo attraverso l´inserimento del numero e della data di approvazione, così come è possibile rilevare attraverso il sito istituzionale dell´Amministrazione".

Con riguardo alla delibera n. 20, infine, il Comune ha dato prova che la segnalante abbia reso il parere (cfr. all. 2 alla nota del 4 dicembre 2013).

2.4. A seguito delle verifiche effettuate è emerso che le delibere sopra menzionate (eccettuata la 11/2013) sono ancora disponibili in internet, accessibili tramite il sito istituzionale del Comune nella sezione "Atti amministrativi - delibere" (cfr. documentazione in atti).

3.1. Con riferimento alla lamentata diffusione di dati personali – tale dovendo essere qualificata l´operazione di trattamento effettuata nel caso di specie dal Comune ai sensi dell´art. 4, comma 1, lett. m), del Codice –, deve rilevarsi che la stessa – per quanto qui interessa, non formando oggetto di diffusione di dati sensibili – può essere lecitamente effettuata da parte di un soggetto pubblico, nel rispetto del principio di pertinenza e non eccedenza (art. 11, comma 1, lett. d) ed e) del Codice), unicamente quando tale operazione sia prevista, da una norma di legge o di regolamento (artt. 11, comma 1, lett. a) e 19, comma 3, del Codice), anche con riferimento alla pubblicazione di dati personali "in forma integrale, per estratto, ivi compresi gli allegati" (cfr. punto 2.1 Linee guida in materia di trattamento di dati personali contenuti anche in atti e documenti amministrativi, effettuato da soggetti pubblici per finalità di pubblicazione e diffusione sul web).

3.2. Tanto premesso, ritenuta applicabile al caso di specie la disciplina di protezione dei dati personali, si ritiene che, la pubblicazione sul web nella versione integrale delle delibere nn. 6 e 11 (quest´ultima corredata altresì del menzionato allegato) – riportanti, oltre all´espressa indicazione degli estremi identificativi della segnalante, anche valutazioni e giudizi che riguardano il suo operato nell´esecuzione della propria prestazione lavorativa − sia stata effettuata in violazione del principio di pertinenza e non eccedenza (art. 11, comma 1, lett. d), del Codice; principio ora ribadito anche all´art. 4, comma 4, d.lg. n. 33/2013, anche in relazione alla pubblicità di atti, documenti e informazioni per finalità di trasparenza). Come già rilevato dal Garante, in particolare in relazione a documenti oggetto di pubblicazione (specie se online), "nel rispetto dell´obbligo di adeguata motivazione degli atti amministrativi", è necessario valutare con attenzione le tecniche di redazione delle deliberazioni e selezionare "le informazioni da diffondere alla luce dei princìpi di pertinenza e indispensabilità rispetto alle finalità perseguite dai singoli provvedimenti" (cfr. punto 6.3, Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico, cit.; in tal senso v. già il parere del Garante del 26 ottobre 1998, doc. web n. 30951; Provv.ti 17 aprile 2003, doc. web n. 1054640; 12 gennaio 2004, doc. web n. 1053395; 25 gennaio 2007, doc. web n. 1386836; 7 ottobre 2009, doc. web n. 1669620; 1° agosto 2013, doc. web n. 2578588; nella giurisprudenza di legittimità, in senso analogo, cfr. Cass., 20 luglio 2012, n. 12726, che ha confermato il Provv. 9 dicembre 2003, doc. web n. 1054649; ribadisce la necessità dell´osservanza del principio di pertinenza e proporzionalità, con particolare riferimento alla diffusione sull´albo pretorio di dati riferiti alle condizioni di salute dell´interessato, Cass., 8 agosto 2013, n. 18980; v. pure Cass. 18 gennaio 2012, n. 2034).

3.3. Deve inoltre ritenersi che, con riguardo ai dati personali contenuti nella delibera n. 11/2013 (non più disponibile online), sia stata posta in essere una diffusione illecita di dati personali (artt. 11, comma 1, lett. a) e 19 comma 3 del Codice), in quanto la stessa è rimasta consultabile sul sito istituzionale del Comune oltre l´arco temporale previsto dalla disciplina di settore concernente la pubblicità degli atti degli enti locali sull´albo pretorio (cfr. art. 124, d.lg. 18 agosto 2000, n. 267 nonché art. 32, l. 18 giugno 2009, n. 69).

Ciò è accaduto anche con riguardo alla delibera n. 6/2013 per la quale non risulta in atti indicata dal titolare del trattamento la base normativa che ne giustifica la persistente diffusione online. Ed invero, alla luce della menzionata disciplina di settore in materia di pubblicità degli atti degli enti locali, richiamata anche dal titolare del trattamento, la pubblicazione delle deliberazioni del comune (e della provincia) all´albo pretorio online deve avvenire per (soli) quindici giorni consecutivi, arco temporale ampiamente sopravanzato nei casi di specie e senza che risultino giustificate, ai sensi degli artt. 11, comma 1, lett. a) e 19, comma 3, del Codice, le ragioni per le quali la menzionata diffusione di dati personali debba prolungarsi (potenzialmente) sine die nella sezione "delibere" del sito istituzionale (cfr. Provv. 23 febbraio 2012, n. 73, doc. web n. 1876679; Provv. 6 dicembre 2012, n. 384, doc. web n. 2223278; nonché par. 5.2 e 6.B, Linee guida in materia di trattamento di dati personali contenuti anche in atti e documenti amministrativi, effettuato da soggetti pubblici per finalità di pubblicazione e diffusione sul web, cit.: "nelle ipotesi in cui specifiche disposizioni di settore individuino determinati periodi di tempo per la pubblicazione di atti e provvedimenti amministrativi […] i soggetti pubblici sono tenuti ad assicurare il rispetto dei limiti temporali previsti, rendendoli accessibili sul proprio sito web durante il circoscritto ambito temporale individuato dalle disposizioni normative di riferimento, anche per garantire il diritto all´oblio degli interessati" e che, "trascorsi i […] periodi di tempo specificatamente individuati, determinate notizie, documenti o sezioni del sito devono essere rimossi dal web o privati degli elementi identificativi degli interessati ovvero, in alternativa, laddove l´ulteriore diffusione dei dati sia volta a soddisfare esigenze di carattere storico-cronologico, gli stessi vanno sottratti all´azione dei comuni motori di ricerca, ad esempio, inserendoli in un´area di archivio consultabile solo a partire dal sito stesso o in un´area ad accesso riservato").

4. Alla luce delle considerazioni svolte, salve eventuali pretese risarcitorie della segnalante, da far valere avanti alla competente autorità giudiziaria (art. 15 del Codice), deve pertanto essere vietato al Comune di KK ai sensi degli artt. 143, comma 1, lett. c), 144 e 154, comma 1, lett. d) del Codice, diffondere ulteriormente in Internet, tramite il sito web istituzionale, i dati personali riferiti direttamente alla segnalante nella delibera n. 6/2013.

5. Rilevato che, con riguardo alle restanti delibere citate in narrativa, non ricorrono gli estremi per un intervento prescrittivo o inibitorio del Garante,  trattandosi di atti nei quali non ricorrono dati personali riconducibili direttamente all´interessata.

6. L´Autorità si riserva di valutare, con separato procedimento, gli estremi per la contestazione della violazione amministrativa prevista dall´art. 162, comma 2-bis, del Codice.

In caso d´inosservanza del presente provvedimento, si renderanno applicabili le sanzioni (rispettivamente penale e amministrativa) di cui agli artt. 170 e 162, comma 2-ter del Codice.

TUTTO CIÒ PREMESSO IL GARANTE

nei confronti del Comune di KK, ritenuta illecita, nei termini indicati in motivazione, la diffusione dei dati personali riferiti alla segnalante eccedenti e non pertinenti nonché privi di idonea base normativa ai sensi dell´art. 19, comma 3, del Codice, vieta, ai sensi degli artt. 143, comma 1, lett. c), 144 e 154, comma 1, lett. d), del Codice, di diffondere ulteriormente in Internet, mediante il proprio sito web istituzionale, i dati personali oggetto di segnalazione riferiti alla segnalante contenuti nella delibera n. 6/2013.

Ai sensi degli artt. 152 del Codice e 10, d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 13 marzo 2014

IL PRESIDENTE
Soro

IL RELATORE
Bianchi Clerici

IL SEGRETARIO GENERALE
Busia