Diritti interna

Doveri interna

ricerca avanzata

Pubblicazione su un sito web istituzionale di dati identificativi di persone fisiche destinatarie di benefici economici da cui è possibile ricavare informazioni relative allo stato di salute e alla situazione di disagio economico-sociale - 12 aprile 2018 [8576011]

VEDI ANCHE: Newsletter del 27 aprile 2018

 

[doc. web n. 8576011]

Pubblicazione su un sito web istituzionale di dati identificativi di persone fisiche destinatarie di benefici economici da cui è possibile ricavare informazioni relative allo stato di salute e alla situazione di disagio economico-sociale - 12 aprile 2018

Registro dei provvedimenti
n. 213 del 12 aprile 2018

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della prof.ssa Licia Califano, della dott.ssa Giovanna Bianchi Clerici, componenti, e del dott. Giuseppe Busia, segretario generale;

VISTO il Codice in materia di protezione dei dati personali (d. lgs. 30 giugno 2003, n. 196, di seguito "Codice");

VISTA la segnalazione in atti;

RILEVATO, dall´accertamento preliminare effettuato dall´Ufficio in data 21 marzo 2018, che sul sito web istituzionale del Comune di Messina (http://www.comunemessina.gov.it/), dal link situato in home page denominato «...» (url http://...), è possibile visualizzare e scaricare liberamente la Determinazione del Dirigente del Dipartimento Politiche sociali n. XX del XX avente a oggetto «Approvazione graduatoria provvisoria per esenzione/riduzione pagamento della Tari XX», alla quale sono allegati due elenchi di soggetti aventi diritto a esenzioni o riduzioni della tassa sui rifiuti (Tari) identificate, rispettivamente, con «...» ed «...».

RILEVATO, nel corso del medesimo accertamento preliminare, che anche dall´area del sito web istituzionale del Comune di Messina, accessibile dal link situato in homepage, denominato «...» (url http://...) è possibile scaricare le citate graduatorie modello XX e XX (url http://...);

PRESO ATTO che con la predetta Determinazione dirigenziale n. XX sono state approvate le citate graduatorie modello XX e modello XX, che identificano i soggetti aventi diritto all´esenzione o alla riduzione della tassa sui rifiuti, perché si trovano, rispettivamente, in una condizione di disagio economico-sociale (mod. XX) o in uno stato di invalidità civile al cento per cento (mod. XX);

CONSIDERATO che le predette graduatorie riportano in chiaro dati e informazioni personali di n. 3447 soggetti interessati, ordinati in base alla situazione economica. Nello specifico sono indicati il nome e il cognome, la data di nascita, il codice fiscale, l´importo ISEE, il numero dei componenti del nucleo familiare di n. 3269 soggetti interessati con reddito ISEE familiare fino a € 8.000,00 (modello XX), nonché gli stessi personali riferiti a n. 178 soggetti interessati che riportano «invalidità del 100% e con Isee fino ad € 10.00,00» (modello XX);

CONSIDERATO, inoltre, nella Determinazione dirigenziale n. XX è riportato che le citate graduatorie sono state redatte in base alla deliberazione del Consiglio Comunale n. XX del XX relativa all´esenzione/riduzione della tari nei confronti «dei nuclei familiari in disagio sociale XX»;

CONSIDERATO che per dato personale si intende «qualunque informazione relativa a persona fisica, identificata o identificabile, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale» (art. 4, comma 1, lett. b), del Codice);

CONSIDERATO che per diffusione dei dati personali si intende «il dare conoscenza dei dati personali a soggetti indeterminati, in qualunque forma, anche mediante la loro messa a disposizione o consultazione» (art. 4, comma 1, lett. m), del Codice);

CONSIDERATO che nel trattamento effettuato da soggetti pubblici i «dati idonei a rivelare lo stato di salute non possono essere diffusi» (art. 22, comma 8, del Codice; cfr., in tal senso, anche l´art. 65, comma 5, del Codice);

CONSIDERATO che anche la disciplina statale in materia di trasparenza prevede che «Restano fermi i limiti […] relativi alla diffusione dei dati idonei a rivelare lo stato di salute […]» (art. 7-bis, comma 6, del d. lgs. n. 33 del 14/3/2013, recante «Riordino della disciplina riguardante il diritto di accesso civico e gli obblighi di pubblicità, trasparenza e diffusione di informazioni da parte delle pubbliche amministrazioni»);

CONSIDERATO che la medesima normativa, con riferimento agli «obblighi di pubblicazione degli atti di concessione di sovvenzioni, contributi, sussidi e attribuzione di vantaggi economici a persone fisiche ed enti pubblici e privati», prevede che, in ogni caso, «È esclusa la pubblicazione dei dati identificativi delle persone fisiche destinatarie dei provvedimenti di cui al presente articolo, qualora da tali dati sia possibile ricavare informazioni relative»: «allo stato di salute» o «alla situazione di disagio economico-sociale degli interessati» (art. 26, comma 4, del d. lgs. n. 33/2013);

RICHIAMATE le indicazioni fornite dal Garante con il Provvedimento n. 243 del 15 maggio 2014, recante le «Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati» (in G.U. 12 giugno 2014, n. 134 suppl. ord. n. 43 e in www.gpdp.it, doc. web n. 3134436), in cui si evidenzia che è «sempre vietata la diffusione di dati idonei a rivelare lo "stato di salute" (art. 22, comma 8, del Codice) […]» e che, in particolare, «è vietata la pubblicazione di qualsiasi informazione da cui si possa desumere, anche indirettamente, lo stato di malattia o l´esistenza di patologie dei soggetti interessati, compreso qualsiasi riferimento alle condizioni di invalidità, disabilità o handicap fisici e/o psichici» (parte prima, parr. 2 e 9.e.; parte seconda, par. 1. Cfr., inoltre, i provvedimenti del Garante ivi citati in nota 49).

PRESO ATTO che la pubblicazione sul sito web istituzionale del Comune di Messina degli allegati alla Determinazione del Dirigente del Dipartimento Politiche sociali n. XX del XX, intitolati «...» ed « ...» dei soggetti aventi diritto all´esenzione o alla riduzione della tassa sui rifiuti, recanti in chiaro dati e informazioni dei soggetti interessati (quali nome e cognome, data di nascita, codice fiscale, importo ISEE, numero dei componenti del nucleo familiare) ha causato una diffusione:

1. di dati identificativi di persone fisiche destinatarie di benefici economici da cui è possibile ricavare informazioni relative alla situazione di disagio economico-sociale degli interessati, in violazione dell´art. 26, comma 4, del d. lgs. n. 33/2013 e dell´art. 19, comma 3, del Codice;

2. di dati sensibili, in quanto idonei a rivelare lo stato di salute, dei soggetti identificati nell´«...» interamente riferito a persone invalide al cento per cento, in violazione dell´art. 22, comma 8, del Codice (cfr. anche art. 26, comma 4, del d. lgs. n. 33/2013);

RILEVATA, pertanto, l´illiceità dei citati trattamenti di dati personali effettuati dal Comune di Messina, avvenuti in maniera non conforme alla disciplina rilevante in materia di protezione dei dati personali (artt. 19, comma 3; 22, comma 8; nonché art. 26, comma 4, del d. lgs. n. 33/2013);

CONSIDERATO che il Garante, ai sensi degli artt. 143, comma 1, lett. c), e 154, comma 1, lett. d), del Codice, ha il compito di «vietare anche d´ufficio, in tutto o in parte, il trattamento illecito o non corretto dei dati o disporne il blocco», nonché «di adottare gli altri provvedimenti previsti dalla disciplina applicabile al trattamento di dati personali»;

RITENUTO necessario, in ragione dell´illiceità del trattamento effettuato, vietare al Comune di Messina, ai sensi dei citati artt. 143, comma 1, lett. c), e 154, comma 1, lett. d), del Codice, l´ulteriore diffusione – sia attraverso la pubblicazione nell´area denominata «...» che in qualsiasi altra parte del sito web istituzionale – dei dati personali contenuti negli allegati – intitolati «...» ed «...» – alla citata Determinazione del Dirigente del Dipartimento Politiche sociali n. XX del XX, scaricabili anche dall´url http://...;

CONSIDERATO, inoltre, che il Garante, ai sensi degli artt. 143, comma 1, lett. b), e 154, comma 1, lett. c), del Codice, ha il compito di prescrivere, anche d´ufficio, «le misure necessarie o opportune al fine di rendere il trattamento conforme alle disposizioni vigenti»;

RITENUTO, pertanto, necessario prescrivere per il futuro al Comune di Messina di adottare gli opportuni accorgimenti nella pubblicazione di atti e documenti online al fine di rispettare il divieto di diffondere dati identificativi di persone fisiche destinatarie di benefici economici da cui è possibile ricavare informazioni relative allo stato di salute e alla situazione di disagio economico-sociale (artt. 22, comma 8; 19, comma 3, del Codice; art. 26, comma 4, del d. lgs. n. 33/2013. Cfr. anche Linee guida, cit., parte prima, par. 2, par. 9.e.; parte seconda, par. 1);

RITENUTO di valutare, con separato procedimento, gli estremi per contestare al Comune di Messina la sanzione amministrativa prevista dagli artt. 162, comma 2-bis, e 167, comma 2, del Codice, in relazione all´avvenuta diffusione di dati idonei a rivelare lo stato di salute (in violazione dell´art. 22, comma 8, del Codice) e di dati identificativi di persone fisiche destinatarie di benefici economici da cui è possibile ricavare informazioni relative alla situazione di disagio economico-sociale degli interessati (in violazione dell´art. 26, comma 4, del d. lgs. n. 33/2013 e dell´art. 19, comma 3, del Codice);

TENUTO CONTO che, ai sensi dell´art. 170 del Codice, chiunque essendovi tenuto non osserva il presente provvedimento di divieto è punito con la reclusione da tre mesi a due anni e che ai sensi dell´art. 162, comma 2-ter, del Codice, in caso di inosservanza del medesimo provvedimento, è altresì applicata in sede amministrativa, in ogni caso, la sanzione del pagamento di una somma da trentamila a centottantamila euro;

VISTA la documentazione in atti;

VISTE le osservazioni dell´Ufficio, formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000 del 28 giugno 2000;

Relatore la prof.ssa Licia Califano;

TUTTO CIÒ PREMESSO IL GARANTE

rilevata l´illiceità del trattamento dei dati effettuato dal Comune di Messina nei termini indicati in premessa:

1) vieta, ai sensi dei citati artt. 143, comma 1, lett. c), e 154, comma 1, lett. d), del Codice, al Comune di Messina l´ulteriore diffusione – sia attraverso la pubblicazione nell´area denominata «Amministrazione trasparente» che in qualsiasi altra parte del sito web istituzionale – dei dati personali contenuti negli allegati – intitolati «...» ed « ...» – alla citata Determinazione del Dirigente del Dipartimento Politiche sociali n. XX del XX, scaricabili anche dall´url http://...;

2) prescrive per il futuro, ai sensi degli artt. 143, comma 1, lett. b), e 154, comma 1, lett. c), del Codice, al Comune di Messina di adottare gli opportuni accorgimenti nella pubblicazione di atti e documenti online al fine di rispettare il divieto di diffondere dati identificativi di persone fisiche destinatarie di benefici economici da cui è possibile ricavare informazioni relative allo stato di salute e alla situazione di disagio economico-sociale (artt. 19, comma 3, 22, comma 8, del Codice; art. 26, comma 4, del d. lgs. n. 33/2013. Cfr. anche Linee guida, cit., parte prima, par. 2, par. 9.e.; parte seconda, par. 1);

3) richiede al Comune di Messina, ai sensi dell´art. 157 del Codice, di comunicare quali iniziative siano state intraprese al fine di dare attuazione a quanto previsto nei precedenti punti 1 e 2 del presente provvedimento e di fornire comunque riscontro entro trenta giorni dalla ricezione dello stesso. Si ricorda che il mancato riscontro alla richiesta ex art. 157 è punito con la sanzione amministrativa di cui all´art. 164 del Codice.

Ai sensi degli artt. 152 del Codice e 10 del d. lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 12 aprile 2018

IL PRESIDENTE
Soro

IL RELATORE
Califano

IL SEGRETARIO GENERALE
Busia