[doc. web n. 10000804]

Provvedimento del 22 febbraio 2024

Registro dei provvedimenti
n. 99 del 22 febbraio 2024

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l'avv. Guido Scorza, componenti e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore il dott. Agostino Ghiglia;

PREMESSO

1. Introduzione.

Con reclamo presentato ai sensi dell’art. 77 del Regolamento, il Sig. XX ha lamentato che la Camera di Commercio Industria Artigianato e Agricoltura (CCIAA) di XX (di seguito, la “Camera di Commercio”), pubblicando all’albo camerale online la deliberazione giuntale n. XX del XX, recante “XX” - dal XX al XXcon riferimenti in chiaro al proprio nome e cognome, e poi fino al XX senza tali riferimenti, sostituiti con “omissis” - avrebbe diffuso illecitamente dati personali a sé relativi, concernenti un contenzioso in essere con la Camera di Commercio per vicende connesse alla gestione del rapporto di lavoro.

In particolare, con la determinazione in questione, la Giunta veniva informata dal Segretario Generale della Camera di Commercio, prendendone atto, che “l’avv. […], incaricato dall’ente camerale di difenderlo e rappresentarlo in giudizio nel ricorso ex art. 414 c.p.c. […] (XX) […] ha informato che il Tribunale di XX – Giudice del Lavoro ha emesso la sentenza n. XX, pubblicata il XX, con la quale il ricorso è stato integralmente rigettato, con compensazione delle spese”.

2. L’attività istruttoria.

In riscontro a una richiesta d’informazioni dell’Autorità (v. nota prot. n. XX del XX), la Camera di Commercio, con nota prot. n. XX del XX, ha dichiarato, in particolare, che:

“trattasi di una mera comunicazione e non di un atto deliberativo complesso, dal contenuto minimale e priva di qualsiasi elemento conoscitivo o motivazionale attinente a fatti sottostanti che possano ledere la dignità dell’interessato”;

“il Regolamento per la disciplina dell’Albo on line, adottato con deliberazione del Consiglio camerale n. XX del XX, prevede all’art. 2 comma 1 che “L’Albo è lo strumento mediante il quale si assolvono gli obblighi di pubblicità legale e di garanzia di certezza degli effetti degli atti adottati dall’Ente, anche ai fini del termine di decadenza per l’impugnazione; in tale disposizione va, conseguentemente, ricondotta la finalità del trattamento”;

“l’atto è stato pubblicato […] dalXX al XX: dal XX al XX con l’indicazione del nome del soggetto ricorrente [...] e dal XX al XX con l’omissione del nome del soggetto ricorrente”;

“l’Amministrazione comunque nella riunione del XX ha disciplinato le modalità di pubblicazione degli atti prevedendo l’omissione dei dati personali al fine di tutelare la riservatezza delle persone interessate”.

Con nota del XX (prot. n. XX), l’Ufficio, sulla base degli elementi acquisiti, dalle verifiche compiute e dei fatti emersi a seguito dell’attività istruttoria, ha notificato alla Camera di Commercio, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, avente ad oggetto le presunte violazioni degli artt. 5, par. 1, lett. a), e parr. 2 e 3, lett. b), 6, par. 1, lett. c) ed e), del Regolamento, nonché 2-ter, commi 1 e 3, del Codice (nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139, vigente al tempo dei fatti di reclamo), per aver la Camera di Commercio diffuso dati personali del reclamante in maniera non conforme al principio di liceità, correttezza e trasparenza, e in assenza di una base giuridica.

Con la medesima nota, il predetto titolare è stato invitato a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, dalla l. 24 novembre 1981, n. 689).

Con nota del XX (prot. n. XX), la Camera di Commercio ha fornito taluni elementi ritenuti utili ai fini dell’apprezzamento da parte dell’Autorità degli elementi di cui all’art. 83, par. 2, del Regolamento, dichiarando, in particolare, che:

“i provvedimenti adottati dagli organi della Camera di Commercio sono pubblicati all’albo, per sette giorni, nell’ambito del generale processo della fase integrativa del procedimento amministrativo come previsto dall’art. 62 del R.D. 2011/1934. Nella comunicazione in questione, il solo nome e cognome (unico soggetto coinvolto) è stato riportato nel corpo del testo, ma non nell’oggetto; quindi per averne informazione era necessario leggere l’intero atto. È stato comunque pubblicato solo per tre giorni (dal XX al XX) poi sostituito con atto ove i dati personali sono stati rimossi”;

“la pubblicazione degli atti con la rimozione dei dati personali richiede un intervento dell’operatore che modifica il pdf “sbianchettando” le parti da non pubblicare. Si è trattato esclusivamente di una svista. Una violazione non intenzionale della norma sulla tutela dei dati personali […]”;

“l’Ufficio ha provveduto tempestivamente a sostituire il documento pubblicando per il restante periodo di pubblicazione un documento con i dati personali depennati”;

“è stato adottato uno specifico Regolamento sulla gestione dell’Albo online che definisce in maniera inequivocabile soggetti interessati, modalità di pubblicazione […; tale] Regolamento […] è in corso di aggiornamento”;

“la Camera si è prontamente adoperata per rimuovere il nominativo dal corpo del provvedimento […]”;

“la sentenza oggetto di comunicazione non è stata pubblicata e si precisa, inoltre, che attiene ad un contenzioso sul lavoro e non riguarda né dati particolari ai sensi dell’art. 9 del [Regolamento] né dati relativi a condanne penali e reati ai sensi dell’art. 10 del [Regolamento]”.

3. Esito dell’attività istruttoria.

La disciplina di protezione dei dati personali prevede che i soggetti pubblici, nell’ambito del contesto lavorativo, possono trattare i dati personali degli interessati, anche relativi a categorie particolari, se il trattamento è necessario, in generale, per la gestione del rapporto di lavoro e per adempiere a specifici obblighi o compiti previsti dalla legge o dal diritto dell’Unione o degli Stati membri (artt. 6, par. 1, lett. c), 9, par. 2, lett. b) e 4, e 88 del Regolamento). Il trattamento è, inoltre, lecito quando sia “necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (art. 6, parr. 1, lett. e), 2 e 3, e art. 9, par. 2, lett. g), del Regolamento; artt. 2-ter e 2-sexies Codice, nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139, vigente al tempo dei fatti oggetto di reclamo).

La normativa europea prevede che “gli Stati membri possono mantenere o introdurre disposizioni più specifiche per adeguare l’applicazione delle norme del […] regolamento con riguardo al trattamento, in conformità del paragrafo 1, lettere c) ed e), determinando con maggiore precisione requisiti specifici per il trattamento e altre misure atte a garantire un trattamento lecito e corretto […]” (art. 6, par. 2, del Regolamento). Al riguardo, si evidenzia che l’operazione di diffusione di dati personali (come la pubblicazione su Internet), da parte di soggetti pubblici, è ammessa solo quando prevista da una norma di legge o, nei casi previsti dalla legge, di regolamento (cfr. art. 2-ter, commi 1 e 3, del Codice, nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139, vigente al tempo dei fatti di reclamo).

Il titolare del trattamento è tenuto, in ogni caso, a rispettare i principi in materia di protezione dei dati, fra i quali quello di “liceità, correttezza e trasparenza” nonché di “minimizzazione dei dati”, in base ai quali i dati personali devono essere “trattati in modo lecito, corretto e trasparente nei confronti dell’interessato” e “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati” (art. 5, par. 1, lett. a) e c), del Regolamento).

Ciò premesso, alla luce di quanto emerso all’esito dell’istruttoria preliminare e delle dichiarazioni rese dalla Camera di Commercio, risulta accertato che, tra il XX e il XX, ancorché a causa di un mero errore umano, la Camera di Commercio ha pubblicato sul proprio sito web istituzionale copia della deliberazione di Giunta n. XX del XX, recante “XX, con la quale la Giunta Camerale prendeva atto dell’esito di un giudizio in sede civile, promosso dal reclamante nei confronti della Camera di Commercio in relazione a vicende connesse al rapporto di lavoro.

La pubblicazione di tale documento ha conseguentemente comportato la diffusione online delle predette informazioni relative al reclamante, il quale era identificato mediante riferimento al nome e cognome, riportati in chiaro nello stesso.

Inoltre, atteso che le sentenze sono oggetto di pubblicazione per finalità di informatica giuridica (cfr. art. 51 del Codice), l’indicazione in chiaro degli estremi della sentenza ha potenzialmente consentito a terzi di venire a conoscenza anche dell’integrale contenuto della stessa, consentendo di ricollegare le vicende oggetto di contenzioso all’identità del reclamante.

Risulta, altresì, accertato che la Camera di Commercio, nel periodo tra il XX e il XX, ha pubblicato sul proprio sito web istituzionale la medesima deliberazione, con l’omissione delle generalità del reclamante.

Deve, al riguardo, osservarsi che, sebbene per tale periodo la Camera di Commercio avesse disposto l’oscuramento delle generalità del reclamante, quest’ultimo era comunque identificabile, in ragione dei riferimenti in chiaro all’autorità giudiziaria che aveva emesso la sentenza (“Tribunale di XX – Giudice del Lavoro”), al numero di registro generale del procedimento (“XX”) nonché al numero e alla data di pubblicazione della stessa (“sentenza n. XX, pubblicata il XX”). Non risulta, infatti, comprovato in atti che l’autorità giudiziaria avesse disposto l’apposizione sulla predetta sentenza dell’annotazione volta a precludere, in caso di riproduzione della stessa in qualsiasi forma, l'indicazione delle generalità e di altri dati identificativi dell’interessato (v. art. 52, comma 1, del Codice).

La pubblicazione della deliberazione di Giunta con modalità inidonee ad assicurare che il reclamante non potesse essere identificato - ovvero sia con il riferimento in chiaro al nome e al cognome e sia senza tale riferimento ma con l’indicazione degli estremi dalla sentenza, che consentivano comunque di risalire indirettamente all’identità dell’interessato - ha, pertanto, comportato la diffusione dei dati personali relativi allo stesso.

Rispetto a tale diffusione, la Camera di Commercio non ha indicato alcuna norma di legge o, nei casi previsti dalla legge, di regolamento, che potesse giustificare il trattamento in questione.

D’altra parte, lo stesso art. 62 del R.D. del 20 settembre 1934, n. 2011, richiamato dalla Camera di Commercio quale disposizione ai sensi della quale sarebbe avvenuta la pubblicazione della deliberazione in questione, nel prevedere che “le deliberazioni del Consiglio [ma non anche, come nel caso di specie, della Giunta], nei quindici giorni successivi a quello della adunanza nella quale furono prese, debbono esser pubblicate all'albo consigliare e tenute ivi esposte una settimana” (comma 1), precisa che “tuttavia per le deliberazioni di carattere riservato, le quali non interessino il bilancio, il Consiglio può decidere caso per caso che la pubblicazione venga omessa o ritardata” (comma 2). 

Deve poi evidenziarsi che in numerosi casi il Garante ha nel tempo dichiarato l’illiceità della diffusione di dati personali di lavoratori, con particolare riguardo alla pubblicazione d’informazioni relative a contenziosi instaurati tra gli interessati e l’amministrazione datrice di lavoro (v., tra i tanti, provv.ti 13 aprile 2023, n. 124, doc. web n. 9890273; 26 maggio 2022, n. 196, doc. web n. 9789541; 28 aprile 2022, n. 149, doc. web n. 9777127; 27 gennaio 2021, n. 34, doc. web n. 9549165).

Peraltro, anche in presenza di uno specifico regime di pubblicità - circostanza che, come detto, non ricorre nel caso di specie, atteso che l’art. 62 del R.D. 20 settembre 1934, n. 2011 richiama le deliberazioni del Consiglio ma non anche quelle della Giunta - non può comportare alcun automatismo rispetto alla diffusione online di dati personali, né una deroga ai principi in materia di protezione dei dati. Ciò è d’altronde confermato anche dal sistema di protezione dei dati contenuto nel Regolamento, alla luce del quale è previsto che il titolare del trattamento debba mettere “in atto misure tecniche e organizzative adeguate per garantire che siano trattati, per impostazione predefinita, solo i dati personali necessari per ogni specifica finalità del trattamento” e debba essere “in grado di dimostrare” – alla luce del principio di “responsabilizzazione” – di averlo fatto (artt. 5, par. 2, e 24, 25, par. 2, del Regolamento; cfr. provv. 13 aprile 2023, n. 124, cit.).

Alla luce delle considerazioni che precedono, deve concludersi che la Camera di Commercio ha diffuso i dati personali del reclamante in maniera non conforme al principio di “liceità, correttezza e trasparenza” e in assenza di una base giuridica, in violazione degli artt. 5, par. 1, lett. a), e parr. 2 e 3, lett. b), e 6 del Regolamento, nonché 2-ter, commi 1 e 3, del Codice (nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139, vigente al tempo dei fatti di reclamo).

Dalla documentazione in atti non risulta, tuttavia, che la diffusione abbia riguardato categorie particolari di dati personali o “dati giudiziari”, così come prospettato nel reclamo, dovendosi, a tal riguardo, rammentare che le garanzie previste dagli artt. 10 del Regolamento e 2-octies del Codice trovano applicazione esclusivamente con riguardo ai dati personali relativi a condanne penali e reati o a connesse misure di sicurezza, e non anche alle informazioni relative a contenziosi in sede civile.

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗, seppure meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Si confermano, pertanto, le valutazioni preliminari dell’Ufficio e si rileva l’illiceità del trattamento di dati personali effettuato dalla Camera di Commercio, per aver diffuso i dati personali del reclamante in maniera non conforme al principio di “liceità, correttezza e trasparenza” e in assenza di una base giuridica, in violazione degli artt. 5, par. 1, lett. a), e 6 del Regolamento, nonché 2-ter del Codice (nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139).

Tenuto conto che la violazione delle predette disposizioni ha avuto luogo in conseguenza di un’unica condotta, trova applicazione l’art. 83, par. 3, del Regolamento, ai sensi del quale l'importo totale della sanzione amministrativa pecuniaria non supera l'importo specificato per la violazione più grave. Considerato che, nel caso di specie, tutte le violazioni sono soggette alla sanzione prevista dall’art. 83, par. 5, del Regolamento, come richiamato anche dall’art. 166, comma 2, del Codice, l’importo totale della sanzione è da quantificarsi fino a euro 20.000.000.

In tale quadro, considerando, in ogni caso, che la condotta ha esaurito i suoi effetti, atteso che la pubblicazione della deliberazione in questione è cessata in data XX, non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento.

5. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

Al riguardo, tenuto conto dell’art. 83, par. 3, del Regolamento, nel caso di specie la violazione delle disposizioni citate è soggetta all’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento.

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

Ciò premesso, si osserva che la violazione ha riguardato dati personali relativi a un solo interessato e la diffusione degli stessi si è verificata durante un arco temporale limitato, ovvero dal XX al XX (cfr. art. 83, par. 2, lett. a), del Regolamento). Inoltre, la violazione ha carattere colposo, essendosi verificata, quantomeno con riguardo alla menzione in chiaro del nome e del cognome del reclamante, a causa di mero errore umano (cfr. art. 83, par. 2, lett. b), del Regolamento), e non ha riguardato categorie particolari di dati personali o dati personali relativi a condanne penali e reati (cfr. art. 83, par. 2, lett. g), del Regolamento). 

Alla luce di tali considerazioni, si ritiene che, nel caso di specie, il livello di gravità della violazione commessa dal titolare del trattamento sia basso (cfr. Comitato europeo per la protezione dei dati, “Guidelines 04/2022 on the calculation of administrative fines under the GDPR” del 23 maggio 2023, punto 60).

Ai fini della quantificazione della sanzione, si ritiene poi che debbano essere prese in considerazione le seguenti circostanze attenuanti:

la Camera di Commercio ha offerto una buona cooperazione con l’Autorità nel corso dell’istruttoria, avendo, altresì, rappresentato (v. nota del 16 XX, cit.) che, alla luce dei fatti occorsi, la stessa ha avviato la revisione del proprio “Regolamento sulla gestione dell’Albo online” (cfr. art. 83, par. 2, lett. f), del Regolamento);

non risultano precedenti violazioni pertinenti commesse dalla Camera di Commercio (cfr. art. 83, par. 2, lett. e), del Regolamento).

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 2.000 (duemila) per la violazione degli artt. 5, par. 1, lett. a), e 6 del Regolamento, nonché 2-ter del Codice (nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139), quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, par. 1, del Regolamento, effettiva, proporzionata e dissuasiva.

Tenuto conto che la diffusione delle generalità del reclamante e degli estremi della sentenza emessa dall’autorità giudiziaria poteva indirettamente consentire a terzi di venire a conoscenza anche del contenuto di tale sentenza, pregiudicando ulteriormente la sfera di riservatezza dell’interessato, si ritiene, altresì, che debba applicarsi la sanzione accessoria della pubblicazione sul sito del Garante del presente provvedimento, prevista dall’art. 166, comma 7 del Codice e art. 16 del Regolamento del Garante n. 1/2019.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

dichiara, ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, l’illiceità del trattamento effettuato dalla Camera di Commercio per violazione degli artt. 5, par. 1, lett. a), e 6 del Regolamento, nonché 2-ter del Codice (nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139), nei termini di cui in motivazione;

ORDINA

alla Camera di Commercio Industria Artigianato e Agricoltura di XX, in persona del legale rappresentante pro-tempore, con sede legale in Largo Gian Battista Vico, 3 - 66100 Chieti (CH), C.F. 02558590697, di pagare la somma di euro 2.000 (duemila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione. Si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata;

INGIUNGE

alla predetta Camera di Commercio, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 2.000 (duemila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981;

DISPONE

ai sensi dell’art. 166, comma 7, del Codice, la pubblicazione del presente provvedimento sul sito web del Garante, ritenendo che ricorrano i presupposti di cui all’art. 17 del Regolamento del Garante n. 1/2019.

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 22 febbraio 2024

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE
Mattei